Huntressのセキュリティ研究者らは、企業や学校、政府機関がネットワーク全体でソフトウェアの遠隔インストールやスクリプト実行に利用している正規のエンドポイント管理プラットフォーム「Faronics Deploy」を悪用するフィッシングキャンペーンを発見しました。
同セキュリティ企業によると、脅威アクターは請求書や納税書類、財務記録、イベント招待状を装ったフィッシングメールを被害者に送付していました。メール内のリンクをクリックすると、偽の「ドキュメントダウンロード中」画面や偽装されたAdobeプラグイン更新プロンプトなど、巧妙に作り込まれた偽ページへ誘導され、最終的には目的のファイルに見せかけた、デジタル署名済みの本物のFaronics Deployインストーラーが配信される仕組みになっていました。
インストールが完了すると、このソフトウェアは被害者のデバイスを攻撃者が管理するFaronicsのデプロイメント環境に登録し、攻撃者は管理者権限でリモートからスクリプトを実行できるようになります。Huntressによると、攻撃者はこのアクセス権を使ってPowerShellコマンドを繰り返し実行し、GitHubを含む外部のソースから追加の悪意あるスクリプトを取得する様子が確認されました。取得されたスクリプトは、侵害されたマシンに別のリモートアクセスツールであるScreenConnectをインストールするために使われていました。
研究者らによると、当初インストールされるソフトウェア自体は正規かつ適切に署名されていたため、この不正な活動は通常の企業IT業務に紛れ込み、従来型のセキュリティツールによる検知を逃れることができていたということです。
Huntressは、7月21日から8月20日までの1か月間で、457台を超えるエンドポイントがFaronics関連のフィッシングの誘い文句に遭遇したと報告しています。同社はまた、セキュリティ研究者やモバイルユーザーを除外するために使われていた訪問者フィンガープリンティング技術も特定しました。この技術により、そうしたユーザーには悪意あるダウンロードの流れではなく、Eastern Bankを偽装した偽サイトなどのおとりコンテンツが表示されていました。
Huntressは8月5日にこの活動をFaronicsに報告しました。同社はそれ以降、他組織になりすましたケースや侵害されたアカウントを含む、不正なアカウント登録を検知・ブロックする新たな対策を導入し、影響を受けた可能性のある顧客に対して積極的に連絡を取っています。Huntressによると、このプラットフォームに関連する悪意ある活動は8月21日前後から急激に減少したということです。
研究者らは、「ScriptRunner.log」という名称のログファイルと「ck」パラメータとして知られるデプロイメント識別子という、2つの重要なフォレンジック痕跡が、たとえ元の攻撃スクリプトがすでに入手できなくなっていても、防御側が悪意あるFaronics関連の活動を追跡・分類する手がかりになると指摘しています。
不正なFaronicsのインストールを発見した組織に対しては、影響を受けたエンドポイントの隔離、ScriptRunner.logにおけるリモート実行スクリプトや外部URLの確認、ScreenConnectなどの二次的なリモートアクセスツールの有無の確認、そして攻撃者による対話的なアクセスが疑われる場合の認証情報のローテーションが推奨されています。Huntressによると、同プラットフォームの悪用が疑われる事例を発見した組織は、Faronicsのサポートに直接報告することができるということです。
侵害の痕跡(IOC)を含むHuntressの詳細な技術レポートは、以下で公開されています。Daisy-Chaining Trust: Investigating Faronics Deploy Abuse
