攻撃者はMicrosoft Edge、Kaspersky、Razerなどのベンダーになりすました偽サイトを使い、トロイの木馬化したインストーラーを配布して永続化を確立し、セキュリティ防御を弱体化させています。
Microsoftは、Microsoft Edge、Kaspersky、Razerなどのソフトウェアになりすました偽のダウンロードサイトを通じて攻撃者が企業システムに侵入し、永続的なアクセスを確保するためトロイの木馬化したインストーラーを配布していると警告しました。
「悪意のあるインストーラーが実行されると、マルウェアが展開され、永続性を確立し、セキュリティ保護の弱体化を試み、攻撃者が管理するインフラと通信します」と、Microsoftのセキュリティ研究者らはブログ投稿で述べています。
Microsoft Defender Expertsが追跡しているこのキャンペーンは、医療、製造、ゲーム、テクノロジー、物流、政府機関、教育機関にわたる組織に影響を及ぼしていると同社は述べています。
攻撃者は、ブラウザやセキュリティツールから、Baidu Netdisk、draw.io、Sejda PDFといったユーティリティに至るまで、正規ベンダーを模倣した偽サイトのネットワークを利用し、ユーザーを騙して悪意のあるインストーラーをダウンロードさせている、とブログは付け加えています。
Microsoftによれば、この攻撃チェーンは「偽装されたベンダーのダウンロードページから、自己防衛機能を備えた永続的なインプラントへ」と進み、日常的なソフトウェアダウンロードを確実な侵害の入り口に変えているといいます。
同社はさらに、この活動は公に報告されているSilver Fox（別名Yinhu）キャンペーンと一致するものの、「国家的な攻撃者に帰属するとは特定していない」と付け加えました。
なりすましサイトと再生成されるペイロード
投稿によると、この攻撃は、偽装対象のブランド名を組み込んだ.com.cnや.hl.cnといった命名パターンを多用する、なりすましドメイン上でホストされた不正なダウンロードページから始まります。
これらのページは、悪意のあるインストーラーのアーカイブを配信する共有バックエンドへ被害者を誘導します。このキャンペーンの重要な特徴は、ファイルが「同じファイル名を保ちながら、ダウンロードのたびにハッシュ値が変化する」点であり、これはサーバー側でペイロードが生成されていることを示している、とMicrosoftは述べています。
これにより、ファイルベースの検知の効果が大幅に低下すると、サイバーセキュリティ研究者でレッドチーマーのVibhum Dubey氏は指摘します。
「インストーラーは同じファイル名を保持しますが、ハッシュ値はダウンロードのたびに変化します。そのため、セキュリティチームが1つのサンプルを特定してブロックできたとしても、次にダウンロードされるのは別のファイルである可能性があります」
信頼されたWindowsコンポーネントの悪用
投稿によると、実行されたインストーラーは多段階の感染チェーンを開始し、まずラッパーがシステム上のランダムな場所にペイロードをドロップします。
研究者らによると、一部のケースでは攻撃者がWindows Installerサービスを利用し、msiexec.exeを通じてペイロードを実行させることで、Microsoftが署名した正規プロセスの下で悪意のある活動を動かしているといいます。
Dubey氏は、これによって防御側がバイナリそのものを超えた視点で調べる必要が生じ、検知が難しくなると述べています。
「msiexec.exeの使用が検知を難しくするのは、それが正規のMicrosoft署名済みWindowsコンポーネントだからです」と同氏は言います。「本当に重要な問いは、なぜそれが起動されたのか、そのMSIファイルはどこから来たのか、そして実行後に何が起きたのか、ということになります」
さらに同氏は、この手法は攻撃者の手口における大きな変化を反映しており、明らかに悪意のあるバイナリに頼るのではなく、通常のシステム動作に紛れ込む傾向がますます強まっていると付け加えました。
永続化と防御回避
Microsoftによると、実行に成功した後、マルウェアは日常的なシステム動作を装ったスケジュールタスクを使って永続性を確立し、ペイロードを繰り返し起動します。
投稿によれば、その後攻撃者はSYSTEM権限で動作する短命なスケジュールタスクを使って権限を昇格させ、Microsoft Defenderの設定を変更します。
Microsoftはまた、アンチウイルスの除外設定の追加、ボリュームシャドウコピーの削除、Windows Updateサービスの無効化など、複数の防御回避手法も確認しています。
Dubey氏は、これらの手法の組み合わせが注目に値すると述べています。
「このマルウェアはDefenderの除外設定を追加し、シャドウコピーを削除し、Windows Updateを妨害し、一時的なSYSTEMレベルのスケジュールタスクを使用します」
「これらの動作は、このマルウェアが被害者だけでなく防御側のことも考慮に入れていることを示しています。検知を困難にし、パッチ適用を妨げ、復旧の可能性を減らそうとしているのです」
さらに同氏は、個々の手法自体は目新しいものではないものの、それらを1つのチェーンに組み合わせている点が、より意図的に作り込まれたツールであることを示していると付け加えました。
Microsoftによると、後段のペイロードは、専用インフラと、追加のペイロードを保管するために使われるオブジェクトストレージを含むクラウドサービスを組み合わせて、コマンド&コントロール通信を確立します。
投稿によると、一部の環境ではこの活動に「ハンズオンキーボード」による操作が含まれており、攻撃者がアクセス獲得後に自動化された感染にとどまらない行動に出る可能性を示唆しています。
企業にとってのリスクと検知手法の転換
このキャンペーンは、特にソフトウェアの調達方法やIT運用に地域差がある場合に、多国籍組織にとってのリスクを浮き彫りにしています。
「グローバル企業では、中国拠点のオフィスや子会社がそれぞれ異なるソフトウェア調達元、IT運用方法、セキュリティポリシーを持つことがあります。こうした違いが、攻撃者につけ込まれる隙を生み出す可能性があります」とDubey氏は述べています。
偽サイトが信頼されたベンダーを巧妙に模倣しているため、ユーザーが脅威に気づかない可能性もあります。「従業員は単に見慣れた製品をダウンロードしていると思い込み、そのインストーラーを疑う理由が何もない場合があります」と同氏は言います。
Microsoftは、ファイル名やハッシュ値が意図的にランダム化されていることを踏まえ、ファイルベースの検知ではなく振る舞いに基づく指標に注目するよう組織に呼びかけています。
Dubey氏は、この方向転換が今や不可欠になりつつあると述べています。「私にとっての最大の教訓は、ファイルがMicrosoftによって署名されているからといって、その背後にある活動が正規のものだとは限らないということです」と同氏は語ります。「ファイルハッシュ単体よりも、一連の操作の文脈や順序の方がはるかに重要になってきています」
