今週のまとめのトップは、オフィス向け生産性アプリを装った、macOS向けの新しいXLoaderマルウェアの亜種の概要です。 続いて、CTIは、ラザロ・グループによる最新の攻撃キャンペーンと、「CollectionRAT」と呼ばれる新たな脅威の発見について調査を行います。 最後に、CTIは、脅威アクターが、大規模言語モデル（LLM）を活用したFacebookのプロモーションを悪用して、悪意のあるコードを拡散させる仕組みについて解説しています。
XLoaderのmacOS版は、生産性向上アプリを装っています
Sentinel One社は、macOS向けマルウェア「 」の亜種である「XLoader」 （新しいタブで開きます） が実環境で確認されたことを明らかにしました。 このキャンペーンは、Office 向けの生産性アプリ「OfficeNote」 （新しいタブで開きます） を装うことで、その悪意のある機能を隠蔽しており、標準的な Apple ディスクイメージ内に XLoader の亜種を同梱しています。
XLoaderマルウェアとは何ですか？
XLoaderマルウェアは、Formbookマルウェアの名称を変更したものです。 主に、WindowsおよびmacOSの両方において、情報窃取型マルウェアとして動作します。
XLoaderは、Formbookがその作者によって閉鎖された直後の 2020年初頭、アンダーグラウンドのサイバー犯罪フォーラムに登場しました。 最初のmacOS向け亜種は 2021 で確認され、Javaプログラムとして配布されていた点が注目されました。 このマルウェアは、マルウェア・アズ・ア・サービス（MaaS）契約として販売されており、加入者は管理パネルや実行可能ファイルにアクセスすることができます。
新しいmacOS XLoaderの亜種は、CおよびObjective-Cというプログラミング言語でネイティブに記述されています。 このアプリはAppleの開発者署名で署名されており、「OfficeNote」というオフィス向け生産性アプリを装っています。
XLoaderマルウェアはどのように拡散されるのでしょうか？
最新のXLoaderの亜種は、「OfficeNote.dmg」という名前の標準的なAppleディスクイメージに同梱されています。 このバリアントには、MAIT JAKHUの開発者署名が付与されており、 2023年7月17日で署名されました。 その後、Appleはその署名を無効にしました。 しかし、SentinelOneのテストによると、Appleのマルウェアブロックツールには、このマルウェアの実行を防ぐためのシグネチャが備わっていないことが示されています。
7月を通じて、この亜種のサンプルがVirusTotalにいくつか確認されており、実環境で拡散している可能性が高いことが示唆されています。 アンダーグラウンドの犯罪フォーラムでは、この新しいmacOSの亜種が、月額199 ドル、あるいは3ヶ月で299 ドルで宣伝されています。 これは、月額59 ドルとされているWindows版XLoaderと比較すると、比較的高い価格設定となっています。
ドロッパーと永続化
このバリアントが実行されると、OfficeNote アプリケーションは、アプリケーションを開くことができないことをユーザーに知らせるエラーメッセージを必ず表示するようにハードコーディングされています。 その間、マルウェアはペイロードをドロップし、永続化エージェントをインストールしています。 このメッセージは、以前のXLoaderの亜種で使用されていたスタック文字列の手法を用いてハードコードされています。
ペイロードは、ユーザーのホームディレクトリに「~/73a470tO 」という名前で配置され、実行されます。 これにより、隠しディレクトリが作成され、そのディレクトリ内に必要最低限の機能のみを備えたアプリケーションが作成されます。 ペイロードの名前はドロッパー内にハードコードされていますが、隠しディレクトリ、アプリケーション、および実行ファイルの名前は、実行のたびにランダム化されます。 また、バイナリが初回実行とそれ以降の実行を区別できるように、ユーザーの「ライブラリ」フォルダにもLaunchAgentが配置されます。
ペイロードの挙動
XLoaderというマルウェアは、AppleのAPIであるNSPasteboardおよびgeneralPasteboardを介して、クリップボードから機密情報を盗み出そうとします。 また、FirefoxやChromeといったブラウザを標的にして、ログインデータファイルを読み取ることも可能です。 macOSの亜種としては不思議なことに、この亜種はSafariブラウザを標的としていないようです。
