サイバー犯罪者は、ClickFixの手口を使った攻撃キャンペーンを、複数種類のマルウェアを繰り返し被害者に配信できるエコシステムへと発展させ始めています。セキュリティ研究者が警告しました。
10月14日に公開されたブログ記事によると、Forescout Researchの一部門であるVedere Labsのセキュリティアナリストは、あるインシデントを調査する中で、サーバーホスティングパネル「ROMULUS」を発見しました。
アナリストは、別のClickFixキャンペーンが配信したものとまったく同じマルウェアが、調査中のインシデントに関連する別のサーバーにも接続されていることを突き止めました。
この新たなサーバーは「ROMULUS」というパネルをホストしていることが判明しました。さらに分析を進めた結果、これは複数のペイロードを共有する新しいClickFix配信プラットフォームであることが明らかになりました。
ClickFixは、サイバー犯罪者の間で広く使われている攻撃手法です。ソーシャルエンジニアリングを用いて、攻撃者が用意したコマンドを被害者自身のマシン上で実行させます。
ClickFixは、マシンを使用する正規かつ信頼されたユーザー自身にコマンドを実行させるため、不正な操作を防ぐために導入されているセキュリティ対策をすり抜けてしまうことが少なくありません。
大規模展開が可能なClickFix
新たに発見されたROMULUSプラットフォームは、さまざまな攻撃経路を使い分けて、異なる種類のマルウェアを配信できるとみられます。研究者らは、ROMULUSが特定のマルウェアに固定されたサーバーではなく、再利用可能な配信バックエンドである点にも注目しており、大規模に運用されている可能性を指摘しています。
Forescoutのアナリストは、ROMULUSを稼働させているサーバーを合計6台特定しました。このインフラは、幅広いサイバー犯罪者が攻撃の配信に使えるツールキットとして運用されている可能性があるといいます。
ROMULUSは、自らの活動を隠蔽するために珍しい手法を用いている点でも注目されます。ある配信経路では、複数の機能を備えたマルウェア配信プラットフォーム「LegionLoader」が、暗号化されたアーカイブを通じて配信されていました。アーカイブに含まれる実行ファイルは約842 MiBまで人為的に肥大化されており、セキュリティスキャンや分析ツールのファイルサイズ上限を超えるよう仕組まれていた可能性があります。
研究者らは、今回の活動について、ClickFixが単純なソーシャルエンジニアリングの手法から、マルウェア運用の入り口へと進化しつつあることを示していると見ています。同時に攻撃者は配信インフラの多様化を進め、悪意ある活動を偽装して、脅威の検知をいっそう難しくしています。
このプラットフォームの運営者や、最終的に配信されるマルウェアファミリーの共通の所有者は不明です。ただし、このROMULUSプラットフォームは、2026年前半にProofpointの研究者が確認したマルウェア「RomulusLoader」とは別のものだと指摘されています。
翻訳元: https://www.infosecurity-magazine.com/news/romulus-malware-clickfix-deliver/
