Red Cellのサイバーセキュリティ研究者らは、フィッシングメール、隠しスクリプト、正規のWindowsアプリケーションを悪用してコンピューターに感染し、リモートアクセスを確立する3件のマルウェアキャンペーンを発見しました。
研究者のEuler Neto氏による調査では、Overlord RAT、Lampionマルウェア、そしてブラジルとポルトガルのユーザーを狙った悪意あるnewdev.dllキャンペーンを分析しています。
攻撃者は、偽の法的通知、財務書類、請求書ダウンロードページを使って被害者をだまし、悪意あるファイルを実行させていました。
これらのキャンペーンは、サイバー犯罪者が信頼されたソフトウェアやクラウドストレージ、Windowsのコンポーネントを悪用し、セキュリティ検知を回避しながらマルウェアを配布できることを示しています。
Overlord RATのキャンペーンでは、ブラジルの公証役場を装ったフィッシングメールが使われました。メールには、悪意あるVBScriptファイルをダウンロードさせるリンクが含まれていました。
スクリプトは文字エンコードなどの難読化手法を用い、悪意あるコマンドをセキュリティツールから隠していました。
実行されると、PowerShellやcurlといったWindowsのユーティリティを使い、DropboxまたはGoogle Cloud Storageから追加のファイルをダウンロードします。
一部のバージョンは、管理者権限の取得を試み、Microsoft Defenderに除外設定を追加しようとしました。
このマルウェアは、感染したシステムへのアクセスを維持するため、「Windows Error Reporting」という名前のスケジュールタスクも作成していました。
研究者らは、一部のペイロードがDLLサイドローディングを使っていたことを突き止めました。これは、攻撃者が正規のプログラムに悪意あるDLLファイルを読み込ませる手法です。
このキャンペーンでは、Microsoftのngentask.exeやVLCメディアプレーヤーなどのアプリケーションが悪用されました。別のペイロードは暗号化されたシェルコードを使い、悪意ある命令をシステムメモリ上で直接実行していました。
研究者らは、ブラジルのIPアドレスを使ったOverlord RATのインフラとの通信も確認しました。Lampionのキャンペーンも似た感染プロセスをたどりますが、主な標的はポルトガルのユーザーでした。
攻撃者は、HTMLファイルを含むZIP添付ファイルを配布していました。このHTMLファイルは、被害者を高度に難読化されたVBScriptペイロードへ誘導します。
研究者らは、キャンペーン間の類似点も確認しました。ただし、この調査結果は、同一の攻撃者が背後にいたことを裏付けるものではありません。
3件目のキャンペーンでは、ポルトガル語のWebサイトに、安全な請求書のダウンロードページを装った偽ページが表示されていました。訪問者はだまされて、悪意あるVBScriptと正規のVMware実行ファイルを含むISOファイルをダウンロードしてしまいます。
攻撃者はこの正規の実行ファイルを使い、改変されたnewdev.dllファイルを読み込ませていました。悪意あるDLLはPascalで書かれた別のペイロードを復号し、攻撃者が感染したコンピューターをリモート操作できるようにします。
研究者らが確認した機能には、キーボードとマウスのリモート操作、コマンド実行、ファイル転送、画面ストリーミング、隠しコマンドシェルなどがあります。
このマルウェアは、永続化のためにWindowsレジストリのエントリも作成し、ポート7777を通じてコマンド&コントロール（C2）サーバーと通信していました。
WatchGuardによると、これらのキャンペーンは、攻撃者がソーシャルエンジニアリングと正規のシステムユーティリティを組み合わせる危険性が高まっていることを浮き彫りにしています。
組織は、PowerShellの不審な動作、予期しないスケジュールタスク、無許可のDefender除外設定、不審なDLLの読み込み、見慣れないネットワーク接続を監視する必要があります。
セキュリティチームはさらに、フィッシング対策とエンドポイント監視を強化し、攻撃者が永続的なアクセスを確立する前に悪意ある活動を特定すべきです。
16,000以上のSOCチームがANY.RUNを活用し、脅威調査を効率化して手作業を削減しています。自社チームで試す
翻訳元: https://cyberpress.org/ai-bypasses-usb-encryption/
