脅威アクターがMicrosoft Teams上で偽のITサポート依頼を装い、従業員をだましてQuick Assist経由でリモートアクセス権を取得させたうえで、通常のWindows活動に紛れ込むよう設計された多段階のリバースシェルを展開するキャンペーンが確認されました。
研究者のOfek Lahiani氏とRaz Rubin氏の報告によると、このキャンペーンはソーシャルエンジニアリングから始まります。攻撃者は外部のMicrosoft Teamsチャットを通じてIT技術者になりすまし、標的に接触します。
攻撃者は被害者に対し、技術的な問題の解決にはリモートサポートが必要だと信じ込ませ、Microsoft純正のQuick Assistアプリケーションを開くよう指示します。
被害者がアクセスを許可すると、攻撃者はデバイスをハンズオンで操作できるようになります。攻撃者は、自らが管理するAmazon S3バケットから悪意のあるMSIインストーラーをダウンロードし、msiexec.exeを使って実行します。
確認されているインストーラー名にはSE15724BW.msiやKB5094126.msiがあります。このMSIパッケージは、明らかに悪意のある実行ファイル単体には依存していません。
代わりに、FileZilla、Altap Salamander、Kodiといった正規の署名付きアプリケーションと一緒に、悪意のあるDLLを展開します。この手法により、ユーザーや一部のセキュリティ製品からは、より信頼できる活動に見せかけられます。
署名済みプログラムは、System32にある正規のWindows版を読み込む代わりに、自身のインストールフォルダから悪意のあるDLLを読み込みます。確認されている悪意のあるDLL名にはvcruntime140.dll、vcruntime140_1.dll、zlib1.dllがあります。
読み込まれた悪意のあるDLLは、AWSのAPIゲートウェイエンドポイントへ暗号化されたHTTPS接続を確立します。execute-api.amazonaws.comのインフラを利用することで、攻撃者はコマンド&コントロール(C2)通信を通常のクラウドサービス活動に見せかけて偽装できます。
続いてローダーは、Windows Management Instrumentation(WMI)を使って別個のリバースシェルコンポーネントを起動します。これは、署名済みアプリケーションと最終的なリモートアクセスツールとの間にある、明白なプロセスチェーンを断ち切る点で重要です。
防御担当者は、WmiPrvSE.exeがFile Transfer.exe、Module Agent.exe、SupportHost.exeといった不審な子プロセスを生成する様子を目にする可能性があります。
リバースシェルのエージェントは、ローカルの127.0.0.1:9001で待ち受けます。インターネットと直接通信することはありません。代わりに、悪意のあるDLLが外部のAWS上のC2サーバーとローカルリスナーとの間の中継役を務めます。
この2部構成の設計には、検知回避上の利点があります。外部への通信を行うのは署名済みアプリケーションであり、リバースシェル自体はローカルホスト経由でしか通信しません。
そのため、セキュリティ製品が対話型シェルと不審な外部通信とを関連付けるのが難しくなる可能性があります。ローカル接続が確立されると、シェルエージェントはcmd.exeに接続されたConPTY疑似端末を起動します。
これにより攻撃者は、被害者のコンピューター上で直接作業しているのと同じような感覚で、対話的にコマンドを実行できます。侵害後の活動として確認されているものには、whoami、ipconfig /all、net user /dom、dsregcmd /statusがあります。
これらのコマンドは、攻撃者がログイン中のユーザー、ネットワーク構成、ドメイン環境、デバイスのID登録状況を特定するのに役立ちます。また、githubの報告によれば、攻撃者はクラウド同期されたドキュメントフォルダも列挙しており、価値のあるファイルを探している可能性があるとしています。
永続化については、salamand.lnkという名前のスタートアップフォルダ内のショートカットを通じて確立される場合があり、ユーザーのログイン時に署名済みローダーが再起動される仕組みになっています。
ANY.RUNのブラウザ内データ検査で、検知・調査・対応をより高速に-> ANY.RUNでSOCを強化
翻訳元: https://cyberpress.org/teams-scammers-deploy-backdoors/
