WeedHackのコマンド&コントロール(C2)インフラを遮断しても、その拡散は止まりませんでした。偽のMinecraftクライアントサイトや信頼されたホスティングサービスが、元のバックエンドが停止した後もマルウェアの配布を続けていたのです。
McAfeeが8月20日に発表した続報によると、1か月間の観測期間中に悪意のあるWeedHackサイトへのアクセス試行が6,300件超確認されました。これを受けてThaiCERTも8月26日、同じキャンペーンについて警告を発しています。このキャンペーンはSEOポイズニングと複製されたプロジェクトページを使い、ユーザーを悪意のあるJARファイルへ誘導するものです。
McAfeeが6月2日に発表した調査では、WeedHackがMalware-as-a-Service(MaaS)型の攻撃であり、240の配布URLにわたり3,820個超の悪意のあるJARファイルが確認されたことが初めて明らかにされました。この攻撃は、偽のMinecraft用MODやクライアント、その他のダウンロードを通じて、認証情報窃取型マルウェアやリモートアクセス型マルウェアを配布します。
偽Minecraftサイトが引き続きWeedHackを拡散
McAfeeが8月20日の続報を発表した時点では、WeedHackの元のC2インフラおよびマルウェア管理用ダッシュボードはすでに稼働していませんでした。McAfeeはこのキャンペーンが遮断されたと述べていますが、研究者たちは依然として悪意のあるJARファイルを配布する稼働中のウェブサイトを発見しています。なお、この調査ではC2インフラが正確にいつ停止したのかまでは特定されていません。
一方、ThaiCERTが8月26日に発表した警告では、Minecraftのアドオンやクライアントをダウンロードする際に検索順位だけを信用しないよう、ユーザーに呼びかけています。
SEOポイズニングはこの攻撃における中心的な配布手法です。McAfeeが確認したところ、「Xenon Client」の検索でGoogle上位2件の結果はいずれもWeedHackを配布するサイトにつながっていました。また、他の悪意あるサイトも、正規プロジェクトのブランディング、インストール手順、FAQ、開発者情報、さらには本物のGitHubリポジトリへのリンクまでも模倣していました。
攻撃者は正規プラットフォームも悪用しています。確認された悪意のあるURLのうち、49.6%がDiscordのリンク、23.4%がMediaFire、8.2%がGitHub、4.6%がDropboxでした。同様の信頼悪用の手口は、8月に確認された46か国にまたがるRMMフィッシングキャンペーンでも見られ、攻撃者は正規のリモートアクセスソフトウェアを利用して悪意ある活動を通常のIT業務に紛れ込ませていました。
McAfeeの調査によると、WeedHackはMinecraftのセッションID、ブラウザに保存されたパスワードやCookie、メッセージングアプリやゲームの認証情報、暗号資産ウォレットのデータ、スクリーンショット、システム情報を窃取できます。月額5ドルから提供されるプレミアム版では、ウェブカメラへのアクセス、キーロギング、リバースシェルの実行、画面操作、ファイル管理機能が追加されます。
WeedHackはまた、EtherHidingを利用してEthereumのスマートコントラクト経由で最新のC2ドメインを取得します。McAfeeによると、後続の段階ではDefenderの除外設定、スケジュールタスク、レジストリによる永続化、リモートアクセス用コンポーネントの追加が確認されています。インフラをローテーションさせる手法は他の情報窃取型マルウェアのキャンペーンでも見られており、Microsoftは最近、ドメイン単体に頼るのではなくエンドポイントとネットワークの挙動を相関分析することで30以上のドメインをMacSync Stealerに関連付けました。
WeedHackの攻撃チェーンには多層防御で対抗
防御策は、既知ドメインのブロックリストだけに頼るのではなく、実行制御、エンドポイントの挙動監視、ID情報の露出、そしてインシデント対応の即応性まで幅広くカバーする必要があります。
- 未承認のJAR実行を制限する。 アプリケーション制御やアローリストを活用し、ユーザー書き込み可能な場所での未承認Javaアーカイブの実行をブロックします。
- 不要なJavaやソフトウェアを制限する。 使用していないランタイムを削除し、管理下のシステムで未承認のゲームクライアントやMODを利用できないようにします。
- Webおよびダウンロードのフィルタリングを強化する。 正規ホスティングサービスからの不審なダウンロードに対しても、レピュテーションチェック、サンドボックス化、ファイル制御を適用します。
- エンドポイントの変化を監視する。 不審なJavaの動作、Defenderの除外設定、スケジュールタスク、レジストリによる永続化、不審な外部通信を監視します。
- 認証情報とセッションを監視する。 異常なトークンや認証の動きに注意します。セッショントークンの窃取により、盗まれたパスワード以上に被害が拡大する場合があるためです。
- 感染が疑われる端末は速やかに隔離する。 テレメトリを保全した上で、露出した認証情報のリセット、セッションの無効化、当該デバイスからアクセス可能なアカウントの調査を行います。
- インシデント対応計画をテストする。 演習では、エンドポイントの封じ込め、認証情報の失効、環境全体にわたる脅威ハンティング、復旧手順を検証する必要があります。
WebAdvisorによる6,300件のブロックは、あくまで悪意のあるサイトへのアクセス試行を示すものであり、感染が確定した件数ではありません。WeedHackの配布モデルは、C2インフラを遮断するだけではSEOポイズニングやソフトウェアなりすまし、信頼されたサービスの悪用を根絶できないことを物語っています。
関連記事: ブラウザフィンガープリンティングも、スキャナーから悪意あるダウンロードインフラを隠す手口として使われることがあります。最近発生した250以上のドメインにまたがるClickFixキャンペーンでも、その事例が確認されています。
.
翻訳元: https://www.esecurityplanet.com/news/news-weedhack-fake-minecraft-malware/
