コンピュータからデータ窃取型マルウェアを駆除したからといって、そのシステムが安全になったとは限りません。サイバーセキュリティ企業のElasticは、認証情報を窃取するインフォスティーラー「REVSTEALER」に関連する、これまで知られていなかった4つのコンポーネントを明らかにしました。情報を盗んだ後に自身を削除する主要マルウェアとは異なり、これらの追加プログラムはWindows内部に深く根を張ります。そのため、悪意ある活動を無期限に継続させることが可能になります。
認証情報の窃取とブラウザ検知の回避
REVSTEALERは、Webブラウザからパスワードやセッションクッキーを組織的に略奪します。さらに、メッセージングアプリ、VPNクライアント、パスワードマネージャー、暗号資産ウォレットからも機密データを抽出します。Google Chromeのセキュリティを回避するため、このマルウェアはデバッガーを使ってブラウザを起動します。その結果、App-Bound Encryptionキーをシステムメモリから直接抽出できてしまいます。
新たに発見されたモジュールとその機能
これら新規モジュールには、ProManager、WinUpdate、SoftManager、LockAppHostという名称が付けられています。ProManagerは暗号資産ウォレットファイルを窃取し、パスワードを傍受します。一方でWinUpdateは、暗号資産送金の際にコピーされたアドレスを悪意を持って別のものにすり替えます。加えてSoftManagerは、侵害されたマシンをリバースSOCKS5プロキシへと変貌させます。各モジュールは、システム起動時に自動実行されるようそれぞれ独自の手法を用いています。
LockAppHostがもたらす甚大な被害
LockAppHostは、感染したホストシステムに最も深刻な被害を与えます。正規のCMSTPユーティリティ、あるいは通常のUACプロンプトを通じて管理者権限を取得します。その後、このモジュールはMicrosoft Defenderに除外設定を追加します。さらに5つのサービスと11個のWindows Updateタスクを無効化します。最後に、悪意のあるソフトウェアの削除ツールの2つの動作をブロックします。これらの変更は、たとえウイルス対策ソフトがクリプトマイナーを検知した場合でも維持され続けます。
続いてLockAppHostは、XMRigとWinRing0ドライバを復号します。そして、マイニングのパラメータをPolygonのスマートコントラクトから取得します。次に、サスペンド状態のnslookup.exeまたはsvchost.exeプロセスに自身のコードを注入します。さらに、このモジュールは競合するマイニング処理を積極的に一時停止させます。また、自らの不審なネットワーク活動を露見させかねないソフトウェアも停止させます。
攻撃者の特定と対応策
Elasticは、これら4つのプログラムをREVSTEALERに自信を持って関連付けました。この結びつきは、共通のソフトウェアパッカー、同一の難読化手法、そして重複するインフラに基づいています。両方の脅威は、Polygonのスマートコントラクトも共通して利用しています。研究チームは、これらのモジュールがREVSTEALERに実際に感染したマシン上に展開される様子を観測したことはありません。それでもなお、有力な技術的証拠の積み重ねによって、この関連性を立証しています。
こうした感染に見舞われた場合、専門家は被害者に対し、直ちにWindows Updateサービスを復元するよう勧告しています。ユーザーはまた、許可なく追加されたDefenderの除外設定もすべて削除する必要があります。最後に、すべてのアクティブセッションを終了させ、侵害されたパスワードを変更してください。
翻訳元: https://meterpreter.org/revstealer-malware-components/
