攻撃者、BECフィッシングで複数の回避戦術を組み合わせ

攻撃者は有名企業になりすまし、さまざまなリモートアクセス型トロイの木馬(RAT)や情報窃取型マルウェアを配布する大規模なフィッシングキャンペーンを展開しています。このキャンペーンは最大限の検知回避を狙って設計されており、脅威アクターが従来の実行ファイル型攻撃から進化を続けている実態を浮き彫りにしています。偽装フォントファイル、Luaインタープリタ、メモリ内実行を組み合わせ、エンドポイント防御の回避を図っています。

Fortinetの研究者は3月下旬から、「The TFF Trap」と名付けられたこのキャンペーンを観測しています。先週公開されたレポートによると、このキャンペーンはファイルレス技術と検知率の低いLuaベースのローダーを組み合わせ、Agent Tesla、Remcos、XWorm、Best Private Loggerなど複数のマルウェアファミリーを展開しています。この名称は、攻撃者がAutoIT/Luaローダーを隠すためにTrueTypeフォント(.ttf)ファイルを使用していることに由来します。

Fortinetの脅威研究者Yurren Wan氏はレポートの中で、「これらのキャンペーンでは、ドロップされた実行ファイルがインタープリタとして機能する一方、中核となるローダースクリプトは.ttf拡張子に偽装されている」と記しています。「この偽装ローダーが後続ステージを復号・ロード・実行し、最終的にマルウェアを展開する」としています。

攻撃者はMicrosoft Windowsシステムを標的とし、最終的にはシステムの制御権を奪うか、攻撃で展開される複数のマルウェアタイプのいずれかを通じて盗んだデータを後続攻撃に利用することを狙っています。被害者との最初の接点は、被害者になじみのある企業を装い、ビジネス上の協力関係を装ったメッセージを使うビジネスメール詐欺(BEC)によって攻撃が仕掛けられます。

検知回避を狙って設計されたなりすまし攻撃

Fortinetによると、攻撃者は攻撃の各段階に回避技術を組み込んでおり、大規模な形でまとめて見られることが稀な、複数のよく知られた手法を組み合わせています。Wan氏によると、正規のスクリプト実行環境を悪用し、ペイロードを直接メモリにロードし、悪意あるコンテンツを無害なフォントファイルに偽装することで、攻撃者はシグネチャベースの検知や静的解析の機会を大幅に減らし、成功率を高めています。

とはいえ、こうした回避策の積み重ねは、あらゆるフィッシング攻撃と同じ出発点から始まります。サイバーセキュリティソフトウェア企業Keeper SecurityのCISO(最高情報セキュリティ責任者)であるShane Barney氏は、「誰かが信頼できそうな企業からのメールを開封し、それに基づいて行動を起こす」ことがきっかけになると指摘します。今回のケースでは、攻撃者はFedExなど、疑いなくやり取りしてしまいがちな配送・物流企業になりすましています。

同氏はDark Readingに対し、「難読化のレイヤー、フォントファイルに偽装されたLuaローダー、ファイルレスの実行チェーン——これらすべては、その人間の判断が下された後に検知をかいくぐるために存在している。組織はこの点を常に視野に入れておくべきだ」と語っています。

この攻撃連鎖は、被害者候補が高度に難読化されたJavaScriptの形をとったメール添付ファイルを実行することで始動します。実行されると、被害者のシステム上に永続化を確立し、第2段階のローダーを起動します。しかし、このマルウェアは従来型の実行ファイルを配置する代わりに、正規のLuaJITまたはAutoItインタープリタと、実際には暗号化されたLuaバイトコードを含む.ttfに偽装されたファイルを併せて展開します。

Fortinetによると、その後インタープリタが悪意あるコードを直接メモリ上で復号・実行し、さらなる解析回避チェックを行い、エンドポイントセキュリティツールが監視している可能性のあるWindows APIのフックを解除し、最終ペイロードをディスクに書き込むことなくリフレクティブロードします。

Fortinetによると、このように難読化が静的解析を混乱させる一方、信頼されたインタープリタの悪用は悪意ある活動を正規のプロセスに紛れ込ませるのに役立っています。攻撃の後段では、偽のフォントファイルが拡張子ベースの検査からペイロードを隠し、メモリ常駐型の実行がフォレンジック上の痕跡を最小限に抑えます。Wan氏によると、これによりウイルス対策(AV)ソフトや一部の振る舞い検知型セキュリティツールでさえも悪意ある活動を検知できる可能性が低くなります。

高度なサイバー戦術からビジネスを守るには

フィッシングは依然として脅威アクターにとって確実な攻撃経路であり続けており、組織は自社の従業員がThe TFF Trapの攻撃者が使うような高度な手口に、いずれ引っかかってしまう可能性があることを前提とする必要があります。そうなった場合、システムの安全性を保つ鍵となるのは、攻撃者が侵入した後のアクセスを制限することだと専門家は言います。Barney氏は、このケースではアイデンティティおよびアクセス管理が、初期アクセスが成功した後に攻撃者がアクセスできる範囲を制限することで攻撃の影響を大きく左右すると指摘します。

同氏は、「特定の認証情報がアクセスできる範囲を制限し、最小権限の原則を徹底し、機微なシステムには再認証を要求し、異常なセッション挙動を監視することは、すべてのフィッシングメールの着信を防げるわけではないが、一通が成功した後に攻撃者が達成できることを大幅に制限する」と述べています。

The TFF Trapによる初期侵害そのものを回避できるよう、Fortinetは防御側が追跡すべき包括的な侵害指標(IoC)一式を公開しました。これにはURL、Jscript、Luaスクリプト、コマンド&コントロール(C2)のネットワークアドレスが含まれます。

また組織は、従業員に「特にメールが見覚えのある名前からの日常的な業務依頼を装って届いた場合、メール内の緊急性を疑ってかかる」習慣を身につけさせることも有効だとBarney氏は付け加えます。「その種の予期しない連絡は、別の経路を通じて確認が取れるまで、未確認のものとして扱うべきだ」と同氏は述べています。