あるビジネスメール詐欺(BEC)キャンペーンでは、絵文字を大量に埋め込んだJScriptを利用して、ブラウザ・メール・メッセージングアプリの認証情報を狙うAgent Tesla v4インフォスティーラーを隠蔽していることが分かりました。
この攻撃は、銀行送金を装った説得力のある偽の文面と、最終的なマルウェアペイロードをディスクベースの従来型スキャンから隠すファイルレス実行チェーンを組み合わせています。
アンチマルウェアソフトウェア
攻撃メールは、保留中の送金に関する社内転送メールを装い、受信者に添付ファイルの確認と迅速な対応を促す内容になっています。
悪意ある添付ファイルは「SWIFT Payment Maker 103 – 10.06.26.JS」という名前で、サイズ6.94MBのJScriptファイルであり、支払い関連書類を装っています。
実行されると、このファイルはWindows Script Hostによって処理されます。ここで、通常とは異なる回避手法が発動します。コード全体がハートや水滴といったUnicode絵文字で埋め尽くされているのです。
絵文字は視覚的なノイズを生み出し、単純な文字列マッチングによる検知や目視でのレビューを妨げる一方で、背後にあるJScriptのロジック自体は実行可能な状態に保たれています。
多くの汎用マルウェアの実行チェーンとは異なり、このサンプルは第2段階のペイロードダウンロードや、一般的なBase64エンコード+eval実行のルーチンには依存していません。
ドロッパーはC:\Users\Public\Libraries\に2つのファイルを書き込みます。1つは.exe形式で保存された32ビットの.NETローダー、もう1つは.ttfフォントファイルを装った別のファイルです。
後者は実際にはエンコードされたAgent Teslaのペイロードブロブです。ローダーはこのブロブをDonutLoaderのシェルコードを通じて処理し、最終的なMSILペイロードをリフレクティブ(反射的)にメモリへ注入します。
このJScriptからシェルコード、そしてリフレクティブ・インジェクションへと至る一連のチェーンにより、最終的なAgent Teslaのバイナリはディスクに書き込まれる必要がなくなり、ファイル中心のエンドポイントセキュリティ製品からの可視性が低下します。
KnowBe4 Threat LabがGBhackersと共有したレポートで述べたところによると、このキャンペーンはフィリピンの実在する銀行であるMetropolitan Bank and Trust Companyを装ったメールを通じて、財務部門を標的にしているとのことです。
Agent Teslaマルウェア
ペイロード自体はConfuserExによって難読化された.NET 4.0の実行ファイルで、メタデータ上は実際には32ビットのx86 .NETバイナリであるにもかかわらず、「Python 3.11.3 (64-bit)」と虚偽の表示をしています。
収集モジュールを実行する前に、Agent Teslaはいくつかの解析対策チェックを行います。
これには、デバッガーの検知、クラウドホスティングのIPチェック、タイミングベースの仮想マシン検知、サンドボックスDLLの探索、そしてVMware、VirtualBoxなど仮想化環境を対象としたWMIクエリが含まれます。
監視環境や自動解析環境であることを示すチェック結果が得られた場合、マルウェアは終了します。
このインフォスティーラーには21種類の収集モジュールが搭載されており、Chromium系ブラウザ27種とMozilla系ブラウザ13種、さらにOutlook、Foxmail、Discord、Thunderbirdの連絡先、Windows資格情報マネージャーを対象としています。
Chromium系ブラウザについては、Local Stateファイルから暗号化されたマスターキーを取得し、DPAPIでこれを復号した上で、AES-GCMを用いてv10またはv11形式の認証情報ブロブを復号することで、Chrome 80以降の認証情報を回収できます。
また、ロックされたSQLite形式のブラウザデータベースをコピーする、あるいは直接読み取るロジックも備えています。
収集されたデータはすべて、FtpWebRequestを用いてSTORコマンドにより ftp[.]melrz[.]com(162[.]0[.]209[.]89に解決)へ窃取されます。
Dictionaries& Encyclopedias
このマルウェアはさらに、DiscordのLevelDBストア内からOAuth2セッショントークンも探索します。こうしたトークンはすでに認証済みのセッションを表すため、アカウント乗っ取りやパスワード入力の回避を可能にしてしまいます。
このサンプルは、レジストリパスからのOutlook認証情報、Foxmailのパスワード、Windows Vaultのエントリ、ブラウザの認証情報、Thunderbirdのメール連絡先も収集可能です。
収集されたデータはFTP経由でftp[.]melrz[.]comへ窃取され、研究者らの報告によるとこのドメインは162[.]0[.]209[.]89に解決されるとのことです。認証情報を含むFTPの設定情報は、バイナリ内に平文でハードコードされています。
このサンプルはまた、マザーボードのシリアル番号、プロセッサID、MACアドレスといったWMI由来のシステム情報から被害端末のハードウェア識別子を生成しており、これにより攻撃者は侵害済みホストを追跡できるようになっています。
確認されたJScript添付ファイルのSHA-256ハッシュ値は615f9ecc51ccce0de6e88dcff70662f77965214bf5ad0cc7e07bc4fae72c40d0です。
セキュリティチームは、このハッシュ値やFTPドメイン、およびユーザー書き込み可能な場所からのcscript.exeやwscript.exeの不審な実行をブロックまたは探索対象とすべきです。
組織は、想定外の.JSファイル、特に支払いをテーマにした添付ファイルを高リスクとして扱う必要があります。
添付ファイルのサンドボックス化、スクリプト実行の制限、リフレクティブローディングを検知するEDRテレメトリ、ブラウザの認証情報ストアの監視、そして財務部門を対象としたフィッシング訓練といった対策は、この一段と巧妙化するAgent Teslaの配布手法に対抗する上で極めて重要です。
侵害指標(Indicators of Compromise)
| 指標 | 詳細 |
|---|---|
ftp[.]melrz[.]com |
FTP C2ホスト名 |
162[.]0[.]209[.]89 |
解決先IP — TCPポート21および12038 |
ftp://ftp[.]melrz[.]com |
バイナリから抽出された設定URL |
| FTP認証情報 | info@melrz[.]com / Newmoney2023.. |
hxxp://ip-api[.]com/line/?fields=hosting |
ホスティング/VPN判定用コールバック |
208[.]95[.]112[.]1 |
ip-api[.]comの解決先IP |
注: IPアドレスおよびドメインは、誤って解決やリンク化されることを防ぐため、意図的に無害化表記(defang、例: [.])されています。実際のアドレスに戻す(re-fang)作業は、MISP、VirusTotal、あるいは自組織のSIEMなど管理された脅威インテリジェンス基盤内でのみ行ってください。
★ 廃止すべきセキュリティツールを一目で見極める ―「継承されたセキュリティスタック」ガイドをダウンロード
SecurityProducts & Services
翻訳元: https://gbhackers.com/agent-tesla-malware/
