今週、CTIは、中国と関連があるとされる脅威グループ「ChamelGang」による最新の活動を詳述した新たなレポートを分析します。同グループは現在、Linuxデバイスを積極的に標的にしています。 次に、CTIは「Skuld」として知られる情報窃取型マルウェアの亜種について調査を行います。 最後に、CTIは、Bolsterの研究者らによって最近発見された、大規模な フィッシングキャンペーン の概要を紹介して、本記事を締めくくります。
1. 中国のハッカーは、Linux向けマルウェアの通信にDNS-over-HTTPSを利用しています
Stairwellが発表した新たなレポートによると、中国と関連があるとされる脅威グループ「 （ChamelGang）」の活動実態が明らかになりました。同グループは、「ChamelDOH」と呼ばれる、これまで報告されていなかったインプラントを用いて、Linuxデバイスに感染させているとのことです。 このバックドアにより、侵害されたシステムと攻撃者のデバイスとの間で、DNS-over-HTTPsプロトコルを介した通信が可能となります。
Positive Technologiesは、 のChamelGangによる活動について、 を初めて記録しました。 2021年9月。 しかし、その報告書では、当該脅威グループによるWindowsツールキットの使用にのみ焦点が当てられていました。 Stairwellの新しいレポートでは、ChamelGangのマルウェアのラインナップの拡大に加え、同グループの戦術・手法・手順（TTP）および侵害の兆候（IOC）に関する最新情報が取り上げられています。
技術的な詳細
Stairwell社のレポートは、ChamelDOHというインプラントに焦点を当てています。このインプラントは、DNS-over-HTTPS（DoH）トンネリングを介してコマンド＆コントロール（C2）通信を可能にするもので、その活動をネットワークトラフィックの中に隠蔽することで、インプラントの通信の特定や遮断を極めて困難にしています（HTTPSトラフィックを可視化できない限り、事実上不可能とも言えます）。
- このインプラントは、実行されているシステムへのリモートアクセスを可能にする、大規模なC++バイナリです。
- このインプラントは、攻撃者が制御するネームサーバーのサブドメインとして通信をエンコードするために、修正された base64 スキーマを使用しています。 これにより、システム情報の収集、感染したデバイスの列挙およびプロファイリング、ならびにファイルのアップロード、ダウンロード、削除、実行といった基本的なリモートアクセス操作を実行することが可能になります。
- このインプラントは、さまざまなシステムコールを活用して、偵察の結果得られた様々なデータを含むJSONオブジェクトを生成します。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
「ChamelDoHインプラントが中国と関連のあるChamelGangによるものであると特定できたのは、このLinuxマルウェアが、以前この脅威アクターに関連付けられていたドメインを使用していること、および本要約の冒頭で言及したPositive Technologiesのレポートで以前に取り上げられたカスタム特権昇格ツールを使用していることによるものです。」
「Stairwellによると、このグループは、脅威グループが保有するWindows向けの攻撃ツール群と同等の堅牢性を備えた、Linuxへの侵入用ツールセットの研究開発に、多大なリソースを投じてきた可能性が高いとのことです。」
2。 Go言語をベースにした新たなマルウェア「Skuld」が、Windows PCからDiscordやブラウザのデータを盗み出しています
Trellix社は先日、Discordやウェブブラウザ、フォルダなどを標的とする「Skuld」と呼ばれる新たな情報窃取型マルウェアについて詳細を明らかにしました。 「Skuld」の開発者は、さまざまなオープンソースプロジェクトやマルウェアのサンプルから着想を得たようです。
「Skuld」について知っておくべきこと
Trellix社によると、Skuldはヨーロッパ、東南アジア、および米国各地のWindowsシステムを侵害しているとのことです。また、Creal Stealer、Luna Grabber、BlackCap Grabberなど、一般に公開されているさまざまな情報窃取ツールとの共通点も見られます。
調査の過程で、Trellix社は、Skuldの推定開発者が管理しているものと同じ別名を使用しているTelegramグループも発見しました。 これは、Skuldを他のサイバー犯罪者向けのサービスとして販売する将来的な計画が存在することを示唆している可能性があります。
「Skuld」に関する主なポイント
- SkuldのサンプルはすべてGolang 1.20.3 で記述されており、サポートされているさまざまなタスクを実行するために、幅広いライブラリが使用されています。
- 起動時、Stealerは、後でさまざまなモジュールをサポートするための内部の文字列マップ構造に、いくつかのパラメータ、パス、および正規表現を読み込みます。 実行環境を構築した後、このマルウェアは、情報を盗み出すためにさまざまなモジュールを実行する前に、被害者に偽のエラーメッセージを表示します。
