悪名高いAgent Teslaマルウェアの新バージョンに、検知回避や認証情報窃取を目的とした新機能が搭載されていることが、KnowBe4の調査で判明しました。
同セキュリティ企業は、Agent Teslaバージョン4の情報窃取型マルウェアについて詳細な分析結果を発表しました。このマルウェアは、経理部門を狙った巧妙なビジネスメール詐欺(BEC)の誘導手口を通じて配布されているのが確認されています。
同マルウェアは、コード全体に絵文字のUnicode文字を埋め込むという新しい難読化手法を用いていました。
最終的なペイロードは、40種類以上のアプリケーションから認証情報を収集し、ファイル転送機構を使って単一の攻撃者管理下のドメインへ迅速に流出させるよう構成されています。
研究者らは、Agent Teslaが認証情報を窃取する前に検知できるよう、セキュリティチームに対しメールセキュリティルールの更新を推奨しています。
新たなAgent Teslaキャンペーン
KnowBe4の研究者らは、Agent Tesla v4の配布が試みられたメールを観測しました。このメールは、社内の通信を装ったスレッドが特定のアカウントの連絡先に転送される形で届いていました。
攻撃者は、フィリピンを拠点とする実在の商業銀行、Metropolitan Bank and Trust Companyのアドレスを詐称していました。このメールスレッドは、受信者が途中から巻き込まれた進行中のやり取りのように見せかけて作られており、添付文書の確認と返信を直接指示する内容になっていました。
このマルウェアはJscriptドロッパー経由で動作し、単純な「プログラムから開く」ダイアログだけで起動できます。
スクリプト本体には、ハートや水滴といったUnicode絵文字文字が多数含まれ、コード全体に散りばめられています。これらの文字は、文字列ベースのシグネチャマッチングを妨害し、コードを視覚的に見づらくすることで、悪意あるファイルを難読化し、通常のレビューでは見抜けないようにしています。
起動されると、このスクリプトはC:\Users\Public\Libraries\に2つのファイルを書き込みます。そのうち1つは偽装用のファイルで、拡張子処理によってDonutLoaderのシェルコードへと渡され、リフレクティブなポータブル実行形式(PE)インジェクションが行われます。
これにより、最終的なAgent Teslaのバイナリはファイルシステムに一切触れることがなく、ファイルベースのスキャナーでは検知できません。
Agent Tesla v4には、複数の防御回避機能が搭載されています。その一つとして、「ConfuserEx」と呼ばれる難読化ツールを使って意図的にコードを撹拌し、解析しようとする者にとってほぼ判読不能な状態にしています。
このマルウェアのアセンブリは、埋め込まれたメタデータ上ではPythonのインストーラーであるかのように偽装されています。さらに、Windowsの標準機能を第一の防御ラインとして利用し、デバッガーによって監視されていないかを検知します。デバッガーが見つかった場合は、解析を避けるために動作を停止します。
認証情報を収集する前に、このマルウェアは永続的なハードウェアフィンガープリントを生成します。これにより攻撃者は、OSの再インストールやIPアドレスの変更が行われても、被害者を一貫して追跡できるようになります。
Agent Teslaは、他にも複数の永続化メカニズムを備えています。その一つが、すべての発信接続の検証を無効化する機能で、これによりセキュリティ上の警告やエラーを発生させることなく、C2インフラとの通信を妨げられることなく維持できます。
このマルウェアは、Webブラウザ、メッセージングプラットフォーム、Windowsの標準的な認証情報保存領域など、さまざまな場所から認証情報を収集するよう設計されています。
Agent Teslaは、キーロガーおよびクリップボードツールを使ってキー入力を傍受することも可能です。
流出させるすべてのファイルには、タイムスタンプ、ユーザー名、コンピューター名、OS名、CPU、RAM、パブリックIP、MD5ハードウェアIDといったシステムフィンガープリント情報がヘッダーとして付加されます。
KnowBe4によると、認証情報のダンプは実行から数秒以内に攻撃者のFTPサーバーへ届いており、遅延ステージングは行われていないとのことです。
絵文字難読化への対策
KnowBe4が8月20日に公開したブログによると、JSドロッパーで使われている絵文字難読化の手法は、使用されているUnicodeコードポイントとJScript特有のパターンの両方を検出するYARAルールには通用しないとしています。
「絵文字の分布パターンとWScript.ShellやCreateObjectの呼び出しの両方に一致するルールを使えば、この系統のマルウェアを検知できます」と研究者らは述べています。
翻訳元: https://www.infosecurity-magazine.com/news/agent-tesla-malware-evasion/
