サイバー犯罪者の間で、マルウェアの見た目を変えて検知を回避するサービスのレンタルが広がっています。Cruciferraはクリプター・アズ・ア・サービス型のプラットフォームで、インドの納税者や財務担当者などを標的とした、税金をテーマにしたメールを使うキャンペーンとの関連が指摘されています。
このサービス自体は最終的なマルウェアではありません。有害なプログラムを保護層で包み込み、実行前にアンチウイルス製品が検知しにくくする仕組みです。
このモデルは犯罪への参入障壁を下げます。犯罪者は購入または利用契約を結び、リモートアクセス型トロイの木馬や情報窃取型マルウェア、ランサムウェアのペイロードをアップロードするだけで、保護済みのファイルを受け取ることができます。
犯罪者は高度な検知回避コードをゼロから構築する必要がありません。これにより専門的な技術がサブスクリプション型の商品となり、無関係な複数のグループが同じ隠蔽サービスを利用できるようになっています。
クリプターは実際のペイロードを暗号化または難読化します。被害者がファイルを開くと、スタブと呼ばれる小さなコンポーネントがペイロードを復号し、多くの場合メモリ上に直接読み込みます。
従来のアンチウイルスツールは一般的に、既知のファイルパターンやハッシュ、シグネチャに依存しています。ビルドごとに外側のファイルが変化すれば、こうした固定的な指標の有効性は下がってしまいます。
最も高度なサービスは、単一の暗号鍵を使うだけにとどまりません。異なる復号ルーチンを生成したり、コードフローを変更したり、無害に見えるデータを追加したり、Windows関数の呼び出し方法を変えたりすることも可能です。
これはしばしばポリモーフィック(多態型)の挙動と呼ばれます。同じ悪意ある機能を持っていても、新しくビルドされるたびに異なる見た目になる場合があります。実行中にロジックの一部を書き換えるツールもあり、静的解析にとってさらなる課題となっています。
Cruciferraは、異なる暗号技術のコンポーネントを組み合わせたカスタム暗号化ルーチンを使用していると報告されており、サンプルごとに大きなばらつきを生み出しています。
また、この調査ではAPIアンフッキング、間接的なシステムコール、プロセスゴースティング(Process Ghosting)、永続化、エンドポイントセキュリティへの改ざん試行といった手法との関連も指摘されています。
プロセスゴースティングでは、一時ファイルを介してコードを準備し、そのファイルを削除した後に実行することが可能で、スキャナーが利用できるディスク上の有効な痕跡を減らします。
その目的は魔法のような完全な不可視化ではありません。犯罪市場でよく謳われる「完全検知不能(fully undetectable)」という言葉は、あくまで一時的なものです。
防御側が再利用可能なスタブやその挙動を特定すれば、セキュリティベンダーは検知ルールを構築できます。すると販売者側は製品を更新し、コンポーネントをローテーションさせ、顧客に新たな保護済みビルドを提供します。
組織にとっての最大の教訓は、アンチウイルスのシグネチャだけでは不十分だということです。偽装されたファイルも、実行・永続化・データ窃取・ネットワーク内の移動・文書の暗号化といった動作を最終的には行わなければなりません。
こうした動作は、エンドポイント検知・対応(EDR)ツールやログシステム、セキュリティアナリストが調査可能なシグナルを生み出す、とRecorded Futureは述べています。
防御側は、実行可能メモリを確保するプログラムや、実行時にコンテンツを復号する動作、他のプロセスへのインジェクション、不審な子プロセスの起動、スタートアップ位置への不審な変更などを監視すべきです。
さらに、セキュリティツールへの改ざん、未署名のドライバー、管理系ユーティリティの予期しない使用、オフィスアプリケーションやアーカイブファイルからの不審な通信についても警戒する必要があります。
ANY.RUNのブラウザ内データ検査で、検知・調査・対応をより迅速に。フィッシングの完全な可視化を実現し、SOCを強化してMTTRを削減しましょう
翻訳元: https://cyberpress.org/rental-malware-defeats-antivirus/
