脅威アクターが、多くの人気デスクトップアプリで使われているのと同じElectronフレームワークを通じて、完全に機能するプロダクティビティアプリケーションを利用しProjextorマルウェアを配布していることがわかりました。
このキャンペーンは、無料のPDF変換ツールや文書編集ソフト、献立プランナー、レシピツールを探しているユーザーを標的にしています。
研究者たちは、Kitchen Canvas、Food Formula、DocConvertWizard、PDF Gripをはじめ、別の名称で販売されているツール群など、複数のElectronベースのアプリケーションを確認しました。
これらのプログラムは宣伝通りの機能を実行する一方で、同一の悪質な隠しコンポーネントを含んでいます。
この手口は検出を困難にします。ユーザーは、インターフェースが正常に動作し役に立つように見えるため、そのアプリケーションを信頼してしまう可能性があります。
TamperedChefを含む類似のキャンペーンでも、これまで検索上位のウェブサイトや偽のプロダクティビティソフトウェアを使って被害者を誘い込む手口が使われてきました。
このマルウェアは、正規の文書処理サービスになりすましたウェブサイトを通じて配布されています。確認されたドメインの一つdoceditorinc[.]comは、正規のdoceditor[.]inサービスに似せて作られたものとみられます。
被害者はインストーラーをダウンロードし、それがメインのElectronアプリケーションを取得します。サンプルはNSIS、Squirrel Installer、Inno Setupのいずれかでパッケージ化されています。インストーラーの形式は異なるものの、いずれも同一の第2段階アプリケーションを配信します。
例えば、PDFGrip_646990.exeというファイルには、conv[.]doceditorinc[.]com/latest/partを指すダウンロードリンクが含まれています。ダウンロードされるペイロードには、悪質なmain.jsとpreload.jsのファイルが含まれます。
Electronアプリケーションは、ChromiumとNode.jsを組み合わせることで、開発者がHTML、CSS、JavaScriptを使ってデスクトップソフトウェアを作成できるようにする仕組みです。
しかしElectronは同時に、ローカルファイルやOSのリソース、プロセス実行、プロセス間通信へのアクセスも提供します。
Projextorはこれらの機能を悪用します。そのmain.jsファイルは、アプリケーション起動時に自動的にpreload.jsを読み込みます。これらのスクリプトはアプリケーションのリソースディレクトリ内に格納されており、目に見えるインターフェースが表示される前に実行できるようになっています。
この悪質なアプリケーションは、意図的に安全性の低いElectron設定を使用しています。特に注目すべきはcontextIsolation: falseという設定で、これによりアプリケーションが読み込むコンテンツに対して、特権を持つNode.jsの機能が露出してしまいます。
最近のElectronバージョンではコンテキスト分離がデフォルトで有効になっているため、これを無効化するには開発者が明示的にその設定を選ぶ必要があります。
このマルウェアはまた、disableOldBuildWarningを通じて旧ビルドに関するセキュリティ警告を無効化します。これにより、ユーザーは古く安全性の低いElectronバージョンに関する警告を目にすることができなくなります。
特に重大な懸念点として、専用のインジェクション用ディレクトリからJavaScriptを動的に読み込み実行できる機能が挙げられます。
これにより攻撃者は、アプリケーション全体を差し替えることなく、インストール後に悪質な機能を追加・変更する手段を手に入れます。この仕組みはリモートコード実行やデータ窃取、さらなるペイロードの配信につながる恐れがあります。
Projextorには画面キャプチャ機能も組み込まれています。そのpreloadスクリプトは、Electronのプロセス間通信(IPC)チャンネルを通じてモニターや開いているウィンドウを列挙し、キャプチャ対象のサムネイルを表示して画面選択を可能にします。
画面共有それ自体は悪意のある機能ではありませんが、任意のJavaScriptを実行できる不審なアプリケーションに組み込まれることで危険なものになると、gdatasoftwareは指摘しています。
注記: IPアドレスおよびドメインは、誤ってアクセスやハイパーリンク化されるのを防ぐため、意図的に無害化表記（例: [.]）にしています。再度有効な形式に戻す作業は、MISP、VirusTotal、SIEMなど管理されたスレットインテリジェンス基盤内でのみ行ってください。
ANY.RUNのブラウザ内データ検査で、検知・調査・対応をより迅速に。フィッシングの全体像を完全に把握し、SOCを強化してMTTRを削減しましょう
翻訳元: https://cyberpress.org/projextor-abuses-electron-framework/
