.NETベースの情報窃取型マルウェア「Phantom Stealer」が、フィッシングメールや海賊版ソフトウェアのダウンロード、DiscordやTelegram上で共有される悪意あるリンクを通じて拡散しています。
セキュリティ研究者らは、複数の国にまたがる被害者を標的としたキャンペーンでPhantom Stealerを確認しています。
そのモジュール構造、柔軟な配布手法、そして認証情報窃取への強いこだわりが、個人・組織双方にとって懸念を増大させる要因となっています。
このマルウェアは主にフィッシングの誘い文句やトロイの木馬化されたアプリケーション、そしてユーザーにアーカイブファイルやスクリプト、偽のインストーラーを実行させるよう仕向ける悪意あるダウンロードを通じて配布されます。
Phantom Stealerは複数のローダーを使用して最終的なペイロードを隠蔽し、検知される可能性を低減しています。確認された.NETローダーの一つは、.NETリソースマニフェスト内に格納されたPNGエントリなど、アプリケーションのリソース内に悪意あるコンテンツを隠していました。
埋め込まれたペイロードは暗号化されており、被害者のシステム上でローダーが復号して初めて姿を現します。このステガノグラフィーを利用した手法により、単純なファイル検査が難しくなるほか、静的マルウェア解析を遅延させることも可能になります。
別のキャンペーンでは、フィッシングメールを通じて配布される難読化されたPowerShellスクリプトが使用されていました。このスクリプトは動的にC#コードをコンパイルし、シェルコードをデコードした上で、正規のWindowsプロセスであるexplorer.exeにインジェクションしていました。
信頼されたプロセス内で動作することで、このマルウェアは通常の活動に紛れ込み、エンドポイント調査をより困難にすることができます。さらにこのローダーは、セキュリティの可視性を弱めようとする動作も見せています。
研究者らは、セキュリティツールがスクリプトやメモリ内容を検査する際に利用するAMSI、および監視製品やEDR製品で広く使われるWindowsのテレメトリ機構であるETWに対するパッチ適用に関連する挙動を確認しています。
これらの機能を無効化あるいは改変することで、防御側が利用できるセキュリティログを減らすことができます。さらにPhantom Stealerは、自身が仮想マシン、サンドボックス、あるいは自動解析環境内で動作しているかどうかを確認します。
ユーザー名、コンピューター名、実行中のプロセスやサービス、GPU名、マシンGUID、IPアドレスといった詳細情報を調べます。
例えば、VirtualBoxやVMware、既知のサンドボックスの痕跡への言及があると、マルウェアが実行を停止したり動作を変更したりすることがあります。
また、スリープ関数をスキップまたは高速化する環境を識別するためのタイミングチェックも使用しています。測定される遅延は非常に短いものですが、その目的は明確です。通常のユーザー端末よりも高速にマルウェアを実行するよう設計された解析システムを検知することにあります。
注: IPアドレスおよびドメインは、誤った名前解決やハイパーリンク化を防ぐため、意図的に無害化表記（例: [.]）としています。再度有効な形式に戻す作業は、MISP、VirusTotal、あるいは自組織のSIEMなど、管理された脅威インテリジェンス基盤の中でのみ行ってください。
ANY.RUNのブラウザ内データ検査で、検知・調査・対応をより迅速に。フィッシングの可視性を完全に確保し、SOCを強化してMTTRを削減しましょう
翻訳元: https://cyberpress.org/phantom-stealer-global-campaign/
