Def Conの参加者、執拗なフィッシングキャンペーンの標的に

Huntressが公開した新たなブログ記事によると、サイバーセキュリティカンファレンスの参加者は、イベント終了後に届く悪意ある接触に注意を払う必要があるといいます。同社はこのブログで、実際に起きた事例を詳しく取り上げています。

8月19日に公開されたこの投稿では、今夏開催されたBlack Hat / Def Conの後、同セキュリティベンダーの研究者がX上で標的にされたことが説明されています。

攻撃者はCoinDeskの副社長兼マーケティング責任者になりすまし、まず架空の今後開催予定のカンファレンスに関する協力を持ちかけてきました。

この研究者は詐欺であることを見抜きましたが、使われている手口をより深く理解したいと考え、興味を示すそぶりを見せました。

フィッシング関連の関連記事: 侵害されたWordPressサイトが世界規模のインフォスティーラーキャンペーンでClickFix攻撃を配信

その後、攻撃者はこの研究者に対し、架空のカンファレンスの計画書を装ったGoogleドキュメントを送付しました。

Huntressは次のように説明しています。「このGoogleドキュメントは、悪意あるWebページに誘導する典型的なフィッシングの誘い文句にとどまるものではありませんでした。認証済みのGoogleユーザーがこれを開くと、ドキュメントと共にカスタムのGoogle Apps Scriptサイドバーが表示される仕組みになっていました」

「このドキュメントはユーザーに『暗号化キー』(攻撃者がDMで提供したもの)の入力を求め、入力すると失敗したように見せかけます。サイドバーにはその後の選択肢として2つが用意されており、一つはClickFix形式の手順、もう一つはダウンロードのオプションでした。いずれも悪意あるコードをダウンロードして実行させることを狙ったものでした」

執拗な詐欺師

この研究者は悪意あるGoogleドキュメントに引っかかりませんでした。しかし、それで攻撃者があきらめることはなく、翌日には別の手口で再びアプローチしてきました。

今回はDropboxのDocSend共有を装ったもので、偽のDocSendインストーラーへと誘導する内容だったとみられます。

このインストーラーは、被害者が使用しているマシンの種類によって異なるペイロードを配信していました。macOSの場合はAMOSとして知られるインフォスティーラーが配信されました。Windowsの場合は、Ledgerウォレットから暗号資産を窃取するよう設計されたインプラントと、VirusTotalに依存するセキュリティソフトウェアやチェックをマルウェアが回避できるよう支援する、トラフィックを傍受するプロキシが配信されました。

Huntressは次のように説明しています。「この2つの誘い文句を合わせて見ると、脅威アクターがいかに馴染みのあるプラットフォームを利用して信頼性を演出し、標的を引き込み続けようとしたかがわかります。ソーシャルメディアのDMと、信頼されているドキュメント・ファイル共有サービスを組み合わせることで、攻撃者は正規のワークフローに見えるものを作り上げ、標的にマルウェアを実行させようとしたのです」

この手口も功を奏さないと、攻撃者はさらに戦術を変え、最大100万ドルの資金提供を望んでいる知り合いがいないかを研究者に尋ねてきたとみられます。

研究者らの見立てによると、これもまた、研究者から認証情報や個人を特定できる情報(PII)を盗み取るための別の口実だった可能性があるといいます。

カンファレンス参加者へのアドバイス

Huntressは、最近カンファレンスから戻ってきた人は、一見正規に見えるメッセージから、通常であればセキュリティ対策がブロックするはずの操作をユーザーに求めてくるドキュメントやインストーラーに誘導されるケースに注意すべきだと助言しています。

同社は次のように結論付けています。「ターミナルコマンドの実行、Gatekeeperの回避、手動でのアップデートのインストール、デバイスパスワードの入力といった予期しない要求は、こうした状況において通常のトラブルシューティングではなく、侵害の試みを示す強力な兆候です」

Huntressは、こうしたメッセージにやり取りしてしまったユーザーに対し、以下の対応を取るよう助言しています。

• システムをネットワークから隔離する
• 関連するフォレンジック証拠を収集し、システムの再イメージ化を検討する
• 認証情報が漏えいしたものと想定する
• アクティブなセッションを無効化し、パスワードをリセットし、システム上に存在するAPIキーやその他の秘密情報をローテーションする
• 該当する場合は暗号資産ウォレットを確認する