新たに確認されたLampionマルウェアの攻撃キャンペーンが、日常的な財務・事務連絡を装ったフィッシングメールを使ってポルトガルのユーザーを標的にしています。
Acronis Threat Research Unit(TRU)の研究者らによると、この攻撃は肥大化・難読化されたHTMLファイルとVisual Basic Script(VBS)ファイルを段階的に利用し、その後Windowsのrundll32.exeユーティリティを使って約750MBのリモートアクセス型トロイの木馬(RAT)を起動するというものです。
Lampionは、ChePro系統に連なるブラジル発のバンキングマルウェアファミリーで、2019年に初めて確認されました。
ブラジル発祥ではあるものの、このマルウェアはポルトガルおよびポルトガル語圏の標的を執拗に狙い続けており、金融、税務、請求書、企業管理といったテーマを頻繁に悪用しています。
今回の攻撃キャンペーンはポルトガルへの集中度が非常に高く、Acronisが観測した検知のうち94.6%を同国が占めています。
スペインが4.3%、英国が1.1%を占めており、ポルトガル国外での活動は、このキャンペーンの主要な標的というよりも、副次的な波及にすぎないとみられます。
感染は、支払い領収書やその他の財務書類を含むと称するフィッシングメールから始まります。
メールには機密保持の通知、自動送信メールボックスに関する免責事項、企業署名、住所、ソーシャルメディアへの言及といった、信頼性を高めるための馴染み深い要素が盛り込まれており、通常の業務連絡のように見せかけています。
被害者はCOMPROVATIVO-JUNHO…zipのようなZIPアーカイブを受け取り、その中には大容量のHTMLファイルが含まれています。
このHTMLファイルは、無意味なマークアップとランダムな文字列によって約1.3MBまで肥大化させられており、静的解析を妨害し、単純なシグネチャベースの検知の効果を低下させることを狙った手口です。
このHTMLファイルを開くと、著名なポルトガルのオンラインサービスポータルのブランドを悪用した偽のSAPO Transferページが表示されます。
埋め込まれたJavaScriptがリモートアドレスを密かに復号し、次段階のJavaScriptをダウンロードして、実行中のブラウザドキュメントに注入・実行します。
Acronisによると、ホスティングインフラはジオフェンシング機能または被害者追跡機能を備えているとみられ、正規の感染フローを経ていない研究者が後続のペイロードを収集することを困難にしています。
この選別的な配信手法により、攻撃者は自らのインフラおよびマルウェアコンポーネントが分析者にさらされるリスクを抑えられます。
ダウンロードされるVBS段階のファイルは、Comprovativo_Junho_15-06-2026-WjGAxGL.vbsのように、文書ファイルらしい命名規則に従っています。
分析対象の1サンプルは約7MBのサイズがありましたが、機能を持つコードは約22KBに過ぎず、残りは不要な変数、無用なルーチン、エンコードされたデータで構成されており、ファイルを肥大化させてその目的を隠すことを意図していました。 acronis
難読化を解除した結果、研究者らはこのVBSが%TEMP%ディレクトリ内にダウンローダーを作成し、最終段階のVBSコンポーネントを取得・実行するためのスケジュールタスクを作成することを発見しました。
スケジュールタスクを利用することで、攻撃者は目に見えるアプリケーションウィンドウを表示させることなく、後続の段階を自動化し、永続性を確立する手段を得ています。
注記: IPアドレスおよびドメインは、誤って名前解決やハイパーリンク化されるのを防ぐため、意図的にディフェンジング処理(例: [.])を施しています。無害化解除(re-fang)は、MISP、VirusTotal、SIEMなど管理された脅威インテリジェンスプラットフォーム内でのみ行ってください。
ANY.RUNでSOC調査の死角をなくし、脅威をより早期に封じ込めることで、対応コストと業務への支障を軽減しましょう。
翻訳元: https://cyberpress.org/lampion-malware-deploys-massive-rat/