攻撃者は、Polygonブロックチェーン技術を悪用して悪意ある活動を隠蔽・自動化する「EtherHiding」と呼ばれる手法を用いたClickFixキャンペーンを通じて、少なくとも31組織を侵害しています。
GuidePoint SecurityのResearch and Intelligence Team(GRIT)が本日公開したレポートによると、このキャンペーンはすでにEコマース、専門サービス、小売物流などの企業を含む複数の組織のWebサイトを攻撃しています。同レポートは、GRITによるブロックチェーンフォレンジック、インシデント対応の証拠、マルウェアのソースコード分析の結果に基づいています。
この攻撃では、数年前に登場したEtherHidingという手法が使われています。これはブロックチェーン技術を悪用して悪意ある活動を隠す手口です。今回のケースでは、攻撃者は永続的な分散型台帳であるPolygon暗号通貨ブロックチェーンを利用し、固定のコマンド&コントロール(C2)サーバーアドレスを使う代わりに、C2サーバーを動的に更新しています。固定アドレスは検知・遮断されやすいためです。
GuidePointのシニア脅威インテリジェンスコンサルタントであるJean-Pierre Mouton氏はレポートの中で、次のように記しています。「大規模にC2情報をその場で調整できるため、単一のドメインやIPアドレスをブロックしただけでは、攻撃者のアクセスを恒久的に断つことはできません。1トランザクションあたり1セントにも満たないコストで、攻撃者は感染した全マシンを自動的に新しいC2サーバーへとリダイレクトできるのです」
これは、多くのClickFixキャンペーンとは異なる点だと同氏は説明します。通常のClickFixキャンペーンでは被害者のシステムに情報窃取型マルウェア(インフォスティーラー)が展開されますが、これは攻撃者のC2サーバーをブロックして感染マシンとの通信を遮断すれば無力化できます。
ひとひねり加えたClickFix
EtherHiding自体は数年前から存在していますが、これまでは主にBinanceやEthereumに限定されていた、とMouton氏はDark Reading の取材に対して語っています。今回のキャンペーンが他のEtherHiding利用事例と一線を画す点の一つは、こうしたブロックチェーン技術ではなく、Polygonのスマートコントラクトを使用している点だと同氏は述べています。
攻撃者はまた、ClickFixにも新たな工夫を加えています。Mouton氏によれば、攻撃者は別のランディングページへリダイレクトする代わりに、「検索エンジンポイズニングシステムと、Cloudflareの標準的な人間認証オーバーレイを悪用する悪意あるJavaScript埋め込みインジェクションシステム」を使用しているといいます。
ペイロードも、大半のClickFixキャンペーンとは異なるものです。通常のClickFixキャンペーンでは被害者のシステムに情報窃取型マルウェアが展開され、攻撃者のC2サーバーをブロックして感染マシンとの通信を遮断すれば無力化できると同氏は述べています。
「今回のClickFixキャンペーンでは実際にドロッパーが実行され、それがステージングサーバーに接続してC2エージェントと永続化の仕組みをインストールします」とMouton氏は説明します。全体として、このキャンペーンの新しい手口は、正体不明の攻撃者が典型的なClickFix攻撃者ではなく、イニシャルアクセスブローカー(IAB)である可能性を示唆していると同氏は付け加えています。
二段構えの「不意打ち」攻撃
Mouton氏がDark Readingに語ったところによると、このキャンペーンの攻撃経路には2種類の被害者が存在します。1つはClickFixの誘導表示を出すためにサイトを侵害される企業、もう1つはこのキャンペーンの被害に遭う個人です。通常、まずフロントエンドの企業Webサイトが侵害され、その結果、悪意あるJavaScriptがサイトのソースコードに埋め込まれることになると同氏は説明します。
