セキュリティ研究者は、単なるペイロード配布サイトではなく、マルウェアのテストと配布のための実験室として稼働していた、外部に露出したWebDAVサーバーを発見しました。
この基盤には、フィッシングの誘い文句、ショートカット悪用、Windows実行経路、そしてPureRATや認証情報窃取マルウェアへとつながるペイロード配布チェーンをテストするために使われた1,000点以上のファイルが含まれていました。
発見のきっかけは、MDRのテレメトリが、あるユーザーがrundll32.exeを通じてWebDAVの場所からファイルを起動したことを検知したことでした。調査担当者は、Windows WebClientサービスが起動し、davclnt.dllがリモートサーバーに接続する様子を観測し、これが露出したディレクトリの発見につながりました。
このサーバーには1,048点の成果物が保管されており、内訳は悪意のあるLNKランチャー453点、ファイル名偽装テスト236点、URLおよびLOLBin実行実験146点、暗号化ドロッパー89点に加え、WebDAVスクリプト、ClickFixページ、ペイロードのひな型、攻撃者向けドキュメントなどでした。
その規模と整理の仕方から見て、運用者はマルウェア配布をソフトウェア開発のワークフローさながらに扱っていたことがうかがえます。
攻撃者たちは、構造化されたREADME、テストマトリクス、誘い文句作成ガイド、スクリプト、そして自分たちのWebDAV管理パネル用ドキュメントの作成に生成AIを使用したとみられます。
複数のファイルには、高度に整形された手順書、絵文字を多用したコメント、2言語併記のテキスト、詳細なテスト手順、そしてLLMによる支援を受けたコンテンツ生成にしばしば見られるWindows実行動作パターンの説明が含まれていました。
この実験室では、WebDAV共有、UNCパス、search-ms: URI、.library-msファイル、コントロールパネル項目、信頼済みのWindowsバイナリ、PowerShellのダウンロードクレイドル、mshta、certutil、bitsadminなど、Windowsの配布メカニズムがテストされていました。
さらに、RTLO文字、Unicode偽装、二重拡張子、空白によるパディング、偽の文書アイコンも使用されており、実行ウィンドウを最小化することで悪意のあるファイルを正規のものに見せかけていました。
主要なテストセットの一つは、作業ディレクトリの悪用に関わるWindowsのインターネットショートカットの問題、CVE-2025-33053に焦点を当てたものでした。
この手法では、攻撃者が制御するWebDAV共有を作業ディレクトリとして設定しつつ、iediagcmd.exeのような正規のバイナリを呼び出すことが可能です。
アプリケーションが名前指定で子プロセスを起動する場合、Windowsは想定されているローカルパスの代わりに、これらのバイナリをリモートのWebDAVの場所から解決してしまう可能性があります。
運用者はこの概念をさらに発展させ、.NETユーティリティやLOLBin、システムバイナリ、UAC回避の候補を対象とする59ファイルのテストキットを作成しました。
露出していたファイルからは、攻撃者がInstallUtil、RegAsm、RegSvcs、ngentask、CustomShellHost、OfficeC2RClient、fodhelperといったWindowsコンポーネントで実験を行っていたことが確認されています。
最も活発だったキャンペーンは、タイポスクワッティングされたドメインgobf[.]mxを通じて、メキシコの国民ID検索サービスCURPになりすますものでした。
被害者には政府機関風の偽ポータルが提示され、身分証明書とされる文書の取得を促されます。
このフィッシングサイトはPDFを配布する代わりに、search-ms: URIを起動させ、.scrファイルを含むリモートのWebDAV共有を開かせる仕組みになっていました。
主な誘い文句として使われたReportFinal.rcs.pdfは、実際にはPDFではなく、RTLOによってなりすまされたWindowsのスクリーンセーバー実行ファイルでした。
注記: IPアドレスとドメインは、誤って名前解決やハイパーリンク化されるのを防ぐため、意図的に無害化表記（例: [.]）としています。再度有効な表記に戻す作業は、MISP、VirusTotal、ご利用のSIEMなど、管理された脅威インテリジェンス基盤内でのみ行ってください。
より強力なプロアクティブ防御で、重大インシデントと金銭的損失を未然に防ぎましょう。15,000のSOCが利用するライブ脅威フィードを統合
翻訳元: https://cyberpress.org/genai-webdav-lab-delivers-malware/
