偽装MP4ファイルにマルウェアを隠す新手口

攻撃者は動画ファイルを、単なる視聴用ではなく巧妙な偽装手段として利用することがあります。Censysの専門家は最近、高度なマルウェアキャンペーンを発見しました。このキャンペーンでは、構造的には正常に見えながら実際には再生できないMP4ファイルが積極的に展開されています。これらのファイルは、正規のリモート管理ツールであるNetSupport Managerアプリケーションを密かに配布します。その結果、ひそかにインストールが行われた後、攻撃者は侵害したコンピューターに対して永続的かつ不正なコントロールを手に入れることになります。

ClickFixによる感染経路

Censysの調査担当者は、当初の悪意あるおとり手口を特定できませんでした。そのため現時点では、この攻撃は偽のCAPTCHA表示から始まると考えられています。その後、Windowsの「ファイル名を指定して実行」ダイアログのコマンド履歴が消去されていたことから、ClickFix手法が使われた可能性が強く示唆されています。この欺瞞的な手法では、被害者にコピーしたコマンドを手動で貼り付けて実行させます。続いてPowerShellが、複雑な感染チェーンの最初のコンポーネントをダウンロードします。

表面的なネットワーク検査の回避

最初のスクリプトはまずコンピューター名を確認し、分析環境の痕跡がないかを調べます。その後、PowerShellウィンドウを非表示にし、`%TEMP%`ディレクトリ内に第2段階のスクリプトを生成します。この第2段階のスクリプトはリモートサーバーに接続し、その際Chromeブラウザの識別子を偽装します。最終的に6.5MBのファイルをダウンロードします。重要なのは、このリクエストが通常のメディアダウンロードを完璧に模倣している点です。この巧妙な偽装によって、悪意あるコンテンツの転送が表面的なネットワークセキュリティ検査から見事に隠されてしまいます。

悪意あるコンテナの内部構造

このMP4ファイルの内部には、実質的に動画データはほとんど含まれていません。その代わりに、内包された`uuid`ブロックがファイル構造の99.95%を占めています。この巨大なブロックには、XORキーと、強く圧縮されたPowerShellスクリプトが格納されています。展開すると、このスクリプトは一気に約17MBにまで膨れ上がります。このコンテナは基本的なファイル形式の検証チェックを通過してしまいます。しかし、解像度はゼロで、デコードに不可欠なパラメーターも一切欠けています。そのため、通常のメディアプレイヤーではこのファイルを開くことができません。

永続的なリモートコントロールの確立

最後のスクリプトは、`C:/Users/Public`配下のランダムに生成されたサブディレクトリに、NetSupport Managerクライアントを巧妙に配置します。ステルス性を保つため、表示されるプログラム要素はすべて意図的に無効化されます。さらに、`SecurityHealth`という名前の自動起動エントリを登録することで永続化を図ります。この名称は、正規のWindows Defenderコンポーネントを装うためのものです。最終的に、このクライアントはポート443を利用してコマンドゲートウェイと通信を確立します。Censysは、6つのネットワークと4か国にまたがる40件の稼働ノード上で、18種類の異なるビルドを確認しています。

ClickFix攻撃への対策

このMP4ファイルをメディアプレイヤーで単に開いただけでは、コンピューターが感染することはありません。感染チェーンが成立するには、事前にコピーされたコマンドが実行される必要があります。安全を確保するため、ユーザーは不審なウェブサイト由来のコマンドを、「ファイル名を指定して実行」ダイアログやPowerShell、コマンドターミナルに直接貼り付けて実行してはいけません。Censysは、正常にデコードできない、あるいはほぼ`uuid`ブロックのみで構成されているMP4ファイルにフラグを立てるよう、セキュリティシステムに強く推奨しています。さらに、システム管理者は公開されている侵害指標(IoC)を積極的に確認することが求められます。