新しい攻撃キャンペーンでEarly Bird APC Injectionを用いたKiss Loaderマルウェアが目標に

新たに特定された「Kiss Loader」と呼ばれるマルウェアローダーが、高度なプロセスインジェクション技術と動的配信インフラストラクチャを活用した潜在的な脅威として浮上しています。

発見時点ではまだ開発中のこのローダーは、ステルス性、モジュール式ステージング、実験的な実装のブレンドを示しており、より成熟した攻撃ツールへと進化する可能性があることを示唆しています。

実行時に、このファイルはTryCloudflareトンネルを介してホストされるリモートWebDAVリソースに接続します。このサービスにより、攻撃者は専用インフラストラクチャなしでローカルサーバを露出させることができ、柔軟かつ頻繁に更新されるペイロード配信が可能になります。

サンプルの分析では、構造化されたマルチステージ実行フローが明らかになっています。感染はPDFドキュメントに偽装したWindows Internet Shortcutファイルで始まります。

露出されたWebDAVディレクトリ内では、セカンダリショートカットファイルがさらなる実行をトリガーします。これはWindows Script Host（WSH）プロセスにつながり、JScriptコンポーネントにチェーンされます。

このレイヤード実行アプローチは、攻撃の後期ステージを難読化し、即座の検出を減らすのに役立ちます。

Kiss Loaderマルウェア

JScriptステージは次のフェーズを調整するバッチスクリプトを取得します。このスクリプトは、被害者に対する誘導PDFの表示、Windowsスタートアップフォルダを介した永続性の確立、追加のペイロードコンポーネントのダウンロードなど、複数の機能を実行します。

露出されたWebDAVディレクトリはアクセス制限が欠けていたため、その内容を直接列挙および取得することができました。

これらのコンポーネントの中には、「Kiss Loader」として特定されたPythonベースのローダーがあります。このローダーはJSON設定ファイルを使用して復号化キーを取得し、ペイロードが実行時まで暗号化されたままであることを確保します。この設計は静的分析を複雑にし、回避を強化します。

復号化されたペイロードには、VenomRATまたはAsyncRATに似たバリアント、および.NET Reactor保護されたユーティリティが含まれています。

実行に使用されるシェルコードはDonutを介して生成されます。Donutは.NETアセンブリのメモリ内実行用に設計されたツールです。

実行の最終ステージは、Early Bird APCインジェクションに依存しており、これはステルスフルなプロセスインジェクション技術です。ローダーはexplorer.exeなどの正規プロセスを一時停止状態で作成します。その後、プロセス内で実行可能なメモリを割り当て、復号化されたシェルコードを書き込みます。

新しいスレッドを生成するのではなく、マルウェアはプライマリスレッドに非同期プロシージャコール（APC）をキューイングします。

スレッドが再開されると、キューイングされたAPCは通常のプロセス初期化の前に実行され、悪意のあるコードが信頼されたプロセスコンテキストで実行されるようになります。これはステルス性を大幅に向上させ、従来の検出メカニズムをバイパスします。

活発な開発の兆候

Kiss Loaderがまだ開発段階にあることを示唆するいくつかの指標があります。ペイロード配信に使用されたWebDAVリポジトリはパブリックに見ることができ、認証コントロールに欠けており、ホストされたファイルの直接列挙が可能でした。

観察から、ファイルが最近デプロイされたことが示されており、継続中のキャンペーンセットアップを示しています。

さらに、ローダーのコードには、復号化やインジェクションなどのコアルーチンを説明する大量のインラインコメントが含まれています。

テストユーティリティ、ヘルパー関数、詳細なランタイム出力の存在は、マルウェアが能動的にテストおよび改善されていることをさらに支持しています。

制御された分析中に予期しないイベントが発生しました。システムが外部オペレータによってアクティブにアクセスされているように見え、ツールが突然終了され、ユーザー入力なしでカーソル移動が観察されました。

制御された実験では、メモ帳ウィンドウに残されたメッセージは応答を受け取り、脅威アクターとのライブインタラクションを確認しました。

その個人はマルウェア開発を認め、Early Birdインジェクションの使用を確認しました。対話は短いものでしたが、開発プロセスと攻撃者の意図への珍しいリアルタイムの洞察を提供しました。

Kiss Loaderはローダーベースマルウェアの増加する洗練さと、Cloudflareなどの柔軟なインフラストラクチャの増加する使用をハイライトしています。

レイヤード実行、暗号化されたペイロードステージング、高度なインジェクション技術の使用は、将来の脅威としてのその可能性を強調しています。

このケースはまた、マルウェア分析がコードを超えて、サイバー脅威の背後にある人的要素を明かすことができるという注意喚起として機能します。

攻撃者が継続的に実験および適応し続ける中で、厳格な隔離と制御された環境を維持することは、安全で効果的な分析のために引き続き重要です。

IOCs