今回のキャンペーンでは、数百件のWordPressサイトが被害に遭っています。攻撃者はsite-helper-<hex>という形式の名前を持つ不正なmust-useプラグインを仕込み、サイトの読み込みと同時に自動的に実行させます。
このプラグインは訪問者のブラウザ内に悪意のあるService Workerを登録し、攻撃者は最初のページ訪問後も制御を維持できるようになります。
Service Workerはページリクエストを傍受し、Content-Security-Policyヘッダーを除去したうえで、HTMLページに悪意のあるJavaScriptを注入します。
WordPress管理者やログイン済みユーザー、/wp-adminおよび/wp-login.phpページは対象から除外されます。こうした選別的なフィルタリングにより、サイト運営者が感染に気づく可能性を下げています。
注入されたスクリプトは、Baseブロックチェーンネットワーク上のスマートコントラクトに接続します。このコントラクトには、偽のGoogle reCAPTCHAページのHTMLを含む、キャンペーンのペイロードが格納されています。
この手法はEtherHidingと呼ばれ、攻撃者は悪意のあるコンテンツを侵害されたWordPressサーバーの外部に保持できます。
ファイルを直接ダウンロードさせる代わりに、偽のCAPTCHAはWindowsユーザーに対し、異常なトラフィックが検出されたと表示します。
訪問者がチェックボックスをクリックすると、ページはコマンドをクリップボードにコピーし、Windowsの「ファイル名を指定して実行」ダイアログを開いて貼り付け、実行するよう指示します。
このClickFix手法は、被害者が手動でコマンドを実行することに依存しています。これにより攻撃者は、不審な添付ファイルやブラウザダウンロードをブロックするような対策を回避しやすくなります。
このコマンドは、正規のWindowsユーティリティであるmshta.exeを利用して、攻撃者が管理するインフラから偽装ファイルを取得します。このファイルはポリグロットになっており、正当なMP3音声ファイルに見えつつ、HTAアプリケーションを内部に埋め込んでいます。
HTAコンポーネントは隠しスケジュールタスクを起動し、ファイルレスのPowerShellステージを開始します。研究者によると、このステージはセキュリティ制限の回避を試み、Antimalware Scan Interface(AMSI)への干渉を行うとのことです。
また、悪意のあるコードの大部分をディスクに書き込まないようにしており、ファイルベースの検出を難しくしています。次のステージでは、BitdefenderのGravityZoneになりすましたドメインからEmmenhtalローダーがダウンロードされます。
続いてEmmenhtalは、正規の画像CDNでホストされているJPEG画像から最終ペイロードを抽出します。この画像自体は無害に見えますが、そのピクセルデータには暗号化されたペイロードが含まれています。
このステガノグラフィー手法により、攻撃者は組織側がブロックをためらうような信頼済みのWebインフラにマルウェアを隠すことができます。
隠されたコンテンツを抽出した後、ローダーはリフレクティブ手法でマルウェアをメモリ上で実行します。最終的なペイロードはAmateraです。これはWindows向けのパスワード窃取型マルウェアで、ACR StealerあるいはAcridRainのリブランドとしても知られています。
AmateraはWPA.exeという名前に偽装され、Microsoftの「Windows Performance Analyzer」を装おうとしています。
このマルウェアは、認証情報やシステム情報を収集し、コマンド&コントロールインフラと通信するほか、DNS over HTTPSを使ってドメイン照会を隠蔽することができます。
Netskopeは、同一の攻撃キャンペーンに関連する第2の配布手法を確認しています。この亜種では、悪意のあるWordPressプラグインがService Workerを使わず、ページに直接コードを注入します。いずれの手法も、同じBaseコントラクト、テレメトリビーコン、オンチェーンスクリプトを利用しています。
注: IPアドレスおよびドメインは、誤った名前解決やハイパーリンク化を防ぐため、意図的にディフェング処理(例: [.])を施しています。再ファング(fang復元)は、MISP、VirusTotal、SIEMなど管理された脅威インテリジェンス基盤の中でのみ行ってください。
ANY.RUNのブラウザ内データ検査で、検知・調査・対応をより迅速に-> ANY.RUNでSOCを強化
翻訳元: https://cyberpress.org/wordpress-etherhiding-deploys-amatera/
