今週、CTIでは、Tycoon 2FA のフィッシング・アズ・ア・サービス（PhaaS）プラットフォーム と関連する、新しい「ミドル・オブ・ザ・ネットワーク（AiTM）」型フィッシングキットについて取り上げます。 次に、CTIは、Agent Teslaマルウェアを配布した、 を標的とした最近のフィッシングメール（ ）について調査を行います。 最後に、CTIは、 88 カ国にわたる数千台のルーターやIoTデバイスに感染した、TheMoonマルウェアボットネットの新たな亜種について調査しています。
1. 研究者らが、「Tycoon 2FA AiTM」フィッシングキットの新たなバージョンを発見しました
研究者らは、Tycoon 2FA というフィッシング・アズ・ア・サービス（PhaaS）プラットフォームに関連する、ミドルウェア型フィッシングキット「（AiTM）」において、新たな 攻撃者を発見しました。
ここ数ヶ月で、「Tycoon 2FA 」は、最も広く普及しているAiTMフィッシングキットのひとつとして台頭してきました。 2024年2月で発見された最新のTycoon 2FA のバージョンは、難読化および解析対策機能が強化されており、新たなトラフィックパターンも確認されています。
「Tycoon 2FA 」の仕組み
最新の「Tycoon 2FA 」フィッシングキットは、AiTMという手法を採用しています。 攻撃用のサーバーはフィッシングサイトをホストし、被害者の入力を傍受して、この入力を正規のサービスに送信します。これにより、 の多要素認証（MFA）リクエスト が発行されます。
ユーザーが適切なMFA認証手順を完了し、認証されると、中継サーバーがセッションクッキーを取得します。 これらのクッキーにより、攻撃者はセッションを再現することができ、その結果、多要素認証（MFA）を迂回することが可能になります。
- ステージ 0： 攻撃は、多くの場合、URL や QR コードからのリダイレクトを通じて、フィッシングページの配布から始まります。 「Tycoon 2FA 」フィッシングキットは、ユーザーにフィッシングページのテンプレートに加え、メール本文で使用するおとり文書も提供しています。
- ステージ1： ユーザーがフィッシングURLをクリックすると、ボットやアナリストからのトラフィックを防ぐためにCloudflare Turnstileの認証が組み込まれたページにリダイレクトされます。 セキュリティ認証を完了するには、人間の操作が必要です。
- ステージ 2： ユーザーを別のページにリダイレクトする前に、バックグラウンドで JavaScript が実行されます。 この新しいページのHTMLには、URLにメールアドレスが含まれている場合、それを抽出して攻撃をカスタマイズするためのJavaScriptが含まれています。
- ステージ 3： このステージもユーザーには表示されず、フィッシングドメイン内の別のページへリダイレクトされます。
- ステージ 4： このステージでは、偽の Microsoft 認証ページが表示され、ユーザーの Web ブラウザのフィンガープリントを取得し、 C2 サーバーとの WebSocket 接続を確立し、ソケット通信を実行し、ユーザー入力をキャプチャして外部へ流出させ、最終的なリダイレクト URL を取得します。
- ステージ 5： ステージ 5 では、Microsoft 2FA ページを生成して被害者に表示し、トークンを傍受してセキュリティ対策を回避します。
- ステージ 6： 被害者はついに、一見正規のものに見えるページにリダイレクトされます。
今回の攻撃における最大の変更点は、フィッシングに利用されるJavaScriptおよびHTMLコードに加えられた変更です。 このバージョンのページには若干の変更が加えられ、必要なリソースを異なる順序で取得するようになりました。その過程で、ボットやセキュリティアナリストによる不要なトラフィックをフィルタリングしています。
セコイア氏は、旧バージョンと新バージョンでは同様の難読化解除機能が備わっていたものの、全体的な構造が変更されたと指摘しています。 最大の違いは、被害者がCloudFlare Turnstileのチャレンジを解決するまで、悪意のあるリソースが提供されないように、さまざまなステルス戦術が強化された点にあります。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
『Tycoon 2FA 』の最新バージョンにおける変更点は、主にステルスや回避テクニックの改善に焦点を当てています。 この動きは、フィッシングキットの背後にいる攻撃者が、おそらく人気を高めるために、キットの機能を拡張しようとしていることを示唆しています。
セコイア社によると、その活動規模は相当なものであり、現在、さまざまなサイバー犯罪者が「Tycoon 2FA」を利用している兆候が見られるとのことです。
2。 フィッシング攻撃では、キーロガーを銀行の支払い通知に見せかけています
3月、研究者たちは、「 」の「Agent Tesla」マルウェアを配信するフィッシングメールを発見しました。。
これらのメールには、 を装った偽の銀行支払い通知として偽装されたWindows実行ファイルが添付されており、被害者にそのファイルを開くよう促しています。 このローダーは、ウイルス対策ソフトウェアを迂回することができ、トラフィックを難読化するためにプロキシを利用してペイロードを取得します。
感染の連鎖
この攻撃は、被害者の銀行からの通知を装ったフィッシングメールから始まります。 添付のアーカイブファイルは、さまざまな解析回避および検知回避の手法を用いたローダーであり、最終的に「Agent Tesla」という情報窃取型マルウェアを配信し、それを完全にメモリ上で実行します。
メール配信／ローダー
このフィッシングメールは、銀行からの支払い通知を装ったもので、添付ファイルには銀行からの支払い領収書のように見えるものが含まれています。