- 情報の窃取を開始する前に、Skuldは環境のさまざまな特性を確認することで、セキュリティ製品や研究者によって分析されていないかを確認します。 Skuldが監視されていることを確認した場合、その実行を終了します。
- Skuldは、標的となるシステムが仮想マシンであるかどうかを確認するために、3つの異なる手法を用いています。 最初の手法では、システムの画面解像度が 200x200 ピクセル以上であるかどうかを確認します。 そうでない場合は、仮想環境で実行されているものとみなされます。 2つ目の手法は、RAMの合計が 2,000,000,000 バイトを超えているかどうかを確認するものです。 また、3つ目の手法では、システム上の動画やディスク情報に関連するさまざまなレジストリキーを確認します。 その中にVMWareやVirtual Boxに関連する情報が含まれている場合、アプリケーションは終了します。
- Skuldによる最終的なチェックでは、システム上で実行中のプロセスを取得し、それらをあらかじめ定義されたブロックリストと照合します。 ブロックリストに登録されている項目と一致するプロセスが存在する場合、マルウェアはそのプロセスを強制終了させます。
- Skuldは、仮想環境ではなく実環境で動作していることを確認した後、被害者から情報を盗み始めます。
- Skuldには、Discordから情報を盗み出すためのさまざまな手法があります。 まず、discord_desktop_core モジュールに JavaScript コードを注入しようとします。 Better Discordのセキュリティ機能を回避するため、このマルウェアは「%APPDATA%\BetterDiscord\data\betterdiscord.asar」というファイルを改ざんし、文字列「api/webhooks」を「ByDeathined」に置き換えます。 コードを注入した後、Skuldは、MFAコードの代替となるDiscordのバックアップコードを盗み出し、アカウントを乗っ取ろうとします。
- Skuldは、ChromiumおよびGeckoベースのブラウザに保存されている情報を標的とします。 盗まれたブラウザ情報には、ローカルデータ、ログイン情報、クッキー、閲覧履歴、ダウンロード履歴、およびセッショントークンが含まれます。 情報が取得されると、それはアーカイブ化され、「browsers.zip」という名前のファイルに圧縮されて、外部へ持ち出されます。
「スクルド」の責任者は誰ですか？
『Skuld』の開発者は、「Deathined」というハンドルネームで活動しています。 Trellixはまず、SkuldのDiscordウェブフックのフッターにあるicon_urlとまったく同じアバター画像のURLを持つ、同じエイリアスを持つユーザーのGitHubを発見しました。
DeathinedのGitHubアカウントには、その所有者がGolangでのプログラミングができると記載されており、これはSkuldマルウェアの言語と確かに一致しています。 このGitHubアカウントも、 2023年4月 に記載されているように、Trellixによる調査が行われるわずか数週間前に作成されたものです。
Trellixは、容疑者とされる開発者のオンライン上の活動について調査を続け、同じユーザー名を持つ他のアカウントを探したところ、同じく4月に作成されたRedditのアカウントを発見しました。 また、彼らは同じニックネームのTumblrアカウントも発見しました。 最後に、彼らは、既知のTwitterアカウント「@deathined」へのリンクが含まれているCarrdアカウントを発見しました。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
「Skuldは、Go言語の流行に便乗した、またしても新たなマルウェアです。」 Trellix社は、Go言語で開発されたマルウェアをめぐる懸念の高まりについて、次のように的確に要約しています：
絶えず変化し続けるサイバーセキュリティの情勢において、Golangマルウェアの台頭は深刻な懸念材料となっています。 Golangの人気が高まるにつれ、サイバー犯罪者たちはその強みを活かして、ユーザーや企業に深刻な脅威をもたらす新たなマルウェアの亜種を開発しています。
3。 大規模なフィッシング攻撃で、 6,000 のサイトが利用され、100 のブランドを装っています
Bolsterの脅威調査チームが発表した新しいレポートによると、 による大規模なフィッシングキャンペーン が発見されました。このキャンペーンは、 2022年6月 頃から実施されていると報じられており、 100 社以上の人気アパレル・靴・衣料品ブランドを装い、被害者を騙して偽のウェブサイトでアカウントの認証情報や金融情報を入力させることを目的とした攻撃が行われています。
キャンペーンの詳細
- および BleepingComputer によると、前述の偽サイトにおいてなりすましの対象となったブランドには、ナイキ、プーマ、アシックス、ヴァンズ、アディダス、コロンビアなどが含まれています。
