サイバー犯罪者が正規のChatGPT会話共有ページを悪用し、複数段階からなるClickFixキャンペーンを通じてNetSupport RATを配布していることが分かりました。
この攻撃は、信頼されたChatGPTのコンテンツ、偽のOpenAIおよびCloudflareのブランディング、クリップボードを利用したPowerShell実行、そしてMP4ファイル内に隠された暗号化ペイロードを組み合わせたものです。
この悪意ある攻撃チェーンはchatgpt.comドメイン自体を侵害するものではありません。その代わりに、攻撃者は正規のChatGPT共有ページを利用して、欺瞞的な指示を表示します。
このページは訪問者に対し、ChatGPTが「高トラフィック」状態にあると伝え、代替のバックアップサイトとされるopenai-backup.oneへと誘導します。
この外部サイトはOpenAI、Cloudflare、Googleになりすましています。CAPTCHAのような手続きを完了する必要があるとWindowsユーザーに信じ込ませるよう作られた、偽の本人確認ページを表示します。しかし実際には、この「確認」操作によって悪意あるPowerShellコマンドがクリップボードに設定される仕組みになっています。
このコマンドはbrmconfig.comからコードを取得し、PowerShellを通じて実行します。これは典型的なClickFixの手口であり、被害者はセキュリティチェックを完了させていると信じ込まされたまま、攻撃者が用意したコマンドを手動で実行させられてしまいます。
最初のPowerShell段階では、brmconfig.comからリモートスクリプトを取得して実行します。このローダーはコンソールウィンドウを非表示にし、システムチェックを行った上で、ウィンドウ非表示や実行ポリシーのバイパスといったオプションを使って追加のPowerShellコードを起動します。
第2段階では、被害者の環境に関する詳細な情報を収集します。これにはコンピューター名、ユーザー名、Windowsのバージョン、CPUアーキテクチャ、管理者権限の有無、パブリックIPアドレス、所在地、ISP、タイムゾーンなどが含まれます。
収集された情報は、攻撃者が管理するTelegramのチャットへ送信されます。続いてこのキャンペーンは、brmconfig.comからvideo.mp4をダウンロードします。
MP4という拡張子にもかかわらず、このファイルにはカスタムのMP4 uuidボックス内に暗号化されたPowerShellペイロードが格納されています。ローダーは埋め込まれたデータを探し出し、繰り返しキーによるXOR復号を適用した上で、GZipを使って結果のコンテンツを展開します。
復号された段階には、app.EXeおよび対応するDLL、設定ファイル、ライセンスファイル、バイナリファイルを含む、合計20個のファイルからなるバンドルが格納されています。
この実行ファイルはNetSupport Clientであることが確認されています。これは正規のリモート管理コンポーネントで、攻撃者に感染システムへのリモート制御権を与えることができます。
Joe Sandboxは独自の分析で、このキャンペーンにおける同じapp.EXeのハッシュ値を悪意あるものと分類し、NetSupport RATであると特定しました。
この実行ファイルはNetSupport Ltd.によってデジタル署名されており、正規のデュアルユースソフトウェアが悪意ある配布チェーンを通じて武器化され得ることを浮き彫りにしています。
このマルウェアは後始末となる活動も行います。一時的なスクリプトを削除したり、WindowsのRunMRUレジストリの項目を消去したりすることで、ファイル名を指定して実行のダイアログから入力されたコマンドの痕跡を減らすことができると、joesandboxは述べています。
このキャンペーンは、攻撃者がサービス自体を直接悪用するのではなく、信頼されたプラットフォームとソーシャルエンジニアリングを組み合わせる手口を示す事例と言えます。
ChatGPTの共有ページが最初の信頼レイヤーとして機能する一方、偽の確認ページが実行の仕組みを提供し、暗号化されたMP4が最終的なペイロードを隠す役割を果たしています。
ANY.RUNのブラウザ内データ検査で検知・調査・対応をより迅速に-> ANY.RUNでSOCを強化
翻訳元: https://cyberpress.org/chatgpt-links-spread-netsupport-rat/