添付のtar.gzアーカイブには、.NETでコンパイルされ、難読化および圧縮処理によってその機能を隠蔽した悪意のあるローダーが含まれています。 初期化の際、動作に必要な設定データの復号化が行われます。 Trustwaveは、このポリモーフィックローダーの2つの異なるバージョンを確認しました。
ウイルス対策ソフトの回避／ペイロードの取得
このローダーは、AmsiScanBuffer 関数にパッチを適用し、アンチマルウェアスキャンインターフェース（AMSI）をバイパスすることで、メモリ内のコンテンツに対するマルウェアスキャンを回避します。
その後、特定のURLでホストされているペイロードを標的とし、その際には特定のユーザーエージェント文字列が必要となります。 この亜種の一つは、GitHub上のオープンソースリストに掲載されているHTTPプロキシサーバーを利用して、ペイロードをダウンロードします。
ペイロードがメモリに格納されると、ローダーは.NETのリフレクションおよびアセンブリ読み込み機能を利用して、ペイロードのメインエントリポイントを呼び出し、Agent Teslaマルウェアを起動します。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
Agent Teslaは、さまざまな脅威アクターによって頻繁に利用されている悪名高いマルウェアであり、そのため、多種多様な方法で配布されています。
このマルウェアの特定の配布手法は、そのローダーがさまざまな難読化および解析回避技術を採用しており、「独自の復号ルーチンを備えたポリモーフィックな挙動を示す」という点で注目に値します。
Trustwaveは、このことから、このローダーが将来、さまざまな種類のマルウェアを展開するために利用される可能性があると考えています。
3。 「TheMoon」マルウェアはASUSのルーターを標的としています
の「TheMoon」マルウェアの新たな亜種である ボットネットが、88 カ国にわたる数千台のルーターやIoTデバイスに感染しました。
このマルウェアは、 の「Faceless」プロキシサービス（ ）と関連しており、同サービスは感染したデバイスをプロキシとして利用し、自身の活動を隠蔽しようとする脅威アクターのためにトラフィックを転送しています。 3月に実施された最新のTheMoonキャンペーンでは、 72 時間足らずの間に6,000 台以上のASUS製ルーターが侵害されました。
TheMoonマルウェアとは何ですか？
TheMoonは 2014 年に初めて登場し、現在では40,000 を超えるボットにまで拡大しています。その多くは、悪名高い「Faceless」プロキシサービスで使用されています。 研究者たちは、TheMoonが週あたりおよそ 7,000 人の新規ユーザーを獲得し、Facelessの規模を拡大していると見ているとのことです。
Black Lotus Labsは、 2024年3月 の第1週から始まった、6,000 台のASUS製ルーターを標的とした攻撃キャンペーンを特定しました。 彼らの分析によると、この脅威アクターはサポート終了済みのデバイスを標的にしていたようです。
マルウェアの分析
この攻撃は、特定のシェルが存在するかどうかを確認するローダーファイルから始まりました。 どのシェルも特定されない場合、ファイルの実行は停止します。 シェルのいずれかが特定されると、次の段階のペイロードを復号化し、ドロップして実行します。 このバイナリは、NTPサーバーに接続するためのスレッドを起動する前に、複数のiptablesルールを設定します。これは、デバイスがインターネットに接続できていること、およびサンドボックス環境ではないことを確認するためと考えられます。
その後、あらかじめ設定されたIPアドレスのリストを順に巡回し、ポート 15194で接続を確立し、あらかじめ設定されたパケットを送信します。
研究者らは、ワームモジュールと「.sox」という名前のファイルを含む2つのモジュールを特定しました。 このワームモジュールは、IPブロックをスキャンして脆弱性のある標的を探し出し、自身を拡散しようとします。 .sox ファイルが実行されると、iptables を変更する機能が組み込まれ、それによって追加のポートを開いたり、他のモジュールをダウンロードしたりできるようになります。
TheMoonとFacelessの重複
Black Lotus Labsは、TheMoonとFacelessの活動クラスターの間に重複があることを特定しました。 10 日間の期間を調査したところ、Faceless C2s とやり取りしていたボットのうち、およそ80％がTheMoon C2ともやり取りしていたことが判明しました。
ボットがFacelessサーバーと通信すると、Facelessプロキシネットワークに登録されます。 研究者らの調査によると、感染事例の 30％が 50 日以上続いた一方で、ネットワークに接続されていたデバイスのうち、48 時間未満しか接続されていなかったものは15％にとどまりました。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
サイバー犯罪者は、攻撃を密かに行い、身元を隠したままにする方法を常に模索しています。 VPNなどに加え、脅威アクターは現在、自らの活動を隠すためにプロキシサーバーにも目を向けています。
Black Lotus Labsは、プロキシサービスへのこの移行は、法執行機関による妨害行為の増加も一因である可能性があり、それによって脅威アクターがトラフィックを匿名化する必要性が高まっていると考えています。 注目すべき点は、標的とされたデバイスモデルの多くがサポート終了済みであることであり、これはサポート終了した技術に伴うリスクを改めて浮き彫りにしています。
これらの記事について、何かご意見やご感想など、共有したいことはありますか？ にアクセスし、Taniumのディスカッションフォーラム（ ）で会話を始めてみてください。
さらに詳しくお読みになりたい方は、当社の最近の「」サイバー脅威インテリジェンスまとめ（）をご覧ください。
