偽のZoomインストーラーを使ったマルウェアキャンペーンが確認され、オープンソースのリモートアクセス型トロイの木馬(RAT)「Overlord」をmacOSとWindowsの両システムに配布しています。
今回の発見で注目すべきは、その珍しい配布手法です。.NETベースのダウンローダーはmacOSマルウェアではめったに使われないフレームワークですが、これにより同一のコードベースで複数OSを標的にできるようになっています。
「ZoomMeetings」と名付けられた悪性バイナリは、macOS ARM64向けのMach-O実行ファイルで、ランタイムを内包した.NET 10のシングルファイルアプリケーションとしてビルドされています。
Jamf Threat Labsの分析時点では、VirusTotal上の静的検出エンジンではこのファイルは検知されていませんでした。コードは大幅に難読化されており、メソッド名やフィールド名はランダムな16進文字列に置き換えられ、内部の文字列テーブルはbase64でエンコードされた上で固定キーによりXOR処理されています。
珍しいことに、外側のMach-Oラッパーには34個のWindows PE形式DLLが埋め込まれており、そのうち1つは正規のZoomインストーラーのメタデータを模倣し、残りは標準の.NETランタイムライブラリです。このクロスプラットフォームなパッケージ構成こそが、同一のダウンローダーがmacOSとWindowsの両方でネイティブに動作できる理由です。
このダウンローダーは.NETのRuntimeInformation APIを使って被害者のOSとアーキテクチャを検出し、攻撃者のインフラcdn.zoom.com[.]kgから3種類のプラットフォーム別ペイロード(macOS ARM64、macOS Intel、Windows)のいずれかを取得します。各リクエストにはランダムに生成されたトークンが必要で、これがないと401エラーが返される仕組みです。
実行されると、マルウェアはペイロードを/tmp/ZoomMeetingsに書き込み、バックグラウンド化したnohupプロセス経由で起動することで、ダウンローダー終了後も生き残るようにします。同時に正規のZoomインストーラーもダウンロードして偽装を維持するため、何か不審な動作が起きる頃には、Zoomは完全にインストールされ正常に機能しているように見えます。
第2段階のペイロードはMach-O ARM64バイナリで、公開されているクロスプラットフォームRAT「Overlord」を基に構築されており、暗号化されたWebSocket経由でコマンド&コントロール(C2)サーバーと通信します。
このビルドはgarbleによる難読化を用いてコンパイルされており、GoReSymのような標準的なGoリバースエンジニアリングツールを無効化しています。
Overlordの機能には、システム全体を対象としたキーロギング、画面およびウェブカメラのキャプチャ、マイク録音、フルアクセス可能なファイルシステム操作、プロセス制御、リモートスクリプト実行、ネイティブまたはWebAssemblyモジュール向けプラグインローダー、自己更新機能、リモートデスクトップストリーミングなどが含まれます。
このフレームワークはさらに、LaunchAgentを介したオプションの永続化機能や、実験的なSolanaブロックチェーンベースのC2リゾルバーにも対応していますが、いずれも今回確認されたサンプルでは無効化されており、代わりにハードコードされたC2としてhub.zoom.com[.]kg:5173が使われ、TLS証明書検証もオフになっていました。
VirusTotal上で見つかった関連の亜種では、即座に永続化を有効化するものも確認されています。この亜種は自身をApplication Supportにコピーし、com.zoomというラベルのLaunchAgentをインストールしていました。このラベルとplist名は、北朝鮮(DPRK)関連と見られ「Contagious Interview」キャンペーンに結び付くマルウェアファミリー「FlexibleFerret」と共通するものです。
Overlordは以前にも、Proofpointが北朝鮮関連の可能性があるクラスター「UNK_DeadDrop」に関連付けた活動の中で確認されていますが、Jamfは今回の特定のキャンペーンについてはいかなる攻撃者への帰属も行っていません。
Jamf Threat Labsは、今回の事例が.NETをmacOSマルウェアのダウンローダーとして使用した初めての観測例であると強調しています。GoやRustと並び、脅威アクターが単一のコードベースから複数OSを標的にしつつ開発コストを削減するためのクロスプラットフォーム言語の一つに加わった形です。
注記: IPアドレスおよびドメインは、誤った名前解決やハイパーリンク化を防ぐため、意図的に無効化表記(defang)されています(例: [.])。再度有効化(re-fang)する場合は、MISP、VirusTotal、あるいは自社のSIEMなど、管理された脅威インテリジェンス基盤内でのみ行ってください。
ANY.RUNのブラウザ内データ検査で、検知・調査・対応をより迅速に。フィッシングの可視性を完全に確保し、SOCを強化してMTTRを削減しましょう
翻訳元: https://cyberpress.org/fake-zoom-installer-delivers-overlord-rat/