新たに確認された「TerminalFix」キャンペーンでは、偽のCloudflare CAPTCHAを使ってユーザーをだまし、悪意あるPowerShellコマンドを手動で実行させます。最終的に、侵害されたWindows端末は攻撃者のリバーストンネル用ピボットポイントに変えられてしまいます。
Microsoftによると、この攻撃は正規コンテンツを、いかにも本物らしいCloudflare Turnstile風の「あなたが人間であることを確認してください」というオーバーレイに差し替えた侵害済みWebサイトを通じて、組織を標的にしています。
ブラウザの脆弱性を悪用するのではなく、このキャンペーンはソーシャルエンジニアリングによって、被害者に攻撃者が用意したコマンドをコピーして実行させる手口に依存しています。
脆弱性スキャンサービス
ハッカーが悪用する偽Cloudflare CAPTCHA
この手口は、偽のブラウザエラーやCAPTCHA、セキュリティエラーを解消するためと称して被害者にコマンドを実行させる、拡大中のソーシャルエンジニアリング手法「ClickFix」の亜種です。
Microsoftはこの亜種を「TerminalFix」と呼んでいます。実行手順の起点をWindowsの「ファイル名を指定して実行」ダイアログから、Windows TerminalやPowerShellへと移しているためです。
被害者が偽のCAPTCHAプロンプトをクリックすると、サイトは悪意あるコマンドをクリップボードにコピーし、Windows TerminalまたはPowerShellを開いて貼り付けるよう指示します。
このコマンドはZIPアーカイブをダウンロードし、ProgramData配下の隠しディレクトリに展開したうえで、バックグラウンドでバッチファイルを起動します。
ダウンロードされたアーカイブには、Microsoftの正規署名が付いたLockScreenContentServer.exeバイナリと、悪意あるdui70.dllライブラリが含まれています。
攻撃者は、この不正なDLLを実行ファイルのアプリケーションディレクトリに配置することでDLLサイドローディングを悪用し、信頼されたWindowsバイナリに悪意あるコードを読み込ませ実行させます。このDLLは、第2段階のPowerShellペイロードを起動する前に、難読化されたリソースをメモリ上でデコードします。
このペイロードは、一見無害なPNG画像を攻撃者の管理するインフラから取得し、そのピクセルチャンネルから隠されたペイロードデータを抽出します。そして、元のダウンロード済みコンポーネントを削除する前に、画像ファイルから実行可能ファイルとDLLを復元します。
このマルウェアはさらに、レジストリのRunキーと、60分ごとにLockScreenContentServer.exeを再起動するよう設定されたスケジュールタスクによって永続化を図ります。
攻撃者はまた、ProgramDataディレクトリにシステム属性と隠し属性を付与することで、ステージング用フォルダをさらに隠蔽しています。Microsoftの観測によれば、このキャンペーンはシステム情報の収集と、Active Directoryに対する広範な偵察活動を行っています。
このマルウェアは、ユーザー、コンピューター、信頼関係、ドメイン管理者、さらにはドメインコントローラー、データベース、バックアップシステム、ゲートウェイ、メールサーバーといった、価値の高い可能性がある内部サービスを列挙します。
エンドポイントセキュリティソフトウェア
最も注目すべき点として、この攻撃は組み込み型のPython実行環境と、pythonw.exe経由で起動されるカスタムインプラントclient.pyを展開します。このインプラントは、ポート443でTLSを使ってgitnow[.]devに接続し、その接続をWebSocketにアップグレードして任意のTCPトラフィックを中継します。
SOCKS5に似た処理方式により、攻撃者は感染端末からアクセス可能な内部のIPv4、IPv6、あるいはホスト名ベースの標的に到達できます。
Microsoftは分析した攻撃チェーンの中で後続の侵入行動までは観測していませんが、内部偵察とリバーストンネリングの組み合わせにより、感染システムはラテラルムーブメント、認証情報窃取、データ流出、あるいはランサムウェア展開の足がかりとなり得ます。
防御担当者は、不審なCAPTCHAプロンプトに反応したユーザーや、異常なPowerShellコマンドを実行したユーザーを調査すべきです。
優先的に確認すべき痕跡としては、C:\Windows\SystemApps以外の場所で実行されているLockScreenContentServer.exe、ProgramData内の隠しフォルダ、実行ファイルと同じ場所にあるdui70.dll、不審なRunキーやスケジュールタスク、pythonw.exeの活動、そしてトンネル用インフラと疑われる通信先への発信接続が挙げられます。
組織は、PowerShellやWindows Terminalの不要な使用を制限し、スクリプトブロックログを有効にしたうえで、アプリケーション制御ポリシーを適用すべきです。ユーザー教育では「正規のCAPTCHAページが、ターミナルにコマンドを貼り付けるよう求めることは決してない」という原則を徹底すべきです。
セキュリティチームに、不審な活動をより迅速に調査し、被害が拡大する前に脅威を封じ込めるための可視性とコンテキストを与えましょう。 ANY.RUNで調査を強化
翻訳元: https://gbhackers.com/hackers-use-fake-cloudflare-captcha/
