ChョコShell、旅行者のMicrosoft 365トークンとブラウザセッションを窃取

ChocoShellは、Microsoftが新たに公表した「CaptiveCrunch」キャンペーンで使用されているPowerShellベースの情報窃取マルウェアです。世界各地の侵害されたホスピタリティネットワークに接続する旅行者から、Microsoft 365トークン、ブラウザセッション、Wi-Fi認証情報を盗み出します。

「CaptiveCrunch」と名付けられたこの攻撃は、ゲストネットワーク上のDNSおよびHTTPの通信を汚染します。これにより、正規のMicrosoft 365や更新用エンドポイントにアクセスしようとする旅行者は、気付かないうちに攻撃者が管理するインフラ経由へとリダイレクトされてしまいます。

ReliaQuestも7月23日に同様のDNS汚染の波を独自に報告しており、企業の出張者が持つクラウドアカウントを狙ってMicrosoftのオンラインサービスになりすましたドッペルゲンガードメインが使われていたことを指摘しています。

Microsoftの評価によると、Storm-2945はAIを活用してこれらの攻撃を大規模化させており、インフラ管理の自動化、フィッシングコンテンツの生成、ツールの適応的な更新を組み合わせています。

キャプティブポータルとWi-Fiゲートウェイは共通の管理スタックを使用しているとみられ、この侵害が個々の施設の設定ミスにとどまらず、キャプティブポータルのエコシステム全体に存在する構造的な脆弱性を突いている可能性を示唆しています。

通信を掌握したStorm-2945は、AitM(Adversary-in-the-Middle)のポジションを利用して、ブラウザやOSが行う通常の接続確認処理に悪意ある「更新」フローを注入します。

被害者の目には、ブラウザの更新やWindowsのトラブルシューティングツール、セキュリティユーティリティを装った説得力のあるプロンプトが表示されます。これにはClickFix形式の手順が組み込まれており、ユーザーを誘導して攻撃者が署名したバイナリをダウンロード・実行させます。

セキュリティ製品・サービス

これらのペイロードが投下するのは、Golangで書かれたリモートアクセス型トロイの木馬「CornFlake」です。CornFlakeは永続的なアクセスを確立し、広範なシステム偵察を行うとともに、ローカルのHTTP APIを公開します。このAPIは、ChocoShellのような後続ステージがモジュール式のタスク実行やデータの持ち出しに利用できます。

CornFlakeは無害な「Cloud Sync Service」に偽装し、svchostに似た名前でWindowsサービスとして登録され、サービス、Runキー、スケジュールタスク、さらに削除されたアーティファクトを再作成するウォッチドッグなど、複数の永続化メカニズムを重ねて実装しています。

いったん常駐すると、攻撃者は監視レベルの足がかりを得ます。キーロギング、クリップボードの窃取、スクリーンショット、音声・映像のキャプチャ、ファイルおよびUSBの監視、さらに任意のPowerShellやcmd.exeを実行できるリモートシェルまで備えています。

ChocoShellはPowerShellベースの情報窃取マルウェアとして完全にメモリ上で動作し、長期的な永続化よりも価値の高い認証情報やトークンの窃取に重点を置いています。

Microsoft Threat Intelligenceが追跡しているStorm-2945は、ロシアと関連のあるスパイ活動グループMidnight Blizzardのサブクラスターであり、ホテルや会議施設をはじめとするホスピタリティ施設のキャプティブポータル型Wi-Fiネットワークを乗っ取り、通信操作とAitM(Adversary-in-the-Middle)攻撃を実行しています。

実行されると、.NETリフレクションを介してAMSIを無効化しScriptBlockの検査を回避するほか、タイミングベースのサンドボックス検知回避策を実装し、HTTPS経由で攻撃者が管理するC2と通信します。この際、通常のWebテレメトリに紛れ込むよう、ピクセルビーコンやJavaScriptポリフィルファイルを模したパスを使用します。

