標的型の偽求人キャンペーンにより、あるサイバー犯罪者が転職活動中の従業員をLinkedIn経由で接触し、仮想通貨関連組織への侵害に成功しました。
攻撃者は架空のWeb3プロトコルのリクルーターを装い、Calendly経由で面接を設定した上で、Googleスプレッドシートに見せかけた技術審査課題を送りつけました。
この審査ページはGoogle Apps Script上でホストされ、実在のGoogle資産を利用していたため、通常のWorkspace文書のように見えました。
ページには「候補者確認(Candidate Verification)」というプロンプトと、GAPI-CON-212という偽のコネクタエラーが表示されました。被害者は続行するためにGoogle APIヘルパーをインストールする必要があると告げられます。
しかし、そのヘルパーは正規のものではありませんでした。実体はGapiUpdate.applicationという署名済みのMicrosoft ClickOnceアプリケーションで、gapidriver[.]comでホストされていました。
これを開くと、インストーラーはrundll32.exe、dfshim.dll、dfsvc.exeといったWindowsのClickOnceコンポーネントを利用し、ログイン中のユーザープロファイル配下に悪意あるアプリケーションを展開しました。
このインストーラーには、実在するノルウェーの組織に発行されたSSL.com証明書を用いたコード署名が施されていました。名前が挙がった当該企業が故意に関与したという証拠はありません。
この証明書は悪用された、盗まれた、あるいは不正な本人確認書類を通じて取得された可能性があります。コード署名はユーザーの警戒心を下げ、悪意あるファイルが基本的な信頼性チェックを通過する一助となり得るため、署名済みマルウェアは依然として危険です。
このClickOnceアプリケーションは、WebView2内で正規のGoogle Workspace Marketplaceのページを表示しながら、裏では別の処理を進めていました。
同時に、実行中のプロセスやセキュリティソフト、解析ツール、画面解像度など、その他のホスト情報を確認してシステムのプロファイリングを行っていました。
その後、攻撃者が管理するエンドポイントgapidriver[.]com/api/get.phpに接続しました。サーバーからの応答として、Razo.rarという名前のパスワード保護されたDropboxアーカイブが提供されました。このアーカイブには、PNGファイルに偽装された3つのWindows実行ファイルが含まれていました。
各ファイルは複数層の暗号化、パッキング、シェルコード、メモリ内ローディングを駆使し、最終的なペイロードを隠していました。このマルウェアチェーンは、独自の「Vortex」コンテナ、暗号化されたシェルコード、Donutベースのメモリ内実行を使用していました。
これにより、最終的なペイロードは通常の実行ファイル形式でディスク上にその全体を保存することなく実行できるようになっていました。この事件の結果、秘密鍵が盗まれ、6つのブロックチェーンネットワークにわたってウォレットが空にされました。
攻撃者は担保を解放するためにレンディングポジションを返済し、トークンをスワップした上で資金をEthereumへブリッジし、約22.6 Etherをステージング用ウォレットに集約したとされています。
これは単純なウォレット承認詐欺ではありませんでした。取引は被害者のアカウントから直接署名されており、攻撃者が感染端末から秘密鍵、シードフレーズ、あるいはウォレットへのアクセス情報を取得していたことを示しています。
その影響は仮想通貨の損失にとどまりません。このRust製の情報窃取マルウェアは、クラウドプラットフォーム、ソースコード管理システム、デプロイツール、VPN、パスワードマネージャー、CI/CDシステム、本番環境へのアクセスを攻撃者にもたらしかねない認証情報やトークンを収集できます。
そのため、開発者のワークステーションが侵害された場合は、アイデンティティ全体が侵害されたものとして扱うべきだとhaveibeensquattedは指摘しています。
注: IPアドレスおよびドメインは、誤った名前解決やハイパーリンク化を防ぐため、意図的に無害化表記（例: [.]）としています。再度有効な形式に戻す作業は、MISP、VirusTotal、SIEMなど管理された脅威インテリジェンス基盤内でのみ行ってください。
ANY.RUNのブラウザ内データ検査で、検知・調査・対応をより迅速に。フィッシングの可視性を高め、SOCを強化しMTTRを削減しましょう
翻訳元: https://cyberpress.org/signed-clickonce-delivers-dual-malware/