このマルウェアは、ダミーのネットワーク呼び出しを利用して、実際の C2を隠蔽します。 SentinelOneは、 169 件のDNS名前解決と203 件のHTTPリクエストを検知し、この活動から数件の不審なIPアドレスを特定しました。 それは、いくつかの方法で分析を回避しようとしています。 ドロッパーとペイロードは、Ptrace を使用してデバッガーがアタッチするのを阻止しようとします。 また、このマルウェアは、その活動を遅らせるためにスリープコマンドを実行します。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
「XLoaderの最新のmacOS版は、オフィス向け生産性アプリを装っているという事実から、明らかに職場環境にいるユーザーを標的としています。」 アンダーグラウンドのサイバー犯罪フォーラムにおいて、Windows版に比べて価格が高めに設定されていることも、開発者たちがこのバージョンに対してより大きな関心や投資対効果が期待できると考えていることを示唆しています。 SentinelOneが指摘しているように、XLoaderは引き続きmacOSユーザーや企業を脅かし続けています。」
2。 北朝鮮の「ラザルス・グループ」が新たなマルウェアを使用しています
Cisco Talosは最近、 のLazarus Groupによる最新のキャンペーン「 」（新しいタブで開きます） について調査を行いました。このキャンペーンにおいて、同グループはManageEngine ServiceDeskの脆弱性を悪用し、複数の脅威を展開していました。
このキャンペーンに関する調査――および再利用されたインフラストラクチャの構成要素――を通じて、彼らは「CollectionRAT」と呼ばれる新たな脅威を発見することになりました。 また、ラザラス・グループも戦術を転換しており、初期侵入段階においてオープンソースのツールへの依存度を高めています。
インフラの再利用
北朝鮮の国家支援を受けた脅威アクターは、これらの構成要素の多くが長年にわたり研究者らによって明らかにされてきたにもかかわらず、最近の攻撃キャンペーンにおいても、依然として多くの同じインフラを引き続き利用しています。
これは奇妙な行動に見えるかもしれませんが、このグループが自らの攻撃にどれほど自信を持っているかを浮き彫りにしています。 今回のキャンペーンは、このグループがいかに活発に活動しているかを改めて思い起こさせてくれます。
進化し続ける兵器体系
新たに発見された「CollectionRAT」マルウェアは、デバイス上で任意のコマンドを実行したり、ファイルを管理したりする機能など、RATに典型的なさまざまな機能を備えています。
このインプラントは、Microsoft Foundation Class（MFC）ライブラリをベースにしたWindowsバイナリを活用して、マルウェアの復号化と実行を行います。 ここでのMFCフレームワークは、実際の悪意のあるコードのラッパーおよび復号ツールとしてのみ使用されています。
このマルウェアは、感染の特定を行うためにシステム情報を収集し、それをコマンド＆コントロール（C2）サーバーに送信します。 C2 サーバーからコマンドを受け取り、さまざまなタスクを実行します。 このマルウェアには、リバースシェルを生成したり、ディスク上のファイルを読み書きしたり、さらに新たなペイロードをダウンロード・展開するために新しいプロセスを起動したりする機能があります。 また、 C2からの指示があれば、デバイスから自身を削除することも可能です。
CollectionRATとEarlyRATとの関係
Cisco Talosは、CollectionRATに関連するIOCを分析した結果、LazarusのAndarielサブグループによるものとされるマルウェアであるEarlyRATとの関連性を突き止めました。
CollectionRATは、 2021の旧バージョンのEarlyRATの署名に使用されたものと同じ証明書で署名されていました。 どちらのマルウェアも、シリアル番号とサムプリントが同じ証明書を使用していました。 EarlyRATは、多くの場合、 Log4j の脆弱性を悪用することに成功することで展開されます。
初期アクセス時のオープンソースツールの活用
Lazarusグループ（ ）は、攻撃の初期侵入段階において、侵害後の段階でのみオープンソースのツールやフレームワークを活用していた従来のやり方から一転し、これらをますます多用する方向に戦術を転換しているようです。
このグループは以前、侵害されたマシン上で持続的な初期アクセス権を確立するために、MagicRATのような特注のインプラントに依存していました。 その後、これらのカスタムインプラントを用いて、オープンソースのツールを展開しました。 このキャンペーンは、攻撃者が初期アクセスおよび持続的アクセスにオープンソースの「 DeimosC2 」フレームワークを利用した事例です。
また、ラザラス・グループが、リバースシェル・トンネリングツール「PuTTY Link（Plink）」を使用していることも確認されています。 過去には、この脅威アクターはPlinkを使用してリモートトンネルを確立していました。 しかし、この脅威アクターは現在、ツールのソースコードから悪意のあるPlinkバイナリを生成し、バイナリ自体にリバーストンネルのコマンド文字列を埋め込むようになっています。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