ChocoShellによるMicrosoft 365の窃取

ChocoShellが管理者権限を取得すると、サイレントなUAC回避技術を使って権限昇格を図り、その後、体系的に情報を収集します。対象は、ChromiumおよびFirefox系のブラウザマスターキーとCookie、保存済みパスワード、Web Account Manager(WAM)アーティファクトを含むMicrosoft 365およびAzure ADのトークン、そしてnetsh経由で取得する平文のWi-Fiプロファイルです。

特に重要な点として、このツールはChromeのApp-Bound Encryptionを回避します。SYSTEMのDPAPIコンテキストになりすますか、あるいはChrome DevToolsプロトコルを悪用してブラウザ自身にCookieを内部的に復号させることで、ディスク上のストアに触れることなく平文のセッションデータを取得します。

安全なデータストレージ

Storm-2945は、「CloudSync Console」と称するWebベースのC2パネル「FruitStone」を通じてCaptiveCrunchを統制しています。このパネルは正規の企業向けクラウド管理ポータルを装っています。

このシングルページアプリケーションには、エージェント管理、リアルタイムでのタスク割り当て、ファイルシステムの閲覧、キャンペーン構築のための各種ダッシュボードが用意されており、プロキシリレー、ビーコンのタイミング設定、TLSなりすまし、ステージ型ペイロードのホスティングに関する設定を一元管理しています。

オペレーターは新しいCornFlakeペイロードをオンデマンドで作成できるため、防御側の対応に応じて機能の切り替えや回避手法の調整、インフラのローテーションを迅速に行うことが可能です。

CaptiveCrunchのランディングページの一部は、デバイスコード方式のフィッシングフローへと誘導します。これはMicrosoftの正規のOAuthデバイスコードワークフローを悪用するもので、偽のページでユーザーにパスワードを入力させることなくクラウドセッションを窃取します。

旅行者は、攻撃者が発行したデバイスコードを本物のMicrosoftサインインページに入力するよう指示されます。これにより、知らぬ間に攻撃者のセッションを承認し、Microsoft 365リソースへのアクセスを許可してしまいますが、通常のサインインログ上ではこの動きが無害に見えてしまう可能性があります。

この手法は、Midnight Blizzardおよび関連するロシアの攻撃者集団がこれまでにも確認されているデバイスコードフィッシングキャンペーンをさらに発展させたものであり、キャプティブポータルの乗っ取りとAI支援によるコンテンツ生成を組み合わせることで、ユーザーの信頼を得やすくし、成功率を高めています。

Microsoftは企業に対し、ホスピタリティ施設や公共のゲストネットワークを本質的に信頼できないものとして扱うよう強く求めています。機密性の高いリソースにアクセスする際は、管理されたモバイルホットスポット、トラベルルーター、あるいはeSIMベースの接続を優先すべきだとしています。

組織は条件付きアクセスおよびサインインリスクポリシーを強化し、可能な限りデバイスコードフローを制限または無効化するとともに、従業員に対してキャプティブポータル上の「更新」プロンプトやコマンドの貼り付けを促す指示は、原則として悪意あるものとみなすよう教育すべきです。特にPowerShell、cmd.exe、その他のスクリプトホストを起動させようとするものには注意が必要です。

セキュリティチームは、異常なデバイスコード承認、ブラウザのリモートデバッグ機能の不審な使用、AMSI回避やメモリ上での認証情報窃取を示唆する不審なPowerShellアクティビティを重点的に調査すべきです。特に、出張時に頻繁に使用されるシステムについては注意が必要です。

侵害指標(IoC)

注: IPアドレスとドメインは、誤って名前解決やハイパーリンク化されることを防ぐため、意図的に無害化(defang)されています(例: [.])。再度有効な形式に戻す作業は、MISP、VirusTotal、SIEMなど管理された脅威インテリジェンス基盤の中でのみ行ってください。

100万ドルのデータ侵害補償は本物の保護になるのか?: 10項目からなる無料のAI SOC侵害補償ガイドをダウンロード

データ侵害対応