ClearFakeの偽CAPTCHAキャンペーン、新型「WordlistLoader」でAmatera Stealerを展開

新たに確認されたClearFakeの感染チェーンでは、これまで未報告だった中間ペイロード「WordlistLoader」を使用してAmatera Stealerを展開していることが判明しました。

このキャンペーンは、侵害されたウェブサイト、偽のCAPTCHAオーバーレイ、ClickFixのソーシャルエンジニアリング、WebDAVでホストされたDLL、そして高度なアンチ解析メカニズムを組み合わせ、現在確認されている中でも特に活発に進化を続ける情報窃取マルウェアの一つを配布しています。

「私はロボットではありません」のコントロールをクリックすると、悪意あるコマンドをWindowsのクリップボードにコピーし、ユーザーに対してそれを「ファイル名を指定して実行」ダイアログに貼り付けるよう指示するClickFixのシーケンスが起動します。

Genの指摘によれば、この手法は被害者自身が実行チェーンを開始する(エクスプロイトによるものではない)という点で、依然として極めて有効だとされています。

注入されるコードはBase64エンコードされたJavaScriptのかたまりとして配布され、EtherHidingを通じてブロックチェーン上のスマートコントラクトからさらなるペイロードを取得します。

その結果生成されるコードは、偽のCAPTCHAを侵害済みページに挿入する前に検証チェックを実行します。

Expelは以前、ClearFakeが同様の攻撃活動において環境寄生型(LotL)の手法やブロックチェーンでホストされたコンテンツをより広く利用していることを報告していました。ExpelによるClearFake分析は、そのインフラに関する追加の背景情報を提供しています。

コピーされるコマンドは、conhost --headlessを使ってコマンドインタープリターを隠蔽し、pushdでリモートのWebDAVパスをマップした上で、rundll32経由でダウンロードしたDLLのRunエクスポートを実行します。

この配布方式は、MicrosoftがACR Stealerの攻撃活動に関して最近示したWebDAVベースのClickFixチェーンに類似していますが、Pythonベースのローダーの代わりに新しいWordlistLoaderコンポーネントを使用している点が異なります。

MicrosoftによるACR Stealerのレポートでは、関連するWebDAVおよびブロックチェーンC2の手法について詳しく解説されています。

WordlistLoaderは、シェルコードステージを再構築・起動しつつ、防御側からの可視性を抑制するよう設計されています。

まず名前付きイベントによって単一実行のみを強制し、その後、ディスクから読み込んだクリーンなコピーとメモリ上の関数プロローグを比較することで、ロードされたモジュールのフック解除を試みます。

コード全体を広範に比較するのではなく、E9、EB、EA、FF 25といった一般的なフック(ディトア)用のオペコードを探し、フックを検出した場合には元のバイト列を復元します。

Gen Threat LabsがWordlistLoaderを特定しました。ClearFakeの攻撃者は、正規だが侵害されたウェブサイトに難読化されたJavaScriptを注入し、被害者のブラウザセッション上に偽のCAPTCHAプロンプトをオーバーレイ表示させます。

ClearFakeの偽CAPTCHAキャンペーン

このローダーはさらに、ntdll!NtTraceEventにハードウェアブレークポイントを設置し、ベクター例外ハンドラーを登録することで、Windows用イベントトレーシング(ETW)を回避します。

呼び出しのたびに単一ステップ例外が発生し、その後ハンドラーは実行をスタブへとリダイレクトします。このスタブはイベント書き込み関数を実際には実行させずに、成功したかのような戻り値を返します。

これにより、マルウェアは一見成功したように見える戻り値を維持しつつ、テレメトリを抑制することが可能になります。

ComparingTop Antivirus Protection

この手法の最大の特徴は、シェルコードの格納方法にあります。WordlistLoaderは各バイトを、ビルドごとに固有の256エントリからなる単語リストから選んだ英単語としてエンコードします。

ローダーは単語列を順にたどり、各単語がリスト内で何番目にあたるかを解決し、そのインデックスをデコード済みバイトとして書き込みます。

研究者らはまた、単語リストの代わりにUUID文字列を用いる亜種も確認しており、この場合はUuidFromStringAを使って各UUIDを16バイトに変換しています。

復号されたシェルコードには、Amateraを起動するリフレクティブローダーを展開する前に、長時間にわたるアンチエミュレーションループが含まれています。

このリフレクティブローダーは、eSentireが以前報告したAmatera 4.0.2 Betaのものと一致しており、ローダーチェーンとこの情報窃取マルウェアの開発体制との間に連続性があることをうかがわせます。

Amateraのバージョン4.3.3-alpha1では、解析への耐性が大幅に強化されています。制御フローのフラット化、間接的な制御フロー、リゾルバーごとのAPIハッシュ化ルーチンが追加されており、静的解析やAPIの特定に必要なコストが増大しています。

更新された文字列保護では複数ラウンドの64ビット変換が用いられており、また意図的に到達不能な分岐によってスタックを約2GBも操作することで、デコンパイラのスタックフレーム復元を破綻させる仕掛けも組み込まれています。

32ビット版の情報窃取マルウェアは、システムコール検知の回避手法もさらに強化しています。通常の32ビットntdll経路を迂回し、WoW64を経由して遷移した上でwow64cpu.dllの遷移先を検証し、Heaven’s Gateを使って動的に生成した64ビットの間接システムコールトランポリンを実行します。

これらの仕組みは、32ビット・64ビット両方のAPI層におけるユーザーモードフックを回避するために設計されています。

Amateraは、Chromiumブラウザに対するApplication-Bound Encryption(ABE)バイパス機能もさらに刷新しています。

新しい実装では、ブラウザのメモリ内から暗号鍵構造体をスキャンし、保護対象のv20_master_keyデータを標的にした上で、PoolPartyのバリアント7を用いたWindowsスレッドプールの悪用によって、より大きなペイロードを注入します。

組織は、ユーザーに対してWindowsの「ファイル名を指定して実行」を開いてコマンドを貼り付けるよう指示する偽のCAPTCHAプロンプトを、信頼度の高い悪意ある兆候として扱うべきです。

この手法は、LummaやRemusに関連する既知の手口を反映したものであり、メモリスキャンの手法もほぼ同一です。GenによるRemus/Lumma研究では、このABEバイパス手法についての背景が示されています。

防御側は、不審なconhost、cmd、pushd、WebDAV、rundll32の実行チェーンを監視し、既知の悪意あるWebDAV接続先をブロックした上で、クリップボードを介したソーシャルエンジニアリング活動を検知できるブラウザ・エンドポイント制御を導入するべきです。

侵害指標(IoC)

注: IPアドレスおよびドメインは、誤ってアクセスされたりハイパーリンク化されたりするのを防ぐため、意図的に無害化(例: [.])しています。無害化を解除する場合は、MISP、VirusTotal、SIEMなど管理された脅威インテリジェンス環境内でのみ行ってください。

★ どのセキュリティツールを削減すべきか?1ページでスコアリング – 「継承されたセキュリティスタック」ガイドをダウンロード

ComparingHome Security Systems