経理部門を標的とするビジネスメール詐欺(BEC)キャンペーンが、支払い関連を装ったフィッシング添付ファイルを通じてAgent Tesla v4を配布しています。
このマルウェアはUnicode絵文字文字を使って悪意あるJScriptコードを隠蔽し、従来型のセキュリティ制御を回避するよう設計されたファイルレス実行チェーンを通じて情報窃取マルウェアを起動します。
このキャンペーンは、フィリピンの正規金融機関であるMetropolitan Bank and Trust Companyになりすましています。メールは電信送金に関するやり取りを転送したかのような体裁を取っており、受信者に添付文書の確認と迅速な返信を促す内容になっています。
こうした権威性、現実味のあるビジネス表現、時間的切迫感の組み合わせは、経理担当者に添付ファイルを開かせるよう仕向けるためのものです。
ファイル名は「SWIFT Payment Maker 103 – 10.06.26.JS」で、サイズは約6.94MBです。このサイズの大きさは、強力な難読化処理によるものです。スクリプト全体にはハートや水滴などのUnicode絵文字文字が埋め込まれています。
Windows Script Hostは解釈時にこれらの文字を無視するため、基盤となるJScriptロジックはそのまま実行される一方で、単純な文字列ベースの検知を妨害し、手動での調査も困難にしています。
このサンプルは、従来のBase64とevalを組み合わせた実行パターンにも、追加ペイロードのダウンロードにも依存していません。
実行後、スクリプトはC:\Users\Public\Libraries\に2つのファイルを書き込みます。一つは32ビットの.NETローダーで、もう一つは.ttf拡張子を持ちますが、実際にはエンコードされたペイロードのデータ塊です。
ローダーはこのデータをDonutLoaderシェルコードで処理し、最終的なMSILペイロードをメモリ内にリフレクティブインジェクションします。その結果、Agent Tesla本体をディスクに保存する必要がなくなり、ファイル対象のスキャンによる検知の有効性が低下します。
このペイロードはConfuserExで難読化された.NET 4.0バイナリです。メタデータには「Python 3.11.3 (64-bit)」と偽って記載され、企業名としてPython Software Foundationが表示されています。
しかし、実際のアーキテクチャは32ビットのx86であり、ランタイムの特性も正規のPythonインストーラーとは一致しません。
データ収集を行う前に、このマルウェアはいくつかの解析対策チェックを実施します。これにはデバッガ検知、クラウドホスティングIPのチェック、タイミングベースの仮想マシン検知、サンドボックスDLL列挙、VMware・VirtualBox・Hyper-Vの痕跡を調べるWMIクエリなどが含まれます。
環境が研究者や自動サンドボックスのものと判断された場合、マルウェアは終了します。同様のAgent Teslaキャンペーンでも、スクリプトベースの配布、メモリ内実行、仮想化チェックを用いて解析を回避する手法が使われています。
Agent Teslaには21種類の認証情報窃取モジュールが搭載されています。これらはChrome、Edge、Brave、Opera、Vivaldi、Firefox、Thunderbirdを含む、Chromiumベースのブラウザ27種類とMozillaベースのブラウザ13種類を標的としています。
このマルウェアはブラウザのマスターキーを抽出し、DPAPIとAES-GCMを使ってChrome v10・v11の認証情報を復号し、独自の解析処理とファイルハンドル操作の手法によってロックされたSQLiteデータベースを読み取ります。knowbe4はこう述べています。
さらに追加のモジュールは、Outlook、Foxmail、Discord、Thunderbirdの連絡先、Windows資格情報マネージャーを標的としています。DiscordのLevelDBファイルはOAuth2セッショントークンを探索対象としており、これにより攻撃者は被害者のパスワードを入力することなく認証済みセッションを再利用できる可能性があります。
このマルウェアには機能するキーロギングとクリップボード取得のコンポーネントも含まれていますが、解析対象のビルドではこれらの機能は無効化されています。
ANY.RUNのブラウザ内データ検査で、検知・調査・対応をより迅速に-> ANY.RUNでSOCを強化
翻訳元: https://cyberpress.org/sign-up-and-repeat-your-request/
