サイバー犯罪者が偽のCCleanerインストーラーを使い、Windowsユーザーに悪意のあるChrome拡張機能「GhostDesk」を感染させています。この拡張機能は、閲覧履歴を監視し、機密情報を盗み出すよう設計されています。
CCleanerは世界中で20億回以上ダウンロードされている、最も広く知られたPCクリーニングツールの一つです。その知名度の高さゆえに脅威アクターにとって格好の餌食となっており、ユーザーがこのブランドに寄せる信頼を悪用し、説得力のあるダウンロードページを通じてマルウェアを配布しています。
今回のキャンペーンでは、正規のCCleanerサイトに酷似させた不正サイトccleanerwind[.]topが使われています。このページには通常版とCCleaner Pro版の両方のダウンロードオプションが用意されているとされていますが、どちらのボタンをクリックしても同一の悪性実行ファイルがダウンロードされます。
ダウンロードされるファイルはCCleaner.exeという名前で、実在のアプリケーションのアイコンを使用しています。しかし、正規のCCleanerリリースには見られない不自然なメタデータが含まれています。
内部名はsvc_it7pで、元のファイル名はrt_mxk.exeです。研究者らは、svc_<4文字のランダム文字列>やrt_<3文字のランダム文字列>.exeといったパターンに従う、類似の名称を持つファイルも特定しています。
実行されると、この偽クリーナーは多段階の感染チェーンを開始し、Google Chromeを改変してスパイウェアのコンポーネントをインストールします。
このキャンペーンは、PCユーティリティという信頼されたイメージを利用することで、ファイルの活動が不審に見えにくくなるよう仕組まれています。
偽のCCleaner実行ファイルは、まず正規のWindowsスクリプトコンポーネントであるcscript.exeをドロップして起動します。その後、スクリプトを使ってマシンGUID、デバイス名、対応言語設定などのシステム情報を収集します。
このマルウェアはさらに、%AppData%\Microsoft\DriverStore\runtimebroker.dllにあるファイルをリフレクティブローダーに置き換えます。このコンポーネントは、侵害されたシステム上に追加の悪性コードを読み込む役割を担います。
この攻撃の重要な要素の一つが、Chromeのセキュリティ拡張機能のマニフェストファイルを改変する点です。
マルウェアはmanifest.jsonにパッチを当て、background.jsという名前のバックグラウンドサービスワーカーと、content.jsという名前のコンテンツスクリプトを追加します。これらのファイルは%LocalAppData%\cseに保存されます。
この感染はまた、攻撃者が管理するインフラとの通信も確立します。まず192.168.100.4:49727にローカルのWebSocketエンドポイントを作成し、続いてポート4444経由で指令サーバーliderongrade.duckdns[.]orgに接続します。この通信経路を通じて、マルウェアはコマンドを受信し、盗んだ情報を送信します。
ブラウザに仕込まれる最終的なペイロードは自らを「GhostDesk」と名乗ります。この名称は、正規のスクリーンオーバーレイソフトウェアに紛れ込ませる意図があるとみられます。Chromeはブラウザ起動時にbackground.jsを静かに読み込み、content.jsは閲覧したページ上での活動を監視します。
content.jsコンポーネントは、Webフォームに入力されたキー入力を記録します。入力されたデータはバッファに蓄積され、2秒間操作がない場合、または被害者が別の入力欄に移動した際に送信処理されると、Malwarebytesは述べています。
注: IPアドレスおよびドメインは、誤ってアクセスまたはハイパーリンク化されるのを防ぐため、意図的に無害化表記（例: [.]）にしています。再度有効な形式に戻す作業は、MISP、VirusTotal、あるいは自組織のSIEMなど、管理されたスレットインテリジェンス基盤内でのみ行ってください。
ANY.RUNのブラウザ内データ検査で、検知・調査・対応をより迅速に。フィッシングの全容を可視化し、SOCを強化してMTTRを短縮しましょう
翻訳元: https://cyberpress.org/fake-ccleaner-spreads-ghostdesk/
