脅威アクターが、正規のWindowsユーティリティであるmshta.exeを悪用し、スペイン語のフィッシングメールを通じて配布される悪意あるHTMLアプリケーション(HTA)ファイルを実行する攻撃が確認されています。この手口はシステムの偵察活動と、認証情報を窃取するマルウェアの段階的な展開を可能にします。
FortraのIntelligence and Research Experts(FIRE)の研究者たちは、6月からこのキャンペーンを追跡してきました。攻撃は主に、Facturación(請求書)やAviso Judicial(裁判所通知)といった件名の偽の請求書や司法通知を装ったメールを通じて、世界各地の組織のスペイン語話者を標的にしています。
これらのメッセージの多くは、italiaonline.itのインフラを利用するイタリアのプロバイダーlibero.itがホストするアカウントから送信されています。このキャンペーンで注目すべき点は、メールのスパム信頼度レベルのバイパスを悪用しているとみられることです。
高い確信度でフィッシングと判定されるはずのメッセージがSCL:-1という値を受け取っていたと報告されており、これによりMicrosoftのメール防御機能による隔離を回避し、受信者の受信トレイに届いていたとみられます。
攻撃は、被害者がフィッシングメールに埋め込まれた短縮URLをクリックすることから始まります。このリンクはgoo[.]su、abrir[.]link、abre[.]aiといったサービスを経由してリダイレクトされ、最終的にarchivogratuito[.]onlineでホストされる悪意あるダウンロードページへと誘導されます。
被害者は最終的に、Doc_02º.HTAのようなHTAファイルを開くよう促されます。このファイルが起動されると、HTMLアプリケーションを実行するために設計された署名済みのMicrosoftバイナリであるmshta.exeによって処理されます。
mshta.exeは多くのWindowsシステムにインストールされているため、攻撃者はアプリケーション制御やセキュリティ監視を回避する目的で、これを「環境寄生型(living-off-the-land)」のバイナリとして頻繁に悪用しています。
このHTAランチャーはwindow.moveTo(6823, 3940)を使ってアプリケーションのウィンドウを通常の画面境界外に移動させ、被害者から活動を効果的に隠蔽します。その後、攻撃者が管理するインフラから遠隔でJavaScriptを動的に注入します。
このスクリプトは、Windows Management InstrumentationやPowerShell、環境変数のチェックを使って偵察活動を実行します。マルウェアはWindowsのバージョン、BIOSの詳細、ユーザー名、システムの特性などの情報を収集します。
こうして得た情報をもとに、攻撃者は侵害した端末の価値や構成に応じて、後続のマルウェアを展開するかどうかを判断します。
次の段階では、HTMLスマグリングという手法が使われます。JavaScriptのドロッパーが、window.atob()とUint8Array関数を使ってBase64エンコードされたZIPアーカイブをブラウザ内で直接再構築します。
そして、見えないリンクとプログラムによるクリックイベントを使ってアーカイブのダウンロードを強制するため、ユーザーによる追加の操作はほとんど、あるいはまったく必要としません。
このページには「Descarga Iniciada」(ダウンロード開始)や「Procesando descarga」(ダウンロード処理中)といったスペイン語のメッセージが表示され、ペイロードの配布が正規のものであるかのように見せかけます。ダウンロードされたアーカイブには、Firefoxのインストーラーを装った7-Zip自己展開型実行ファイルが含まれています。
このSFXファイルはマルウェアを一時的な場所に展開し、Windowsのプロセス実行機能を通じて起動します。Fortraによると、サンプルは定期的に再コンパイルされておりハッシュ値が変化するため、シグネチャベースの検出が効きにくくなっているといいます。
このキャンペーンは、フィッシング、画面外でのHTA実行、難読化されたURL、HTMLスマグリング、ランダムなファイル名、そしてポリモーフィック型の実行ファイルを組み合わせることで、多層防御の回避を図っています。
組織は直ちにarchivogratuito[.]onlineや関連するURL短縮サービス、不審なGoDaddyでホストされたインフラをブロックすべきです。セキュリティチームはまた、AppLocker、Windows Defender Application Control、あるいは攻撃対象領域の減少(ASR)ルールを通じてmshta.exeの実行を制限すべきでしょう。
EDRチームは、Downloads、Desktop、AppDataといったディレクトリから起動されるmshta.exeを監視すべきです。特に、画面外でのウィンドウ動作に続いてスクリプトの注入、WMIによる探索、PowerShellの実行、7-Zip SFXの活動、そして外部への通信が発生するケースには注意が必要です。
メールセキュリティチームは、libero.itやitaliaonline.itの送信者に関連するSCL:-1の処理を調査し、スペイン語の請求書や法的通知を装ったフィッシングに対する対策を強化すべきです。
16,000以上の組織からの最新インテリジェンスで、58%多くの脅威を検知。TIフィードを統合し、貴社のSOCを強化しましょう
翻訳元: https://cyberpress.org/hackers-abuse-windows-mshta-exe-in-phishing-attacks/
