新たに確認されたフィッシングキャンペーンが、正規のWindowsユーティリティであるmshta.exeを悪用し、悪意のあるHTMLアプリケーション（HTA）ファイルを実行してシステム偵察を行い、認証情報やローカルの機密情報を窃取するペイロードを展開する可能性があることが分かりました。
Fortra Intelligence and Research Experts（FIRE）によると、この活動は6月に始まり現在も継続しており、攻撃者は定期的にマルウェアサンプルを再コンパイルして新たなハッシュ値を生成し、シグネチャベースのセキュリティ対策を回避しています。
Anti-malwaresoftware
このキャンペーンは主にスペイン語圏のユーザーや組織を標的としており、ローカライズされたソーシャルエンジニアリングのコンテンツと、メールフィルタリングやエンドポイント防御を回避するために設計された多段階の配信チェーンを使用しています。
新たなフィッシングキャンペーン、Windowsのmshta.exeを悪用
このフィッシング活動では、請求書を装った「Facturación」というテーマや、「Aviso Judicial（司法通知）」と称する司法通知を装った、説得力のあるスペイン語のメールが使われています。これらの手口は緊急性を演出し、受信者に埋め込まれた悪意のあるリンクをクリックさせることを狙ったものです。
Fortraの調査によると、多くのメッセージはイタリアの無料メールプロバイダーであるlibero.itを送信元としており、これはitaliaonline.itのインフラと関連付けられています。
確認されたメールの一部にはSCL:-1というスパム信頼度スコアが付与されており、高信頼度のフィッシングコンテンツに分類されていたにもかかわらず標準的なスパム対策処理を回避してユーザーの受信トレイに届いていました。
悪意のあるメールやウェブコンテンツ、ソースコードのコメント、ユーザーインターフェースの文言では一貫してスペイン語が使われている一方、中間ページにはポルトガル語の痕跡も含まれていました。
あるページのタイトルには「Redirecionamento」という表記が使われており、攻撃者がポルトガル語圏の被害者を狙ったキャンペーンに関連するインフラやテンプレートを再利用している可能性が示唆されています。
標的がフィッシングリンクをクリックすると、配信チェーンはDoc_02º.HTAと特定されたサンプルを含むHTAランチャーを提供します。Windowsはこのファイルを、HTMLやスクリプトコンテンツをローカルシステムに広範にアクセスした状態で実行できる正規のMicrosoftバイナリmshta.exe経由で開きます。
このHTAペイロードは、window.moveTo(6823, 3940)を使ってアプリケーションウィンドウを通常のモニター表示範囲外へ移動させることで、自らの動作を隠蔽します。この画面外に配置する手法により、実行中に不審なウィンドウがユーザーの目に触れる可能性を低減させています。
続いてこのスクリプトは動的にコマンド&コントロール（C2）用のURLを構築し、リモートスクリプトをHTMLページに注入することで、静的なURL検知を困難にしています。
その後、このマルウェアはWMIクエリ、PowerShell、環境変数の調査を用いて偵察を行います。オペレーティングシステム、BIOS、ユーザー名、ローカル設定に関する情報を収集します。
こうして収集された情報は、攻撃者が次にどのペイロードを展開するか、また侵害したデバイスがエスカレーションに値するほど価値があるかを判断する材料となります。
第2段階のJavaScriptドロッパーは、HTMLスマグリングを用いてBase64エンコードされたZIPアーカイブをブラウザ上で直接再構築します。このスクリプトはatob()やUint8Array関数を使って埋め込まれたコンテンツをデコードし、その後、非表示のアンカー要素とプログラムによるクリック操作を通じてアーカイブのダウンロードを強制的に実行させます。
「Descarga Iniciada」や「Procesando descarga…」といったスペイン語のメッセージによって、ダウンロードが正規のものであるかのように見せかけています。生成されるアーカイブには、Firefoxインストーラーを装った7-Zip形式の自己解凍実行ファイルが含まれています。
この実行ファイルは一時ディレクトリにペイロードを展開し、Windowsのプロセス実行関数を通じてそれを起動します。
確認された実行ファイルは主に展開とドロッパーとしての機能を果たすものに見えますが、このキャンペーンの段階的な設計により、攻撃者は被害者環境のプロファイリング後、認証情報窃取マルウェアやランサムウェア、その他のマルウェアを展開する柔軟性を確保しています。
Anti-malwaresoftware
対策
防御側はarchivogratuito[.]onlineをブロックし、goo[.]su、abrir[.]link、abre[.]aiを含む関連するURL短縮サービスへのトラフィックを監視または制限すべきです。また、特定されたGoDaddyでホストされている配信サーバーに関わる不審なトラフィックについても調査する必要があります。
組織は、Downloads、Desktop、AppDataなどユーザーが書き込み可能な場所からmshta.exeが実行されていないか監視すべきです。AppLocker、Windows Defender Application Control、またはAttack Surface Reductionルールを通じてmshta.exeの実行を制限することで、偵察や認証情報窃取が行われる前に感染チェーンを遮断できます。
アクティブなマルウェアやフィッシングの発生から24時間以内に、SOCを最新の情報でアップデートしましょう。 ANYRUNを試して早期検知でインシデントを防止しましょう。
翻訳元: https://gbhackers.com/new-phishing-campaign-abuses-windows-mshta-exe/
