セキュリティ
次世代ClickFixの波が多段階攻撃チェーンを引き起こす
人気記事
身元不明の攻撃者が「TerminalFix」という手口を使い、無防備なユーザーをだましてPowerShellコマンドを実行させ、攻撃者にネットワークへのアクセス権を与えるリバーストンネルをコンピューターに感染させています。マルウェアの一部は、PCがダウンロードするPNG画像の中に隠されているというから念が入っています。
TerminalFixは、攻撃者の間で爆発的に広まっている初期アクセス手法ClickFixの最新の亜種です。この種のソーシャルエンジニアリング手法は、偽の修正案やCAPTCHA認証を装ってユーザーを誘導し、悪意あるコマンドを実行させます。
従来のClickFix攻撃は被害者をWindowsの「ファイル名を指定して実行」ダイアログに誘導していましたが、TerminalFixはWindows TerminalやPowerShellへと誘導する点が特徴です。これにより、ユーザーが気づかないまま複数行のスクリプトを自分のコンピューターで実行してしまう可能性が高まると、Microsoftは述べています。
さらに、このキャンペーンは単に1種類の情報窃取型マルウェアを配布するだけでなく、DLLサイドローディング、ステガノグラフィによるペイロード抽出、Active Directoryの偵察を組み合わせた多段階の攻撃チェーンを始動させます。最終的には、感染したマシンに独自のリバーストンネルを展開し、攻撃者が侵害されたデバイスを介して継続的にネットワークレベルのプロキシアクセスを得られるようにします。
Microsoftは、このTerminalFixキャンペーンで標的にされ被害に遭った組織の数や、これらの攻撃の背後にいる攻撃者や犯罪集団が誰なのかなど、The Registerの質問への回答を拒否しました。
この攻撃チェーンは、被害者がCloudflareの「あなたが人間であることを確認」チェックボックスとCloudflareロゴを模した偽のオーバーレイを操作するところから始まります。これにより偽の検証コマンドがクリップボードにコピーされ、被害者がそれをWindows TerminalやPowerShellに貼り付けてしまう仕組みです。
このコマンドは隠れたPowerShellスクリプトを実行し、「Cloudflareの検証を開始しています…」という偽のメッセージを表示しながら、攻撃者が管理するサーバーからZIPアーカイブをダウンロードします。このアーカイブはC:\ProgramData以下に展開され、バッチファイル(1.bat)が起動してLockScreenContentServer.exeをひそかに実行します。
LockScreenContentServer.exeは正規の署名付きWindows実行ファイルですが、これが2つ目のファイルであるdui70.dllのDLLサイドローディング先として悪用されます。dui70.dllは「Windows DirectUI Engine」を装っていますが、実際には悪意あるペイロードであり、サイドローディングされると第2段階のPowerShellスクリプトを実行します。
第2段階のPowerShellスクリプトは、PNG画像の中に隠された追加ペイロードをダウンロードします。これはステガノグラフィと呼ばれる手法で、ファイルタイプやコンテンツタイプの検査を困難にし、悪意あるペイロードを見つかりにくくします。検出をさらに回避するため、攻撃者はペイロードを複数のPNGファイルに分割していました。
PowerShellスクリプトは3枚の画像をダウンロードし、1枚目の画像から実行ファイルを、2枚目と3枚目の画像からDLLの前半・後半をそれぞれ抽出したうえで、ディスク上でこれらのコンポーネントを再構成します。
「抽出後、フォレンジック調査の痕跡を減らすために元の画像は削除されます」と、Microsoftの研究者であるSagar Patil氏、Suriyaraj Natarajan氏、Parasharan Raghavan氏は記しています。
マルウェアは、HKCU\…\Runレジストリキーと、LockScreenContentServer.exeを60分ごとに再実行するスケジュールタスクという二重の仕組みで永続化を図り、再起動後も生き残るようにしています。
その後、侵害されたマシンで偵察活動を行い、英語・スペイン語・ドイツ語など複数の言語設定にまたがってシステム情報を収集します。また、ドメイン信頼関係の調査、ドメイン管理者の列挙、Active Directoryのユーザーおよびコンピューター検索も実行し、その際に名前付きの標的サーバーへpingを送信します。
「観測されたサーバー名は、ドメインコントローラー、データベース、バックアップ、ゲートウェイ、メールシステムといった一般的なインフラの役割に対応しています」と脅威ハンターたちは述べています。「この探査により、攻撃者は後続の活動でアクセス可能な標的システムを特定できる可能性があります」
次に、マルウェアは永続的なPowerShellファイル監視ループを設置します。これはテキストファイルを監視して新しいコマンドを検知し、Invoke-Expression経由で実行したうえで、結果を出力ファイルに書き込む仕組みです。これにより攻撃者は、そのテキストファイルにコマンドを書き込むだけで追加のPowerShellコマンドを実行できるようになります。
そして最後に、攻撃者はPythonベースの独自のリバーストンネル型インプラントを展開します。このトンネルはpythonw.exe経由で目に見えるウィンドウを表示せずに起動し、gitnow[.]dev:443へのリバースWebSocketトンネルを確立します。このインプラントは、それまでの偵察データと組み合わさることで、攻撃者に被害者のネットワークを経由したSOCKS形式のTCPプロキシアクセスを与えます。
Microsoftは、このキャンペーンの被害に遭わないために、組織が講じるべきいくつかの対策を推奨しています。具体的には、PowerShellと「ファイル名を指定して実行」ダイアログの実行を制限すること、そして日常業務で必要でない場合はWindowsの「ファイル名を指定して実行」ダイアログ(Win+R)をブロックまたは監査することなどが挙げられます。
また、偽のCAPTCHA認証ページがコマンドをTerminalや「ファイル名を指定して実行」ダイアログに貼り付けるよう指示してくるといった、ClickFixの手口の見分け方を従業員に教育することも重要です。®
