SOCRadarの研究者が、Web3および暗号資産分野の専門職を狙う新たな高度なソーシャルエンジニアリング攻撃を確認しました。
悪名高い北朝鮮系ハッキング集団Famous Chollima(別名Wagemole)によるものとされるこのキャンペーンは、偽の採用面接と高度にインタラクティブなウェブポータルを利用し、候補者に自分の端末へリモートアクセス型トロイの木馬(RAT)をインストールさせるよう仕向けます。
SOCRadar脅威リサーチユニット(STRU)の研究者によると、この脅威グループは広範なフィッシング一斉送信ではなく、暗号資産市場における技術人材の高い流動性を悪用した、極めて個別化された採用詐欺へと手口をシフトさせているといいます。
Famous Chollimaは精巧な口実を作り上げることで、決定打を放つ前にターゲットとの間に高い信頼関係を築き上げます。
採用担当者を装った大がかりな詐欺の中でClickFixの誘導手口を活用
攻撃はLinkedIn、Telegram、Discord、そして直接のメールなど、主流のビジネス向けネットワークやコミュニケーションプラットフォーム上で始まります。
信頼のおける企業の採用担当者を装ったり、実在しない架空のウェブ企業をでっち上げたりして、攻撃者は開発者やシステム管理者に接触します。非常に魅力的な給与条件や輝かしいキャリアアップの機会をちらつかせて候補者を誘い込み、プロセスの次の段階、すなわち必須のスキル評価テストへと巧みに誘導します。
ターゲットが評価を受けることに同意すると、攻撃者が管理する専用のオンラインプラットフォームへ誘導されます。この悪意あるウェブインターフェースは、リアルタイム監視や心理測定を利用して本物らしさを演出します。厳格なゲーティング機構を備え、候補者が応募した職種に合わせた面接質問を表示し、心理的なプレッシャーをかけるためのカウントダウンタイマーも組み込まれています。
また、このプラットフォームはユーザーがブラウザのタブを切り替えようとすると自動で警告を発する仕組みも持っており、これによって候補者がページの不審な挙動を調べようとするのを効果的に阻止しています。
この欺瞞の核心となっているのが、ClickFixとして知られる手口です。候補者が評価テストを受けている最中に、プラットフォームは意図的に模擬エラーを発生させ、システムがカメラやマイクにアクセスできないと訴えます。
問題を解決して面接を続けるため、ページには診断コマンドをシステムのターミナルにコピー&ペーストするよう指示する親切なプロンプトが表示されます。
時間制限のプレッシャーの中で良い成果を出したいという候補者の心理につけ込むことで、攻撃者は従来型のセキュリティ警告を巧みにすり抜けているのです。
Windows経由の攻撃経路とPylangGhost
被害者がWindowsオペレーティングシステムを使用している場合、コピーしたコマンドを実行すると複雑な感染連鎖が始まります。このスクリプトはPowerShellやcurlといったシステム標準のユーティリティを利用し、攻撃者のサーバーから圧縮されたZIPアーカイブを取得します。
続いてVisual Basic Scriptを使ってPythonランタイムを密かに展開します。この環境を使って実行用のラッパーが動作し、最終的に高度にカスタマイズされたRATであるPylangGhostが読み込まれます。
検知を最大限回避するため、攻撃者はNuitkaを使ってPythonのペイロードをネイティブのダイナミックリンクライブラリにコンパイルしており、シグネチャベースのセキュリティツールによる脅威の特定を困難にしています。
macOS経由の攻撃経路とGolangGhost
macOSユーザーの場合も攻撃経路は同様に簡潔ですが、使用されるツールセットは異なるプログラミング言語で構築されています。悪意あるターミナルコマンドは、Go言語で書かれたリモートアクセス型トロイの木馬であるGolangGhostを取得・実行します。
Appleデバイスでは、感染プロセスにおいて主要なペイロードに加え、SwiftUIで構築された認証情報窃取用のヘルパーアプリケーションが併せてインストールされることが多く、これはmacOSユーザーを騙して管理者パスワードを渡させることを狙って特別に設計されています。
最大限の被害をもたらすよう構築されたモジュール型情報窃取マルウェア
PylangGhostとGolangGhostはいずれも、相互に連携する6つの要素から成る高度にモジュール化されたアーキテクチャの上に構築されています。
これらの構成要素には、主制御プログラム、専用の設定保持部、アーカイブ処理用ヘルパー、コマンド起動部、コマンド&コントロール(C2)通信モジュール、そして専用のデータ窃取モジュールが含まれます。
これらの独立したモジュールに機能を分散させることで、このマルウェアはコマンドの実行、永続化の維持、そして攻撃者のサーバーから受け取った指示に基づく新機能の動的な読み込みをシームレスに行うことができます。
この双頭のマルウェア群の主な目的は、資産窃取による金銭的利益です。
組み込まれた情報窃取モジュールは、80種類を超えるブラウザ拡張機能を標的としています。MetaMask、Phantom、TronLinkといった広く使われている暗号資産ウォレットに加え、NordPassのような市販のパスワードマネージャーからも、セッションデータや保存済み認証情報、秘密鍵を窃取するよう specifically プログラムされています。
多くのWeb3業界関係者はブラウザベースのツールを使って企業インフラを管理しているため、一度の侵入成功だけで攻撃者が数百万ドル相当のデジタル資産にアクセスできてしまう可能性があります。
攻撃基盤を稼働し続けるため、Famous ChollimaはHostingerやNameCheapといった低価格のレジストラを使って次々とドメインを登録しています。
長期的なインフラの堅牢性を重視するのではなく、速度と圧倒的な物量を優先し、防御側が古いドメインをブラックリストに登録する速さに負けないペースで新たな評価用ポータルを次々と立ち上げています。
さらに、モバイル端末からのアクセスを遮断したり、個別の招待リンクを検証したりといった精密なターゲティング制御も導入しており、自動化されたマルウェアサンドボックスやセキュリティアナリストがペイロード配送の仕組みを解析するのを防いでいます。
この新たな「ClickFake Interview」キャンペーンに関する7月20日付のレポートの中で、STRUの研究者らはこのキャンペーンが個人だけのリスクにとどまらないと指摘しています。
「攻撃者は企業の資金へと乗り換えるための間接的なアクセスも狙っており、これは組織にとっても同様に憂慮すべき事態です。というのも最近の報告によれば、『従業員の3人に1人が、他社への応募や面接、あるいは他社の仕事をこなすために会社の技術を利用したことがあると認めている』とされているからです」と研究者らは記しています。
翻訳元: https://www.infosecurity-magazine.com/news/north-korean-clickfake-campaign/
