Overlord RAT、偽のブラジル法的通知でWindows PCに感染　新たなキャンペーンを確認

WatchGuardが、ブラジルの法的通知を装ってOverlord RATを拡散する攻撃の詳細を公開しました。あわせて、マルウェア「Lampion」と、ポルトガルのユーザーを狙う別のリモートアクセス型キャンペーンも報告しています。

WatchGuardは、ブラジルの法的通知を偽装して被害者に悪意あるファイルをダウンロードさせる、新たなマルウェアキャンペーンでOverlord RATを確認しました。このRATについては、Hackread.comがこれまでにも報じています。WindowsとmacOSを狙った偽の Zoomインストーラーを使った攻撃や、情報窃取型マルウェアとともにOverlord RATを配布する悪意あるnpmパッケージの事例です。

StudySecurity

Hackread.comに共有された調査で、WatchGuard Red Cellの研究者Euler Neto氏は、ブラジルの公証役場を装った8件の不正ドメインを特定しました。このキャンペーンは、難読化したVBScript、信頼されたクラウドストレージサービス、正規のWindowsアプリケーションを使ってリモートアクセス型トロイの木馬（RAT）を送り込みます。調査ではさらに、ポルトガルのユーザーを狙う別の2つのマルウェアキャンペーンも分析しています。

偽の法的通知を悪用するOverlord RAT

このキャンペーンでは、ブラジルの抗議証書を扱う公証役場を装ったフィッシングメールを使います。8件のドメインには、1protestorecife.comやcartorioquintela.comが含まれます。メール内のリンクには、ブラジルの法人向け国家登録番号である有効なCNPJ番号が組み込まれており、通知が本物らしく見えるようになっています。

リンクをクリックすると、難読化されたVBScriptがダウンロードされ、DropboxやGoogle Cloud Storageから追加のファイルを取得します。スクリプトはPowerShellやcurlといったWindowsの標準ツールでペイロードをダウンロードします。一部のスクリプトはMicrosoft Defenderの除外設定を変更し、検出されにくくします。

感染チェーンでは、正規のアプリケーションも悪用されます。Microsoftの.NET Frameworkの実行ファイルngentask.exeやVLCメディアプレーヤーが、悪意あるDLLの読み込みに使われます。別の亜種は、「Windows Error Reporting」という名前のスケジュールタスクを作成し、永続化を図ります。

Go言語製の実行ファイルは、werdata.dbという暗号化ファイルをダウンロードし、カウンターモードのChaskey暗号で内容を復号します。研究者は、復号された内容をDonutのx64シェルコードと特定しました。その後、マルウェアは191.96.225.125と45.158.8.213にあるOverlord RATのインフラと通信します。レポートによると、通信にはポート5173が使われています。

研究者は、マルウェア内にC6Bank、PicPay、Banco Inter、Caixa Econômica Federalなど、ブラジルの金融機関への言及があることも確認しました。

Lampionと別のリモートアクセス型キャンペーン

2つ目のキャンペーンでは、HTMLファイルを含むZIPファイルを添付したフィッシングメールで、バンキング型トロイの木馬Lampionを配布します。HTMLファイルは、AWS S3やGoogle Driveなどのサービスに置かれた追加スクリプトを取得します。高度に難読化されたVBScriptの各段階には、解析を妨げる無意味なコードが含まれています。確認されたコマンド＆コントロール（C2）インフラには、ロシア国内のIPアドレスも含まれていました。

3つ目のキャンペーンでは、「Download Seguro – Factura」というタイトルのポルトガル語サイトと偽のCAPTCHAを使い、ISOファイルを配布します。ISOには、VBScript、VMwareの正規ファイルvnetlib.exe、悪意あるnewdev.dllが入っています。

vnetlib.exeがこのDLLを読み込むと、悪意あるコードが、Pascalで書かれた64ビットのDLLペイロードを新たに復号します。このペイロードは、コマンドの実行、ファイル転送、マウスとキーボードの操作、被害者の画面のストリーミングが可能です。さらにWindowsレジストリにエントリを追加し、システム再起動後もアクセスを維持します。

3つのキャンペーンは感染手法こそ異なりますが、いずれも見慣れた手口でマルウェアを被害者のシステムに送り込みます。偽の法的通知、金銭や事務手続きを装ったフィッシングメール、偽の請求書ダウンロードページなどです。

クラウドストレージや正規アプリケーションが悪用されるため、 セキュリティチームは不審なファイルだけでなく、想定外のスクリプトの動作、Defender除外設定の変更、普段と異なるネットワーク接続なども調べる必要があります。

CompareSecurity