この侵害は、WordPressの脆弱性の大規模な悪用であれ、その他の手段であれ、通常は大規模に行われます。「ただし、この最初のステップはキャンペーン全体の開始前、つまりインフラ構築の段階で発生します」とMouton氏は説明します。
これは、EtherHidingを用いた他のキャンペーンでも見られる手法と類似しています。例えば、デジタル広告セキュリティ企業のConfiantは最近、WooCommerce、Magento、WordPress上で侵害されたEコマースサイトを起点とするMagecartキャンペーンを発見しています。
次のステップは、たまたま侵害されたサイトを検索して見つけたエンドユーザーが、今やおなじみとなったClickFixの誘導表示の被害に遭う段階です。その後、JavaScriptは予備の「ゲーティング」機構を通過します。これは被害者を次の段階に進ませるかどうかを判定する仕組みだと、Mouton氏は述べています。
「被害者がこのゲートを通過すると、Webページ上にオーバーレイとして『Human Verification(人間性確認)』の仕組みが表示され、そこから典型的なClickFixの誘導が始まります。ユーザーにWindowsキー+R、Ctrl+V、そしてEnterキーを押すよう指示するのです」と同氏は言います。これがマルウェアのドロッパーを起動させ、続くペイロードの実行につながります。
前述の通り、そのペイロードとその後の攻撃ステップは、典型的なClickFixキャンペーンから著しく逸脱しており、研究チームにとっても意外なものだったとMouton氏は語ります。通常のC2ドメインやIPアドレスをマルウェアに埋め込む代わりに、このバックドアはPolygonブロックチェーンに問い合わせて現在の接続先を取得します。
「私たちのチームは、当初は通常のBEC(ビジネスメール詐欺)調査だと思って対応していましたが、そこでPolygonブロックチェーンに接続する永続化スクリプトを発見しました」と同氏は述べています。「スクリプトの難読化を解除し、さらに広範囲にわたる追跡調査を重ねた結果、EtherHidingのインフラを突き止めました」
このキャンペーンの攻撃者は、ブロックチェーンを「攻撃者が管理するアドレス帳」として利用しています。Mouton氏はレポートの中で、「マルウェア自体を変更することなく、最新のC2アドレスを取得できる」と説明しています。その結果、バックドアのインストールには目に見える侵害の兆候が一切現れず、マルウェアは再起動後も生き残り、毎分C2にビーコン通信を行い、Polygonブロックチェーンから最新の指示を取得し続けると同氏は述べています。
人を中心とした防御が必要
Proofpointの研究者は約2年前に初めてClickFix攻撃を発見しており、それ以降、この手法はサイバー犯罪者コミュニティの間で急速に広まっています。この攻撃の最終的な狙いは、ユーザーをだまして悪意あるプロンプトを自ら実行させることにあります。
今回のキャンペーンは、このおなじみの手法に独自のひねりを加えたものですが、キャンペーンが成功する根本的な要因は、結局のところ人間の脆弱性にあるとMouton氏は説明します。「人間が多くの組織における最も弱い環になりやすいことはよく知られています」と同氏は述べています。
このキャンペーンや類似の攻撃に対抗するため、Mouton氏は従業員に対し、ClickFixやその他のソーシャルエンジニアリング手法を見抜く能力を含む高度なフィッシング訓練を導入することを提案しています。
この訓練には、業務上の必要がない限りブロックチェーンのエンドポイントへの問い合わせ経路を遮断するなど、技術的なセキュリティ対策も組み合わせるべきだと同氏は述べています。さらに、可能な限りPowerShellのログ記録を実施し、悪意あるスクリプトの使用の可能性を検知できる効果的なアラートを整備することも重要です。
「企業のエンドポイントからブロックチェーンに問い合わせる必要のある一般的な従業員はほとんどいません」とMouton氏は説明します。「PowerShellスクリプトにハードコードされているさまざまなRPCエンドポイントをブロックすれば、この種の攻撃がC2と通信する能力を効果的に断つことができるでしょう」
