Huntressの研究者らは、Bank of Americaになりすました活発なフィッシングキャンペーンを確認しました。このキャンペーンは最終的にリモート監視管理(RMM)ツールを密かにインストールし、攻撃者に被害者のWindows端末への永続的かつ検知されにくいアクセス手段を与えるものです。
このキャンペーンは、7月28日にHuntressのスパムトラップアカウントの一つにメッセージが届いたことで発覚しました。送信元は、正規のBank of Americaドメインに似せて偽装されたアドレスでした。メールは使い古された社会工学的手口を用いており、期限付きの警告文でアカウント情報の「確認」を促し、応じなければ制限が課されると受信者に思わせる内容になっています。
端末に応じて変化するペイロード
Huntressの分析によると、フィッシングインフラはアクセスしてきた端末をフィンガープリンティングし、それに応じて異なるコンテンツを配信します。Macユーザー、あるいはWindows以外のユーザーエージェントを持つ利用者に対しては、通常の認証情報窃取ページが表示され、そこでは自宅住所、政府発行のID番号、社会保障番号(Social Security Number)、カード決済情報の入力まで求められます。一方、Windowsユーザーには「Account Guard」というソフトウェアのダウンロードと実行を促す画面が表示されます。偽ページ上ではこれは保護用ソフトウェアとして説明されていますが、実際には正規のRMMツールであるScreenConnectを不正利用したトロイの木馬化インストーラーです。ScreenConnectは脅威アクターによってしばしば悪用されるツールとして知られています。
多層の難読化とUACバイパス
ダウンロードされるアーカイブにはVisual Basic Scriptが含まれており、これが長大なデコード処理の連鎖を開始します。最終段階でPowerShellスクリプトが実行されるまでに、base64エンコードされたペイロードが複数段階にわたって入れ子状に埋め込まれています。このスクリプトは、一般公開されているファイル共有サイトから17MBのScreenConnectインストーラーを取得し、その中に組み込まれているAES-128-CBCで保護された2つのデータブロブを復号します。
一方のブロブはC#のソースコードにデコードされますが、Huntressによればこれは公開されているGitHub上の概念実証コードからそのまま転用されたものとみられます。このコードは、既知のユーザーアカウント制御(UAC)バイパス手法としてMITRE ATT&CKのT1548.002に分類されているICMLuaUtil Elevated COMインターフェースの脆弱性を悪用し、ユーザーが警戒するよう教えられているはずのUACプロンプトを一切表示させることなく、ScreenConnectインストーラーを管理者権限で実行させます。
もう一方のブロブはVBScriptにデコードされ、インストーラーを指すレジストリキーを削除するとともに、セキュリティ記述子定義言語(SDDL)の文字列とアクセス制御リストを適用します。これにより、「Windows Security」という偽名でインストールされたサービスは、管理者であっても表示・無効化・削除ができない状態になります。侵害された端末はその後、ポート8041/tcp経由でアラブ首長国連邦(UAE)にあるコマンド&コントロール用アドレスと通信を行います。
検知と対策
Huntressは、このキャンペーンは最も早い段階で検知可能だと指摘しています。送信元ドメインも、埋め込まれたリダイレクトリンクも、いずれもBank of Americaの正規インフラを指しておらず、ファイルがダウンロードされる前の段階でブラウザのアドレスバー上でこの食い違いを確認できるためです。同社は悪性ドメイン、C2のIPアドレス、ファイルハッシュを含む侵害指標(IOC)一式をGitHubリポジトリで公開しており、各組織に対して、無許可のScreenConnectインストールや、エンドポイントのサービスにおける不審なSDDL・ACLの変更を監視するよう推奨しています。
今回の調査結果は、RMMの悪用が依然として脅威アクターに好まれる手法であることを裏付ける新たな証拠と言えます。従来型のマルウェア検知を回避しながら永続的なアクセスを確保する狙いがあり、特に、標的企業の視覚的アイデンティティを巧妙に模倣したブランドなりすましフィッシングと組み合わせることで、通常の注意程度では見破られにくくなっています。
