新たに発見されたマルウェアローダーは、ごく普通の英単語のリストを使って悪意あるコードを隠蔽・再構築する手口を用いており、急速に感染を広げているインフォスティーラーが被害者を感染させる前に検知を回避するのを助けています。
Gen Threat Labsの研究者らは最近、Amateraインフォスティーラーの感染に使われるローダー「WordlistLoader」を発見しました。ローダーとは、初期感染と最終ペイロードの間に位置する存在です。ローダーはさまざまな目的で使われることがあり、たとえば被害者のマシンへのさらなる侵入、防御機構の回避、後続段階のマルウェアのダウンロードと復号、あるいは他の必要なプログラムの起動などに利用されます。
WordlistLoaderの役割は、実行環境を準備し、セキュリティ対策を回避し、次段階のペイロードを再構築したうえで、実行をインフォスティーラーに引き渡すことです。Gen Threatの研究者Vojtěch Krejsa氏はレポートの中で、「Amateraはここ数カ月にわたって活発に開発が続けられており、当社のユーザーベースにおいて最も蔓延しているインフォスティーラーの一つに徐々に成長してきた」と記しています。
Amatera Stealer(通常こう呼ばれています)は、出現から1年余りが経過し、人気のマルウェア・アズ・ア・サービス(MaaS)系統の一つとなっています。Proofpointの研究者らは昨年6月、このスティーラーはACR Stealerをベースにしており、ソフトウェアウォレット、暗号資産ウォレット、認証情報、ブラウザデータ、メッセージ履歴などのデータを収集できると指摘していました。
Proofpointが1年前に公表したキャンペーンと同様に、WordlistLoaderはWindowsマシンを標的としているとみられるClearFakeキャンペーンを通じて配布されています。ClearFakeは、主にClickFix型攻撃を通じて感染を仕掛ける脅威クラスターです。
WordlistLoaderが平易な英語でマルウェアを再構築する仕組み
Genのレポートによると、WordlistLoaderには4つの主要な機能が含まれています。中心となる機能は、「後続段階への入口となるシェルコードを再構築する」ことです。WordlistLoaderには一見無害に見える一連の平易な英単語が含まれていますが、これらは実行前に実行可能なコードへと変換し直すことができます。その主な役割は、感染チェーンの後続段階への入口となる、隠された悪意あるコードを再構築することです。
Krejsa氏は次のように記しています。「英単語からバイト値へのマッピングは、ビルドごとに固有の256個の単語からなるワードリストによって定義されている。インデックス0の単語は0x00に、インデックス144の単語は0x90に、というように対応付けられている。ワードリストとエンコードされた並びの両方がポインタの配列として格納されているため、ローダーは文字列そのものではなくアドレスを照合する。したがってシェルコードの再構築は、単語の並びを順に処理し、それぞれの単語をリスト内で照合し、一致したエントリのインデックスを出力バッファに書き込む、という作業に帰着する」
WordlistLoaderはロードされたモジュールのフック解除も行います。多くのセキュリティ製品は、監視ツールとしてさまざまなオペレーティングシステム関数に「フック」を挿入しています。3つ目の機能には、Microsoftが標準搭載しているロギング機能で、セキュリティツールがシステム動作を監視する際に利用されるEvent Tracing for Windows(ETW)のバイパスが含まれます。最後に、このマルウェアには検知回避をさらに助けるさまざまなアンチエミュレーション・アンチ解析の手口も組み込まれています。
ClearFake、ClickFix、Amateraへの対策
ClearFakeクラスターは、正規のWebサイトを侵害したうえで偽のCAPTCHAを仕掛け、ClickFix型のソーシャルエンジニアリング手法を使ってユーザーに悪意あるコマンドを実行させることで知られています。
Proofpointのプリンシパル脅威研究者であるSelena Larson氏はDark Readingの取材に対し、ClickFix型攻撃が脅威アクターの手法の一部として定着してきたと語ります。同社は2024年、自社のセキュリティ意識向上トレーニング「ZenGuide」に初めてこの手法を組み込みました。
「組織がまだセキュリティトレーニングにClickFixを取り入れていないのであれば、間違いなく取り入れるべきです。さまざまな組織やセキュリティチームとの対話を踏まえると、大半はすでにこの手法を認識しています」と同氏は述べます。「ClickFixおよび関連する手法は、メールとWebインジェクトの両方の初期侵入経路において、多くの異なる脅威アクターが用いる配信手法の中でも特に多用されているものの一つです」
Larson氏によると、2025年以降、Amateraは複数の高度なサイバー犯罪アクターによって使用されているといいます。同氏とGenはいずれも、このマルウェアが継続的に開発されており、主にステルス性に関わる多数の改良が加えられ続けていると指摘します。
「スティーラーの人気は高まる一方ですが、その勢力図は急速に移り変わっています」と同氏は述べます。「検知や意識向上が進めば、スティーラーは有効性を失っていく可能性があります。特に、防御回避のための改修を継続的に行っていない場合はなおさらです。また、StealC、Rhadamanthys、Lumma Stealerといった人気マルウェアを標的とした法執行機関の摘発によって、脅威アクターは他へと移らざるを得なくなり、結果として他のインフォスティーラーの人気が高まっています」
翻訳元: https://www.darkreading.com/data-privacy/wordlistloader-disguises-malware-ordinary-text
