SEO最適化されたGitHubリポジトリを悪用し、有名ソフトウェア企業になりすまして、これまで確認されていなかった情報窃取マルウェア「Rapuncel」を拡散する新たなマルウェアキャンペーンが確認されました。
このキャンペーンを発見したLastPassとDelphos Labsによると、パスワード管理ソフトのLastPassをはじめ、少なくとも39社の企業になりすましているといいます。
これらのリポジトリは、Rapuncelインフォスティーラーに加えて、145種類のアンチウイルス製品およびEDR(Endpoint Detection and Response)製品を無効化できる、Microsoft署名付きのカーネルドライバーも配布します。
攻撃の入り口は、被害者がLastPass Authenticatorなどの人気ソフトウェアを検索し、偽のGitHubリポジトリへのリンクをたどるところから始まります。
そこでダウンロードボタンをクリックすると、一連のリダイレクトを経てペイロード配布サーバーへと誘導されます。被害者が受け取るZIPアーカイブは、セキュリティスキャンを回避するため、サイズが最大148MBまで水増しされています。
アーカイブ内のインストーラーは、正規のMicrosoft Visual Studio CoreCLRデバッガー「vsdbg.exe」のコピーを改名し、悪意あるDLL(vsdbg.dll)をサイドロードするよう設定したものです。このインストーラーは、Rapuncelインフォスティーラーに加え、アンチウイルスソフトを停止させるために使われる「Alinubx.sys」カーネルドライバーも展開します。
このカーネルドライバーは「nvfsflt64.sys」というNVIDIA製コンポーネントを装い、NvFsFilterサービスとして登録されます。
研究者らによると、このドライバーはEDRキラーとして機能し、終了対象とする145種類のアンチウイルス/EDRプロセスのリストがハードコードされているとのことです。
「このドライバーはAccessMode=KernelModeを指定してObOpenObjectByPointerを呼び出すため、ハンドルのオープン時に通常のユーザーモードSeAccessCheckパスを回避します」とLastPassは説明しています。
「カーネルにプロセスをカーネルコードとして開かせた上で終了させます。だからこそ、多くのセキュリティ製品が管理者権限下での生存を頼みにしているPPL(Protected Process Light)保護を突破できるのです」
現時点でこのドライバーはMicrosoftの脆弱ドライバーブロックリストには登録されておらず、今回のキャンペーンで使われているものはMicrosoftのWindows Hardware Compatibility Publisherチェーンを通じて署名されています。
研究者らは、Alinubx.sysにはファイルやレジストリの隠蔽、DLLインジェクション、ドライバーおよびプロセスの傍受、トラフィック操作、ポートリダイレクトといった追加機能が備わっているものの、今回のキャンペーンでは有効化されていないようだと指摘しています。
Rapuncelインフォスティーラー
感染デバイス上でセキュリティソフトが停止されると、Rapuncelインフォスティーラーはデータの窃取を開始します。
このマルウェアが収集する情報は以下の通りです。
- 25種類のWebブラウザに保存された認証情報
- 30種類の暗号資産ウォレットのデータ
- Discord、Steam、Telegramのセッション認証情報
- Windows資格情報マネージャーの内容
- 「password」「seed」「wallet」「recovery」を含むファイル名の文書
- 接続中の全モニターのスクリーンショット
- 詳細なシステム情報
Chrome、Edgeなど関連ブラウザに搭載されているGoogleのApp-Bound Encryption保護を回避するため、Rapuncelはヘルパーとなる DLLをアプリに注入し、独自のElevation Serviceを呼び出します。
窃取された情報は圧縮された上で、生のTCP接続上でHTTP形式のリクエストとして送信され、外部エンドポイント「2.26.126[.]50」にアップロードされます。
Rapuncelは Windowsサービスを通じて再起動後も persist(常駐)し続けるため、再起動したセキュリティツールがあっても、インフォスティーラーが起動する前に再度停止させられます。
LastPassとDelphos Labsは、RapuncelがBoryptGrabの亜種であると中程度の確度で評価しているほか、そのローダーがCruciferra PUROSANGUEクリプターを用いて作成されていたことも突き止めています。
ユーザーには、ソフトウェアは必ず公式サイトからのみダウンロードし、怪しいGitHubリポジトリを避け、Google検索のプロモーション表示された検索結果は無視またはブロックすることが推奨されています。
