この悪意あるJavaアーカイブ(JAR)は、正規のCaffeineMC Lithiumパフォーマンスモッドの補助MODであるLithium Extras 0.15.0+mc1.21.1になりすましています。
13個あるモジュールのうち12個がメモリのトリミングやエンティティのカリングなど実際の最適化機能を実行するため、本物らしく見えます。しかし、隠されたモジュールが密かにマルウェア感染チェーンを開始します。
8秒間の遅延の後、この偽MODは被害者の位置情報を確認し、コンピューター名を収集した上で、169MBの実行ファイルを%APPDATA%\Microsoft\Windows\javaw.exeにダウンロードします。
このファイル名とフォルダは、Minecraftプレイヤーが日常的にJavaを使用する環境において無害に見えるよう設計されています。ダウンロードされたファイルは、DiscordNitroGenerator.exeという名前のNode.js実行ファイルを装っています。
このファイルには専用のJavaランタイムと最終ペイロードであるMyth Stealer 3.2-FIXが含まれています。この手法により、被害者のコンピューターにJavaがインストールされていなくてもマルウェアを実行できます。
サンプルが提出された時点では、悪意あるJARと第2段階の実行ファイルはいずれもVirusTotalでの検出数がゼロでした。
最終ペイロードを起動する前に、マルウェアは偽の管理者メッセージを表示し、ユーザーにWindowsのユーザーアカウント制御(UAC)プロンプトの承認を求めます。このダイアログはダークテーマのタイトルバーとシステムのような文言を使用しており、正規のもののように見せかけています。
被害者が承認すると、Myth Stealerはより高い権限を取得し、機密データの収集を開始します。このマルウェアは以下を窃取できます。
窃取した情報は、Discordのwebhookおよび攻撃者が管理するコマンド&コントロール(C2)サーバーを通じて送信されます。
研究者らは、IPベースのサーバー146[.]19[.]191[.]11と、トルコのゲームマーケットプレイスGamePazariになりすましたタイポスクワッティングのバックアップドメインays[.]gamepazarin[.]comを確認しました。
Myth Stealerは単なる情報窃取ツールにとどまりません。攻撃者がPowerShellコマンドを実行したり、追加のファイルをダウンロード・実行したり、データを削除したり、ディレクトリを検索したり、スタートアップへの永続化を維持したりできるリモートアクセス機能も備えています。
このツールにはさらに、AMSIバイパス、ETWパッチ、プロセスホロウイング、ファイルレス実行、仮想マシン検知、デバッガー検知といった防御回避機能も含まれていると、mediumは述べています。
注目すべきは、マウスの操作、キーボードの無効化、画面の振動や回転、タスクバーの非表示、壁紙の変更、ランダムなポップアップの表示、色の反転、カーソルアイコンの変更といった手段で被害者を妨害できる嫌がらせ用コマンドセットを備えている点です。
さらに、偽のWindows UpdateやDirectXのエラー画面を表示し、ユーザーを混乱させて悪意ある活動を隠蔽することも可能です。
ANY.RUNのブラウザ内データ検査で、検知・調査・対応をより迅速に-> ANY.RUNでSOCを強化
翻訳元: https://cyberpress.org/fake-minecraft-mod-backdoor/
