偽のFlash Playerが「AtlasRAT」を仕込む

研究者たちが明らかにしたところによると、偽のFlash Playerインストーラーを通じて「AtlasRAT」と呼ばれるリモートアクセス型トロイの木馬(RAT)を配布するキャンペーンが確認されています。

「Flash Player」を今なお検索する人が後を絶たないのは、Flashを前提に作られたコンテンツやソフトウェアが驚くほど多く、それらがきちんと移行されずに残っているためです。ユーザーは単に、昔のサイトやゲーム、業務用アプリを手っ取り早く再び動かしたいだけなのです。

問題の根本は、Adobeが2020年12月31日にFlash Playerのサポートを終了し、公式プレーヤーでFlashコンテンツが動作しないよう積極的にブロックしている点にあります。

攻撃者は、ゲームや業務用アプリを動かすために今でもFlashを検索する人が一定数いることを知っており、見慣れた正規のもののように見える偽のFlash関連インストーラーにマルウェアを仕込みます。

AtlasRATの感染チェーンが、「AGE Flash Player」インストーラーを装ったDelphi製の実行ファイルFlashPlay.Exeから始まるのも、こうした事情によるものと見られます。第1段階のローダーはすべてメモリ上で動作し、明白なファイルをディスクに書き出す代わりに追加のペイロードを再構築します。これはファイルレスマルウェアとしばしば呼ばれる手法です。

最終ペイロード(MainDll.Dll)は、CN=update.Microsoft.Comを騙る自己署名証明書を使ってTransport Layer Security(TLS)によるクライアント通信を初期化し、コマンド&コントロール(C2)通信を暗号化します。

自己署名証明書とは、信頼された認証局(CA)ではなく所有者自身の鍵で署名した証明書を指します。つまり攻撃者は、実際にはupdate.microsoft.comやgoogle.comを管理していなくても、それらを名乗る証明書を作成できてしまいます。Webブラウザであればこうした証明書は警告付きで拒否されますが、独自のマルウェアであればオペレーティングシステムの信頼性チェックを単純に無視し、暗号化されたC2通信を確立するために利用できてしまいます。

AtlasRATが一度インストールされると、攻撃者は感染したWindowsシステムに対して長期にわたる遠隔操作の足がかりを得ることになり、以下のような機能を悪用できます。

• オフラインのキーロギングによる認証情報の収集
• システム情報の収集、導入済みセキュリティ製品の特定
• 暗号化された通信路を介したデータの窃取
• WeChatなどのアプリケーションへのDLLインジェクション。これにより、攻撃者がメッセージングを監視・操作したり、マルウェアの活動や通信を隠蔽したりできる可能性があります。

過去のデータを踏まえ、研究者たちはAtlasRATが単一グループが使い捨てで使うツールではなく、再利用可能なフレームワークないし商用サービスである可能性が高いと見ています。

身を守るために

特定の作業をこなすためのアプリやソフトウェアを探す際は、サイバー犯罪者が人気の検索キーワードを悪用して半標的型攻撃を仕掛けてくることが多い点を念頭に置いてください。実際、過去のキャンペーンではAtlasRATが偽のVPNインストーラーとして配布された例もあります。

このRATをはじめとする脅威からパソコンを守るためのポイントをいくつか紹介します。

• インストールしようとしているものの正体を必ず確認しましょう。スポンサー付きの検索結果だからといって、そのソフトウェアが正規のものだとは限りません。
• リモートアクセス型トロイの木馬を検知・ブロックするために、常に最新の状態を保ったリアルタイム型のアンチマルウェアソリューションを使用してください。MalwarebytesはAtlasRATをMalware.AI.1710771908として検出します
• オペレーティングシステム、ブラウザ、セキュリティソフトウェアを常に最新の状態に保ちましょう。

脅威を報じるだけでなく、取り除くために。

サイバーセキュリティのリスクを、見出しの中だけの話にしてはいけません。 今すぐMalwarebytesをダウンロードして、お使いのデバイスを脅威から守りましょう。