- Expelの研究者が、偽のIT部門からのTeamsメッセージ経由で拡散するバックドア「SynkLoader」について警告
- マルウェアのモジュールには、OSパスワードを窃取する偽のログイン画面「PhishLocker」や、遠隔操作用の「Interactive Shell」が含まれる
- 対策: 見覚えのないTeamsのダイレクトメッセージを信用しない、アプリのインストール前にIT部門へ確認する、ソーシャルエンジニアリング対策の従業員教育を行う
この1カ月ほど、サイバー犯罪者たちは「SynkLoader」と呼ばれる新種のバックドア型マルウェアで企業を標的にしています。
セキュリティ研究者Expelによると、この攻撃はソーシャルエンジニアリングから始まります。被害者は、自社のIT部門を名乗る人物からMicrosoft Teamsのメッセージを受け取ります。相手は被害者に対し、パソコンに問題が発生しているため「PowerShell Cleaner」というツールをインストールする必要があると伝えます。このツールは実際にはただの悪意あるフレームワークにすぎませんが、信頼性を高めるためにMicrosoft Azure上でホストされています。
このマルウェア自体には複数の異なるモジュールが搭載されており、攻撃者はシステム情報の収集からリバースプロキシの作成まで、さまざまな機能を利用できます。中でも特に懸念されるのが「PhishLocker」と「Interactive Shell」という2つのモジュールです。前者は本物そっくりの偽Windowsロック画面を表示し、ユーザーのOSログインパスワードを窃取します。
SickKidsにとって今回が初めての攻撃ではない
BleepingComputerは、攻撃者がこのパスワードを使えば「感染端末から企業環境にアクセスし、IPアドレスの許可リスト制限を回避できる」可能性があると指摘しています。もっとも、注意深いユーザーであれば、単純にAlt+Tabキーを押すだけでこのログイン画面が「全画面表示の枠なしGUIアプリケーション」にすぎないことに気づき、罠を見破れる場合もあります。
もう一方のモジュールである「Interactive Shell」は、脅威アクターが遠隔からPowerShellコマンドを実行し、その出力結果を受け取ることを可能にするもので、実質的に感染端末の完全な制御権を攻撃者に与えてしまいます。
侵害指標(IoC)の全リストはこのリンクから確認できます。この種の攻撃を防ぐには、標的となる企業は従業員に対し、見覚えのないTeamsメッセージを鵜呑みにせず、アプリケーションをインストールする前には必ずIT部門に(電話で)確認するよう指導する必要があります。
電話と並んで、Microsoft Teamsは初期接触や侵害に最もよく使われる経路の一つとなっています。また、どの企業のサイバーセキュリティ対策においても、従業員は依然として最も弱い環（リンク）であり、意図せず攻撃者にアクセス権を与えたり、ログイン認証情報を漏らしたりしてしまいます。
