ハッカーがClickFixのソーシャルエンジニアリングを使ってLorem Ipsum Loaderを配布し、Python製のトンネリングツールでリモートアクセスを確立しています。
9月下旬の調査により、攻撃者がトンネルクライアントをインストールする前にローダーを展開していたことが判明しました。対応チームはランサムウェアが出現する前にインシデントを封じ込めましたが、調査担当者はランサムウェアの配布が攻撃の最終目的だった可能性が高いと評価しています。
研究者らは、このインシデントで確認された5件のLorem Ipsumサンプルと、39件のAxolotl Loaderサンプルを分析しました。その結果、別のインストーラー配布手法、悪意あるDLL内に隠されたペイロードの保存方法、そして3種類のAxolotlの亜種が明らかになりました。
両ローダーはインフラや通信機能を共有していますが、コードは異なります。過去の報告では、Lorem Ipsumの活動はVice SocietyやVanilla Tempestとしても知られるRapid Brigantineと関連付けられていました。
Sophosは、ClickFixの変種であるTerminalFixが関与する関連の侵入も観測しました。TerminalFixは、被害者を「ファイル名を指定して実行」ダイアログではなくWindowsターミナルに誘導します。Sophos は、これらのケースでは暗号化は確認されなかったとしています。
観測された攻撃では、正規の署名付きMicrosoft実行ファイル、悪意あるDLL、1.batという名前のバッチスクリプトを含むZIPアーカイブが使われました。実行ファイルとDLLの組み合わせには、vdsldr.exeとvdsutil.dll、CertEnrollCtrl.exeとCertEnroll.dllなどがありました。
バッチスクリプトは、レジストリのRunエントリとスケジュールタスクを作成してアクセスを維持します。続いて正規の実行ファイルを起動し、この実行ファイルが DLLサイドローディングによって攻撃者のDLLを読み込みます。
DLL内には、追加された.cpocセクションにエンコードされた悪意あるコンテンツが格納されています。ランダムな5文字の単語260個を含むリソースが、デコード用の辞書として機能します。
ローダーは、格納された単語をデータに変換し、おとりのJPEGをスキップしたうえで、XORデコードを適用してダウンローダーのシェルコードを復元します。
後続のステージでは、ntdllの監視フックを除去し、固有のミューテックスとマーカーファイルを作成して、正規の実行ファイルの別コピーにコードをインジェクトします。
研究者らは、段階的なMSI配布ルートも特定しました。トロイの木馬化されたMicrosoft Teamsのインストーラーには、別のスクリプトを展開するPowerShellが含まれています。そのスクリプトが実行可能メモリを確保し、埋め込まれたペイロードを実行します。
コマンド&コントロール（C2）では、Lorem Ipsumが正規のフォーラム上のプロフィールからエンコードされたサーバーアドレスを取得します。観測されたドメインには、scriptedgeapp[.]com、transferrootway[.]com、updaterdeskarc[.]comが含まれます。
ローダーはJPEGのアップロードを装ったリクエストでサーバーに登録し、その後5秒ごとにタスクを確認します。
Pythonペイロードのclient.pyは、暗号化されたWebSocketトンネルを確立します。これにより攻撃者は、トラフィックを中継してネットワークリソースにアクセスできます。Sophosも、関連する活動で同様のトンネリング機能を確認しています。
Axolotlは、埋め込まれたPNG画像の後ろに暗号化されたシェルコードを隠し、その画像をXORキーとして使用します。39件のサンプルは、異なるホストプログラムと実行トリガーを使う3つの亜種に分類されると、Forescoutは述べています。
注: IPアドレスやドメインは、誤って名前解決されたりハイパーリンク化されたりするのを防ぐため、意図的に無害化（例: [.]）しています。再変換は、MISP、VirusTotal、SIEMなど、管理された脅威インテリジェンスプラットフォーム内でのみ行ってください。
16,000以上のSOCチームがANY.RUNを活用し、脅威調査を効率化して手作業を削減しています。チームで試してみる
翻訳元: https://cyberpress.org/clickfix-delivers-lorem-ipsum/