- このフィッシング攻撃は、Bolsterの脅威調査チームによって発見されました。同チームのアナリストによると、この攻撃は 2022年6月頃より開始され、 2022年11月 から2023年2月にかけてフィッシング活動のピークを迎えたとのことです。
- このキャンペーンでは、少なくとも 3,000 の固有ドメインと、約6,000 のサイト（非アクティブなサイトも含む）が利用されています。
フィッシングのインフラ
ボルスター社の報告書には、このキャンペーンにおけるフィッシング攻撃のインフラに関する概要が記載されています。 この操作に関連するドメインは、発見者らによって自律システム番号（ASN） AS48950にまで遡って特定されました。
Bolsterより：
これらのドメインのIPアドレスは、Packet Exchange LimitedとGlobal Colocation Limitedという2つの特定のインターネットサービスプロバイダーによってホストされています。 注目すべき点は、両プロバイダーとも、詐欺リスクに関して悪い評判があるということです。
また、ボルスター社の研究者らは、関連するドメインの大部分（およそ 1,500件）が、ドメイン登録業者「ALIBABA.COM SINGAPORE E-COMMERCE PRIVATE LIMITED」を通じて登録されていることにも言及しています。 これらのドメインの存在期間に関しては、その存続期間はさまざまです。 中には登録からおよそ2年が経過しているものもありますが、かなりの割合がここ 90 日ほどの間に登録されたものです。
BleepingComputerは、不審なドメインの登録時期について、次のように述べています：
ドメインの運用期間は、フィッシング攻撃において極めて重要な要素です。なぜなら、ドメインが長期間にわたり稼働し続けながらも無害な状態を維持すればするほど、セキュリティツールによって不審なものとして検知される可能性が低くなるからです。 ドメインを少なくとも2年間放置しておくという手法については、Confiantが昨年、 2018年以降この手法を効果的に活用してきた世界的なマルウェア広告キャンペーンにおいて、この戦術を確認したと報告しています。 ボルスター氏が発見したこのキャンペーンでは、多くの悪意のあるドメインが報告されることなく長期間存続していたため、Google検索にインデックス登録され、現在では特定の検索キーワードで上位に表示される可能性が高いと考えられます。
この手口は、一般ユーザーがGoogle検索での上位表示をそのドメインの正当性や信頼性と結びつけてしまうという心理を利用し、無防備な被害者をフィッシングサイトに誘導しようとするサイバー犯罪者にとって、特に効果的です。
注目すべき点として、この詐欺のドメイン名は、なりすましの対象となっているブランド名に都市名や国名を組み合わせ、その後に「.com」などの汎用トップレベルドメイン（TLD）を付けるという、繰り返されるパターンに従っています。
Bolster社の研究者によると、このキャンペーンでは、さまざまな人気ブランドのウェブサイトを模倣するように設計された 10 以上の偽サイトが運営されていたとのことです。 各偽サイトは、各企業の正規のウェブサイトと非常によく似たデザインになっていると報じられています。
推奨される対応策
Bolsterでは、フィッシング攻撃や有名ブランドを装った偽サイトから身を守るためのアドバイスをいくつかご紹介しています。
Bolsterより：
正規ブランドのドメインを確認し、公式ブランドサイトであることを必ずご確認ください。 不審なドメイン名の兆候がないか、注意深く見守ってください。 あまりにも安すぎて怪しいと思われるセールや商品価格を見つけた場合は、そのドメインの正当性を確認するために、さらに一歩踏み込んだ確認を行うべきです。 また、企業のブランド評判を損なうことを防ぐため、ブランドなりすまし攻撃からデジタル資産を保護することも極めて重要です。 顧客（あるいは従業員、パートナー、および貴社のネットワークに関わるその他の方々）が、貴社を装った詐欺の被害に遭った場合、将来的に貴社からの購入を敬遠されるだけでなく、悪いレビューやネガティブな報道、悪い口コミが生じる恐れがあります。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
「このキャンペーンは、特にオンラインショッピングやECサイトを気軽に閲覧する際には、常に高い注意を払い、警戒心を保つことがなぜ重要なのかを改めて認識させるものです。」
「フィッシング詐欺の手口は、ますます巧妙になってきています。」 サイバー犯罪者が、 の人工知能（AI） や の機械学習モデル に、より容易にアクセスできるようになるにつれて、この状況はさらに悪化するでしょう。 「サイバー犯罪者が用いている最新のメールを介した脅威やソーシャルエンジニアリングの手法、その他進化し続けるTTPについて、従業員に常に最新の情報を提供し続けることも、同様に困難になってきています。」
これらのエピソードについて、何かご意見やご感想など、お聞かせいただけませんか？ または Tanium のディスカッションフォーラム にアクセスして、会話を始めてみてください。
さらに詳しくお読みになりたい方は、当社の最新の「」サイバー脅威インテリジェンスまとめをご覧ください。
