Arctic Wolf Labsは、デジタル署名付きインストーラー、Mark-of-the-Web(MotW)の除去、メモリ上でのシェルコード注入を組み合わせてマルウェアを配布する、新たなCastleLoaderキャンペーンを発見しました。
この活動は、CastleStealer、PythonRAT、NetSupport RAT、そして新たに確認されたNeedleStealerペイロードと結び付く、既に活発なキャンペーン群をさらに拡大するものです。
CastleLoaderは多段階型のローダーで、偽のソフトウェアインストーラー、ClickFix誘導、難読化されたPowerShellスクリプトを通じて配布されるのが一般的です。
今回明らかになった活動では、攻撃者が署名付きファイルを使うことで配信チェーンをより巧妙にし、ユーザーやセキュリティ製品からの信頼を得やすくしている実態が示されています。
研究者らは、qxvnrta[.]comと通信する新しいCastleLoaderシェルコードローダーの亜種を特定しました。
このインフラに紐づく複数の悪意あるインストーラーには、Mahu AgroおよびTECHNOLOGY APPRAISALS LIMITEDに関連する証明書を含む、有効なデジタル署名が付与されていました。
コード署名は本来、ユーザーがソフトウェアの出所と完全性を確認する手助けとなるものです。しかし今回のケースでは、攻撃者が証明書を悪用または不正に取得し、悪意あるインストーラーを正規のものに見せかけていたとみられます。
これにより不審感が薄れ、署名済み実行ファイルを過度に信頼する防御策が弱体化しかねません。Garriginキャンペーンは、この攻撃グループが重要なWindowsセキュリティシグナルをさらに一つ取り除く手口を示しています。
このキャンペーンで使われるPowerShellダウンローダーは、%ProgramData%\EdgeUpdate\に偽のMicrosoft Edge更新用フォルダを作成し、traffic1.exeをダウンロードした後、Zone. Identifier代替データストリームを除去してから、隠しファイルとなった実行ファイルを起動します。
Zone. IdentifierストリームはWindowsのMark-of-the-Web機構であり、ファイルがインターネット由来であることを記録し、セキュリティ警告やSmartScreenによるチェック、追加の精査を引き起こす仕組みです。
実行前にこれを除去することで、マルウェアはダウンロードファイルを特定するために設計された制御を回避しやすくなります。traffic1.exeというペイロードはNSISインストーラーで、組み込まれたIronPythonランタイムとエンコードされたスクリプトを展開します。
このスクリプトはCastleLoaderの第2段階シェルコードを取得し、メモリ上に直接注入します。これによりマルウェアがディスク上に残す痕跡が減り、ファイルベースの検知が困難になります。
Noidretキャンペーンは、CastleLoaderの配信チェーンにNeedleStealerのコンポーネントを追加した点で、今回の中でも最も重要な進展です。
NetSupport RATやCastleStealerに加え、このキャンペーンでは暗号資産ウォレットやWebブラウザを標的とするRustおよびGolangベースのツールも展開されます。
NeedleStealerのペイロードの一つは、Rustで書かれたデスクトップウォレットのなりすましツールです。正規のNode.jsバイナリと、ProgramData\NodeJS配下に配置された暗号化ファイルとともに配布されます。
Node.jsのインジェクターが小さなシェルコードスタブを復号し、それがウォレット狙いのペイロードをメモリ上にリフレクティブロードします。このウォレットなりすましツールは、Ledger、Trezor、Exodusの各ウォレットのリカバリー画面を模倣できます。
その狙いは、被害者を騙してリカバリーシードフレーズを入力させることにあり、これにより攻撃者は暗号資産の保有分を完全に掌握できてしまうと、arcticwolfは述べています。
Golangで書かれた2つ目のNeedleStealerコンポーネントは、悪意あるブラウザ拡張機能をインストールする一方で、注意を逸らすために無害に見える拡張機能も併せて追加します。
確認されたキャンペーンでは、この悪意ある拡張機能は広告ブロッカーを装っていました。こうした拡張機能はブラウザレベルのアクセス権を維持でき、セッショントークンを盗み取り、ユーザーがパスワードをリセットした後でも認証情報を窃取し続けることが可能です。
SOC調査の死角を減らし、ANY.RUNで脅威をより早く封じ込めることで、対応コストと業務への影響を抑えましょう。
翻訳元: https://cyberpress.org/signed-castleloader-evades-motw/
