北朝鮮と関係のある脅威アクターが、偽の求人面接と偽のカメラトラブルシューティング指示を使い、WindowsおよびmacOSユーザーにリモートアクセス型トロイの木馬(RAT)を感染させています。
「ClickFake Interview」として追跡されているこのキャンペーンは、暗号資産・Web3業界の専門家を標的としており、企業システムや投資家情報、デジタル資産にアクセスできる可能性のある非技術系スタッフも対象に含まれています。
脅威研究者らは、この活動をFamous Chollima(別名Wagemole)によるものと分析しています。
同グループは架空企業のリクルーターを装ったり、正規の暗号資産・人事系ブランドになりすましたりして、LinkedIn、Discord、Telegram、メール、その他のソーシャルプラットフォームを通じて標的に接触します。
被害者は、法務顧問、投資パートナー、財務マネージャー、コンプライアンス責任者、ビジネスインテリジェンスアナリスト、プロダクトリーダーといった職種を想定した、プロフェッショナルな見た目のオンラインスキル評価を受けるよう誘導されます。
これらのサイトでは職種別の質問、カウントダウンタイマー、タブ切り替え警告、動画録画の要求などが用いられ、面接を本物らしく見せるとともに、候補者に指示への服従を促す圧力をかけています。
動画録画の最終段階になると、悪意あるサイトは偽のカメラまたはマイクエラーを表示します。そして「修正方法」というオプションを提示してきます。
これはClickFix型の手口であり、被害者はWindowsの「ファイル名を指定して実行」やコマンドプロンプト、PowerShell、あるいはmacOSのターミナルにコマンドをコピー&ペーストするよう指示されます。
表示されているコマンド自体は無害に見え、多くの場合Microsoft製のグラフィックドライバー更新やmacOSのソフトウェアパッケージを装っています。
しかし実際には、被害者が表示テキストをコピーした瞬間、このWebサイトがブラウザのクリップボードを乗っ取ります。ペーストされる内容には偽装用のコマンドが含まれるものの、その裏でマルウェアをダウンロードして実行する命令が密かに追加されているのです。
Windowsでは、この悪意あるコマンドがZIPアーカイブを取得し、PowerShellで展開したうえで、wscriptを使ってVisual Basic Scriptファイルを起動します。
このスクリプトは同梱されたPython環境を展開し、Nuitkaを使ってPythonのダイナミックモジュールとしてコンパイルされたRAT「PylangGhost」を読み込みます。
PylangGhostはレジストリのRunキーによる永続化を確立し、被害端末の情報を収集したうえで、リモートシェルコマンドの受信、ファイルのアップロードやダウンロード、HTTP経由でのコマンド&コントロール(C2)インフラとの通信を行います。
このRATは特に、MetaMask、Coinbase Wallet、Trust Wallet、Binance Wallet、Rabby Wallet、その他のPhantom系代替ツールやWeb3関連ツールに紐づく拡張機能を探索対象としています。
さらに、Chromeの「App-Bound Encryption」保護機能を回避し、保存された認証情報の窃取を試みることも可能です。
macOSの被害者に対しては別の感染経路が使われます。コピーされたコマンドはBashスクリプトをダウンロードして実行し、隠しディレクトリを作成したうえでGoランタイムをダウンロードし、RATのmacOS版である「GolangGhost」を起動する仕組みです。これはsocradarが指摘しています。
注: IPアドレスおよびドメインは、誤った名前解決やハイパーリンク化を防ぐため意図的に無害化表記(defang、例: [.])しています。再度有効な形式に戻す作業は、MISP、VirusTotal、SIEMなど管理された脅威インテリジェンスプラットフォーム上でのみ行ってください。
SOC調査の死角を解消し、ANY.RUNで脅威をより早期に封じ込めることで、対応コストと事業への影響を軽減しましょう。
翻訳元: https://cyberpress.org/fake-camera-fixes-deploy-rats/