「ラザラス・グループが攻撃に新しいマルウェアを使用しているという事実は、同グループがいかに活発かつ機敏に活動しているかを考えれば、この段階ではほぼ予想通りのことと言えます。」
「同様に、攻撃者は、攻撃の初期アクセス段階でオープンソースツールを活用するよう、戦術を転換しつつあります。」 同グループはこれまで、侵害発生後の段階においてのみオープンソースツールを活用してきましたが、これは明らかな進化を示しています。 「この変化の理由は明らかではありませんが、脅威アクターの絶え間ない進化や、脅威情勢において我々が目撃している多くの事象と一致しているように思われます。」
3。 攻撃者は、Facebookのプロモーションを悪用して悪意のあるコードを拡散しています
トレンドマイクロによる最近の調査では、脅威アクター が、Facebookのプロモーション （新しいタブで開きます） を活用し、 のLLMを用いて悪意のあるコードを拡散させ、悪意のあるブラウザアドオンをインストールして認証情報を盗み出すことを目的としていることが明らかになりました。 この脅威アクターは、URLリダイレクトにURL短縮サービスを利用し、ウェブホスティングにはGoogle Sitesを利用し、悪意のあるファイルをホストするためにGoogle DriveやDropboxなどのクラウドストレージサービスを利用しています。
感染経路としてのFacebookのプロモーション
この攻撃者は、Facebookの有料プロモーションを活用し、マーケティング会社の偽プロフィールを掲載した広告で、潜在的な被害者を騙そうとしています。 こうした偽のプロフィールには、購入されたフォロワーやボットによるフォロワー、乗っ取られた他のアカウントによる偽のレビュー、そしてオンライン上の活動履歴が乏しいといった特徴がよく見られます。 これらの広告は、人工知能の力を借りて、生産性の向上、リーチや収益の拡大、あるいは教育の支援を実現すると謳っています。 場合によっては、攻撃者がMeta AIへのアクセス権を提供すると主張したこともありました。
ユーザーが広告をクリックすると、LLMを利用するメリットを概説したシンプルなウェブサイトにリダイレクトされます。 このサイトには、AIパッケージをダウンロードするためのリンクが掲載されています。 アンチウイルスソリューションによる検知を回避するため、攻撃者は、 999 や888といった単純なパスワードで暗号化されたアーカイブとして、このパッケージを配布しています。
パッケージ分析
アーカイブを解凍し、正しいパスワードで復号すると、その中にはMSIインストーラーファイルが1つ含まれています。 インストーラーを実行すると、インストール処理により、Chrome拡張機能に属するファイルが配置されます。 その後、バッチスクリプトを実行して、現在起動中のブラウザを強制終了させ、Google翻訳を装った悪意のある拡張機能を搭載した状態でブラウザを再起動させます。
悪意のある拡張機能の分析
この悪意のある拡張機能の主なロジックは、拡張機能のサービスワーカースクリプト内にあります。 難読化を解除した後、トレンドマイクロはその情報窃取機能を分析することができました。
このスクリプトはまず、c_user が存在するかどうかを確認し、Facebook のクッキーを盗み出そうとします。 その後、アクセストークンを盗み出し、それを利用してFacebookのGraphQLから追加情報をリクエストします。 このトークンを使用することで、スクリプトはFacebookのGraphQL APIにクエリを実行し、そのアカウントが管理するページの一覧や、それらに関する情報を取得することができます。 また、この窃取者は被害者のIPアドレスを入手しようと試みます。 盗まれた情報は連結され、URLエンコードおよび base64 エンコードが施された後、C2 サーバーへ流出されます。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
「このキャンペーンおよび脅威アクターは、企業のソーシャルメディア担当者、管理者、マーケティング担当者を標的としているようであり、かなり標的を絞った攻撃であることがうかがえます。」
「トレンドマイクロがこの問題を指摘した後、Metaは不正なページや広告を削除しましたが、これはしばしば『モグラたたき』のような状況であり、完全に根絶するのは難しいのです。」
これらの記事について、何かご意見やご感想など、共有したいことはありますか？ または Tanium のディスカッションフォーラム にアクセスして、会話を始めてみてください。
さらに詳しくお読みになりたい方は、当社の最新の「」サイバー脅威インテリジェンスまとめをご覧ください。
