大手物流会社や政府の税務当局を含む信頼された業務連絡になりすます多段階のフィッシングキャンペーンが確認されました。攻撃者はこの手口を使って、SMTP経由でデータを外部送信する認証情報窃取マルウェア「Phantom Stealer v3.5.0」を展開しています。
Seqriteが報告したこの攻撃キャンペーンでは、同一の感染経路を共有する2種類のフィッシングルアーが使われています。1つ目はUPS Forwarding Hubを装い、偽の出荷予約や見積もり詳細を提示することで調達担当チームを狙います。
2つ目はマレーシア内国税庁(LHDN)からの公式通知を装ったもので、マレー語で書かれており、14日以内に税務調査書類を提出するよう求めることで財務担当者に圧力をかけます。
どちらのメールも、圧縮アーカイブの中に悪意のあるJavaScriptファイルを仕込んでおり、「UPS Docs_Shipment Number 3264010420-Quote ID 203263067.js」のような業務に関連したファイル名を装うことで本物らしく見せています。
Phantom Stealerは、Base64エンコードされたAUTH LOGIN認証情報を使ってポート587経由でSMTPサーバーに認証を行います。その際にruhi@aktekmetal[.]com[.]trというアドレスが確認されています。
このマルウェアはSTARTTLSを使って接続を暗号化通信に切り替え、窃取したデータをカテゴリごとに個別のファイルとして送信し、最後にQUITコマンドで正常に接続を終了します。これにより正規の送信メールトラフィックを模倣し、検知を回避しています。
今回の攻撃キャンペーンについて、特定の脅威アクターとの明確な関連は確認されていません。Phantom Stealerはサイバー犯罪市場で広く流通しているコモディティ型マルウェアであり、複数の攻撃者によって使用されています。
この攻撃キャンペーンは、攻撃者が説得力のある業務上の口実と、多層的な難読化やファイルレス実行を組み合わせることで、従来型の防御をいかにすり抜けているかを浮き立たせています。
組織は、出荷や税務に関連する予期しない添付ファイルを注意深く確認し、スクリプトの実行を制限し、リフレクティブローディングやプロセスインジェクションを監視するとともに、異常なSMTP送信トラフィックを多層防御戦略の一環として検知対象に加えるべきです。
注記: IPアドレスやドメインは、誤ってアクセスやハイパーリンク化されることを防ぐため、意図的に無害化表記(defang)しています(例: [.])。再度有効な形式に戻す(re-fang)のは、MISP、VirusTotal、SIEMなど管理された脅威インテリジェンスプラットフォーム内でのみ行ってください。
SOC調査の死角を減らし、ANY.RUNで脅威をより早期に封じ込めることで、対応コストと業務への影響を軽減できます。
翻訳元: https://cyberpress.org/phantom-stealer-campaign-ups-tax-audit/