著名なマルバタイジング(悪意ある広告)キャンペーンの運営者たちが、検知を回避する新たな手法を編み出しました。被害者のブラウザ内で不正な活動を隠しながら、最終的なペイロードをひそかに組み立てて配信するというものです。
この新手法は、2024年から活動を続け、進化を重ねてきた大規模なマルバタイジング活動「SourTrade」によるもので、Confiantのサイバーセキュリティ研究者が詳細を明らかにしました。
SourTradeはTradingView、Solana、Lunoなど著名な取引・暗号資産プラットフォームになりすまし、投資家やトレーダーを狙って情報窃取型マルウェア(インフォスティーラー)を配布することを目的としています。
7月23日に公開されたブログ記事によると、このキャンペーンは取引のコツや暗号資産の配布キャンペーンを装うなど、さまざまなマルバタイジングの誘導手口を使って潜在的な被害者の関心を引きます。ユーザーがこれらのサイトのいずれかを訪問すると、SourTradeはペイロードをひそかに配信するプロセスを開始します。
このサイトは完成した状態のマルウェアを一度に配布することはありません。その代わりに、マルバタイジングサイトは被害者のブラウザに組み立て用の命令を配信します。その後、別のインフラからクリーンなファイルを取得し、被害者のマシン上のメモリ内で最終的なマルウェアを組み立てるようブラウザに指示します。
完成したマルウェアがネットワーク上に存在することは一切ありません。
この設計は、多くのサイバーセキュリティ対策で悪意ある活動の特定に用いられるファイルフィンガープリンティングという手法を回避するために使われており、これによってSourTradeはペイロードを自由に配信できるようになっています。
Confiantの脅威インテリジェンス研究者であるMichael Steele氏は次のように述べています。「セキュリティツールが目にするのはクリーンなコンポーネントだけです。ネットワークログに記録されるのは、一見正規のダウンロードに見えるものです。攻撃の全容は、実行の連鎖全体を調べて初めて見えてきます」
マルバタイジングを通じてユーザーがサイトに誘導されると、JavaScriptの命令がマルウェア配信を構成する各パーツに向けてブラウザを準備します。この最初の段階では、マルウェアを組み立てるために使われる命令が配信されます。
その後、マルウェアの残りのコンポーネントがブラウザ内で組み立てられ、実行・配信されます。ブラウザ内で構築されているため、あらゆる保護機能に対してこのペイロードは信頼できる安全なものに見えてしまいます。一方で被害者は、自分のシステムに情報窃取型マルウェアがインストールされていることに気づきません。
Steele氏は「この設計は攻撃者側にいくつかの利点をもたらします。ネットワーク上に単一の安定したマルウェアバイナリを晒すことを避けられるうえ、被害者やセッションごとに出力を変化させることができます」と述べています。
研究者らは、SourTradeが今なお広範囲に及ぶ、進化を続けるマルバタイジングキャンペーンであると警告しています。
翻訳元: https://www.infosecurity-magazine.com/news/malvertising-builds-malware-in/
