Bank of America を騙る偽フィッシング詐欺、リモートアクセス型マルウェアをインストール

Bank of Americaを装った偽メッセージを用いる新たなフィッシング詐欺が、サイバー犯罪者によって被害者のユーザーを遠隔操作するために利用されています。

サイバーセキュリティ企業Huntressが特定したこの偽メッセージは、最初のフィッシングメールから最終的に被害者がリダイレクトされるWebページに至るまで、同行の視覚的スタイル、レイアウト、ブランディングを一貫して模倣しています。

このメッセージは7月28日、Huntressのハニートラップアカウントに送信されました。メッセージは受信者に対し、同行の公式サイトだと称するページへのアクセスを促す内容でした。

しかし、「セキュリティセンター」だとされるリンクは、実際にはVisual Basicスクリプトを配信するものでした。このスクリプトが実行されると、複雑な内容を段階的にデコードする多段階の処理が始まり、最終的にScreenConnectのインストーラーがダウンロードされます。

メール内のリンクはBank of Americaの正規ドメインではなく、bkofamerica[.]comを指していました。メッセージ内のリンクも同様に、Bank of Americaではなくkleinschnitg[.]comを指しており、そこから開かれたsectioncompil[.]com上のページから悪意あるzipファイルが配信される仕組みになっていました。

研究者らは、この攻撃が被害者の使用デバイスの種類によって異なる形で仕込まれている点を指摘しています。

Macユーザーに対してはペイロードが存在せず、代わりに何らかの価値ある個人情報を入力するよう求められる仕組みになっていました。

一方、対象がWindowsのブラウザを使用していた場合は、「Account Guard」というツールのダウンロードとインストールを促されます。このページでは同ツールについて「金融データを保護し、不正な取引やその他のサイバー脅威を防ぐために設計された強力なツール」と説明されていました。

このページで「Update My Information」ボタンをクリックすると、AccountGuardSetup.zipという名前のファイルが配信されます。このzipファイルにはVisual Basic Scriptファイル(AccountGuardSetup.vbs)が含まれています。

この.vbsファイルを実行すると、対象システムにScreenConnect RMMがインストールされます。

これにより攻撃者は、ICMLuaUtil COMインターフェースを悪用したUACバイパスを呼び出すC#スクリプトを使って、静かに自身の権限を昇格させることが可能になります。

各段階には大きなBase64エンコードのデータブロブが含まれており、これらがデコードされることで追加のスクリプトが生成され、最終的にPowerShellのペイロードへとつながります。この最後のスクリプトは、UploadToURL.comから17MBのBase64エンコード済みインストーラーをダウンロードしてデコードし、ScreenConnectのMSIパッケージを被害者のシステムに書き込みます。

検出を回避するため、このマルウェアはScreenConnectを「Windows Security」という名前のサービスに偽装し、インストールの痕跡を消去したうえで、Windowsの権限設定を利用して関連ファイルやサービスを隠蔽し、通常のアンインストール操作を妨げます。

ScreenConnectがインストールされると、TCPポート8041経由で217.60.195[.]167にある疑わしいコマンド＆コントロール(C2)サーバーに接続し、攻撃者からの指令を待ち受けます。

このIPアドレスの位置情報はアラブ首長国連邦を示しており、レピュテーション上も問題視されています。ほかにも複数のマルウェアファミリーがこのアドレスをC2として使用していることが確認されているためです。

「このような攻撃を防ぐ最も簡単な方法は、メールの送信元がどこであるか、そしてリンクが実際にどこを指しているかに注意を払うことです」とHuntressは分析の中で述べています。