バンクオブアメリカ(BoA)を偽装したフィッシングキャンペーンが進行中です。Windowsユーザーを騙してScreenConnectリモートアクセスソフトウェアをインストールさせ、その後アンインストールしにくくする手口です。
MacとWindowsユーザーで異なる罠
「アカウント制限を回避するため」に特定の操作が必要だと主張し、onlinebanking@ealerts[.]bkofamerica[.]comから送信されたメールは、受信者に深く考えずリンクをクリックさせようとします。
Huntressの研究者によると、Macユーザーが誘導されるのはBoAを模したページで、ユーザー名とパスワードでログインさせた後、個人情報や金融情報を入力させます。
Windowsユーザーが誘導される別のBoA偽装ページでは、情報の更新と「Account Guard」というソフトウェアのダウンロード・インストールを求められます。
「Update My Information」ボタンをクリックすると
AccountGuardSetup.zipのダウンロードが始まります。
このアーカイブファイルを解凍し、中にあるAccountGuardSetup.vbsファイルを実行したユーザーは、一連の連鎖処理を引き起こし、最終的にカスタムのScreenConnectリモートモニタリング・管理(RMM)クライアントがインストール・実行され、攻撃者が感染したコンピューターに接続できるようになります。
「このIPアドレスはアラブ首長国連邦に地理的位置が特定され、他の複数のマルウェアファミリーがこのアドレスをコマンド&コントロール(C2)として使用しているとみられることから、レピュテーション上問題があります」と、Huntressのサイバー犯罪アナリストであるAndrew Brandt氏は明らかにしています。
ScreenConnectのインストールと隠蔽
このVBSファイルの解析は、「攻撃の各段階を実行するすべてのスクリプト内に、通常より多くの埋め込みBase64エンコードデータブロブが存在する」ことにより、困難になっていました(ただし不可能ではありませんでした)。
Huntressの解析により、これらのブロブをデコードすると何が起こるかが明らかになりました。
- 一定の遅延後、複数のPowerShellスクリプトが連鎖的に実行され、それぞれが次のスクリプトを呼び出す
- 最後のスクリプトが、UploadToURL.comからエンコードされたsc.msiファイルをダウンロード・デコードし、%localappdata%\Microsoft\フォルダに書き込んだ後、自身に埋め込まれた2つの追加データブロブを復号する
最初のブロブには、公開されているユーザーアカウント制御(UAC)バイパスのエクスプロイトが含まれており、最後のPSスクリプトはこれを使って(ユーザーへのプロンプト表示なしに)管理者権限でScreenConnectのsc.msiファイルをインストールします。
ScreenConnectはWindowsサービスとして登録されますが、その名前は目立たないよう「Windows Security」に設定されています。
「2つ目のAES暗号化されたブロブは復号すると、2つの処理を行うVBScriptになります。ScreenConnectインストーラーを指すレジストリキーを削除すること、そしてScreenConnectがインストール済みアプリの一覧に表示されないようにする、あるいは通常の方法でアンインストールできないようにすることです」とBrandt氏は指摘しています。
「このスクリプトはさらに、Windowsサービス記述言語(SDDL)とアクセス制御リスト(ACL)を利用して、標的となったユーザーがコンピューターに変更を加えられないようにブロックし、ScreenConnectのプロセスを隠蔽します」
最後に、親のPSスクリプトが両方のスクリプトを削除します。
削除こそが難関
ブラウザのアドレスバーなど、どこを確認すべきかを知っていて、銀行口座へのアクセスを失うことへの動揺から警戒心を失わなければ、フィッシングページは簡単に識別できます。正規のBoAドメインとは似ても似つかないドメイン(kleinschnitg[.]com、sectioncompil[.]com)でホストされているためです。
不幸にもこの罠にかかってしまった人は、SDDL ACLによってコンピューターへの変更がブロックされ、ScreenConnectのプロセスが隠蔽されているため、ScreenConnectクライアントのアンインストールに苦労することになります。
services.msc、Get-Service、sc.exe queryといった一般的なツールでも、「Windows Security」サービスは一覧に表示されないとBrandt氏は指摘しています。
「最初のフィッシングメールを見る限り、これは特定の標的向けにカスタマイズされたものではなく、バンクオブアメリカを装った一般的なブランド偽装であり、おそらく多数の潜在的被害者に送信されたものと考えられます。当社のハニートラップアカウントでもこの最初のフィッシングメールを受信しており、これも攻撃者が広範囲にメールを一斉送信していたことを示しています」と同社は当社に語りました。
この攻撃は、異なるデバイスを持つ多数の対象者から得られる成果を最大化するように仕組まれているとみられます。
「攻撃者はおそらくWindowsマシンを念頭に攻撃を構築しています(SDDLの使用がその証拠です)が、別のOSからアクセスしたユーザーであってもフィッシングは可能なため、攻撃範囲が広がっています」と同社は結論付けています。
翻訳元: https://www.helpnetsecurity.com/2026/08/05/fake-bank-of-america-email-account-guard/
