COLDCARDのセキュリティ監査を装うフィッシング攻撃、リモートアクセスツールをインストール

あるフィッシングキャンペーンが、最近明らかになったCOLDCARDウォレットの脆弱性と、8,860万ドル相当のビットコインが盗まれたとされる事件への不安につけ込み、ユーザーを騙してScreenConnectのリモートアクセスソフトウェアをインストールさせようとしています。

このキャンペーンを発見したProofpointによると、攻撃者はCOLDCARDを装ったメールを送りつけ、同社のハードウェアコールドストレージウォレット製品全体でセキュリティ監査が進行中であると主張しているとのことです。

今回のフィッシングキャンペーンは、複数のCOLDCARDモデルおよびファームウェアバージョンに影響する乱数生成の欠陥が原因とみられる手口により、攻撃者が最近約1,367ビットコイン(推定8,860万ドル相当)を4,585個のアドレスから盗んだとされる事件を受けて展開されています。

メールはcompliance@coldcardteamnewsから送信され、件名は「Hardware audit now available(ハードウェア監査を実施中)」となっており、最近判明した事実を受けてCOLDCARDが全ハードウェアリビジョンにわたるデバイスの完全性を検証する必要があると受信者に伝えています。

「COLDCARDデバイスネットワーク全体で現在、協調的なセキュリティ監査が実施されていることをお知らせします。最近の調査結果を受け、すべてのリビジョンにわたるハードウェアの完全性を検証する必要があり、皆様のご協力が必要です」と、この偽のセキュリティ監査メールには記されています。

メールはユーザーを、いわゆる「Security Verification & Incident Reporting Tool(セキュリティ検証・インシデント報告ツール)」へと誘導し、この手続きはエアギャップ環境で行われ、リカバリーシードの入力を求めることはなく、8月10日までに完了する必要があると主張しています。

「Access the Audit Tool(監査ツールにアクセス)」ボタンをクリックすると、coldcardcompliance.comというサイトが開きます。このサイトはCOLDCARDになりすまし、「Start Hardware Audit(ハードウェア監査を開始)」ボタンをクリックしてツールをダウンロードするよう促すメッセージを表示します。

この偽サイトには、標的となったユーザーがCOLDCARDデバイスに関するサポートを受けられると謳うライブの「カスタマーサービス」チャット機能も用意されています。

Proofpointが公開したチャットの記録によると、オペレーターは被害者にWindowsとmacOSのどちらを使用しているかを尋ねたうえで、Windowsユーザーにはダウンロードしたツールを実行するよう指示していました。

あるユーザーが黒い画面と管理者権限を求めるプロンプトが表示されたと報告すると、オペレーターはそのプロンプトはインストールを開始するために必要なものだと説明し、「はい」をクリックするよう伝えていました。

Proofpointは、これらのやり取りは自動化されたチャットボットではなく、実際の人間によって行われている可能性が高いとみています。これにより攻撃者は被害者の懸念に対応し、ためらう相手にインストールを進めるよう圧力をかけることができます。

バッチファイルがリモートアクセスソフトウェアをインストール

ProofpointがX上で明らかにしたところによると、このウェブサイトの「Start Hardware Audit」ボタンをクリックすると、GitHubアカウントからCOLDCARD_Diagnostic_Tool.batという名前のバッチファイルがダウンロードされます。

BleepingComputerはProofpointが共有した25.7MBのバッチファイルを解析し、その中にBase64エンコードされた2つのファイルが直接埋め込まれていることを確認しました。

このスクリプトが実行されると、まずデバイスの診断を行っているように見せかけますが、実際にはバックグラウンドでユーザーが管理者権限を持っているかどうかを確認します。権限がない場合は、PowerShellを使ってユーザーアカウント制御(UAC)のプロンプトを表示させ、昇格した権限を要求する形で自らを再起動します。

続いてこのスクリプトは、埋め込まれたBase64エンコードファイルをWindowsのtempフォルダ内にランダムな名前のディレクトリを作成してsetup.msi[VirusTotal]およびdocusign.exe[VirusTotal]として保存し、Windowsのcertutilを使ってデコードします。

setup.msiファイルのインストールが完了すると、スクリプトはdocusign.exeを起動して「Installation Complete(インストール完了)」のメッセージを表示し、その後一時ディレクトリを削除します。docusign.exeファイルは正規の署名付き実行ファイルで、DocuSignのプリンタードライバーをインストールするものであり、攻撃時にはおとりとして使われています。

MSIによって起動されるsetup.msiファイルの正体は、実はConnectWise ScreenConnectのインストーラーです。ScreenConnectはリモート管理ツールで、脅威アクターにデバイスへのリモートアクセス権を与えます。

Proofpointによると、これが起動するとactiveretirementrelocation[.]comに接続します。これは脅威アクターが使用するScreenConnectのコマンド&コントロール(C2)サーバーです。

ScreenConnectを通じて接続が確立されると、攻撃者はコンピューターに遠隔からアクセスし、データや暗号資産を盗んだり、追加のマルウェアをインストールしたりすることが可能になります。

Proofpointは、このアクセス権がランサムウェアの展開に使われる可能性もあると警告しています。