Abyssosは侵害後の活動を担うポストエクスプロイテーションフレームワークとして機能します。攻撃者はデバイスへのアクセスを獲得すると、このRATを使ってファイルを探索し、認証情報を収集したり、活動を監視したり、コマンドを実行したり、追加のペイロードをダウンロードしたり、被害者のシステムを遠隔操作したりすることができます。
Abyssosの中でも特に懸念される機能の一つが、隠しVNC(Hidden Virtual Network Computing、HVNC)です。この機能により攻撃者は、被害者の可視画面とは別に、見えないデスクトップセッション上でアプリケーションを起動・操作できます。
HVNC_STARTなどのコマンドを使うことで、攻撃者は隠しVNCセッションを起動し、Chrome、Microsoft Edge、Firefox、Brave、Opera、Vivaldi、PowerShell、コマンドプロンプト、エクスプローラー、さらに複数のメールクライアントを含むアプリケーションを実行できます。
この手法により、脅威アクターは被害者のパスワードを改めて取得することなく、アクティブなWebセッションを乗っ取ることが可能になります。
ブラウザセッションの窃取にとどまらず、Abyssosは幅広いリモート管理機能を備えています。ファイルの一覧表示、コピー、削除、アップロード、ダウンロード、実行、アーカイブ化が可能です。
また、クリップボードの内容を取得したり、画面を録画したり、システム情報を収集したり、実行中のプロセスを監視したり、アクティブなTCP・UDP接続をマッピングしたりすることもできます。
攻撃者はさらに、リモートコマンドシェルを開いたり、プロセスを強制終了させたり、システムを再起動・シャットダウンさせたり、ユーザーアカウント制御(UAC)バイパスの試行に関連するコマンドを使用したりすることも可能です。
Abyssosには、解析への耐性を狙ったいくつかの手法も組み込まれています。一部のサンプルはCPUID命令を使用してハイパーバイザーの有無を確認し、VMware、KVM、Xen、VirtualBoxといった仮想環境を検出すると動作を停止します。
このマルウェアはまた、vmtoolsd.exe、VBoxService.exe、xenservice.exeといった一般的な仮想マシン関連プロセスの有無も確認していると、Zscalerは述べています。
注: IPアドレスおよびドメインは、誤ってアクセスされたりリンクされたりすることを防ぐため、意図的に無害化表記(例: [.])されています。再度有効な形式に戻す作業は、MISP、VirusTotal、SIEMなど管理された脅威インテリジェンス環境内でのみ行ってください。
ANY.RUNのブラウザ内データ検査機能で、検知・調査・対応をより迅速に。フィッシングの全体像を完全に把握し、SOCを強化してMTTRを削減しましょう
翻訳元: https://cyberpress.org/abyssos-rat-hijacks-browser-sessions/