ブラジルユーザー狙う「CHAVECLOAK」トロイの木馬、フィッシングメールで拡散中

Last Updated on 2024-07-06 08:55 by 門倉 朋宏

ブラジルのユーザーを狙った新たなバンキングトロイの木馬「CHAVECLOAK」が、フィッシングメールを通じて拡散されている。この攻撃は、PDF添付ファイルを介して実行され、PDFがZIPファイルをダウンロードし、DLLサイドローディング技術を利用して最終的なマルウェアを実行する。攻撃チェーンには、DocuSignをテーマにした契約関連の誘導が含まれ、ユーザーが文書を読んで署名するためのボタンを含むPDFファイルを開くように仕向ける。実際には、このボタンをクリックすると、Goo.su URL短縮サービスを使用して短縮されたリモートリンクからインストーラーファイルが取得される。インストーラーには「Lightshot.exe」という実行可能ファイルが含まれており、DLLサイドローディングを利用して「Lightshot.dll」（CHAVECLOAKマルウェア）をロードし、機密情報の窃取を容易にする。これには、システムのメタデータの収集や、感染したマシンがブラジルにあるかどうかのチェック、特定の銀行関連の文字列と前面ウィンドウを定期的に比較することが含まれる。一致する場合、コマンドアンドコントロール（C2）サーバーに接続し、さまざまな種類の情報を収集してサーバー上の異なるエンドポイントに送信する。

マルウェアは、被害者の画面をブロックしたり、キーストロークを記録したり、欺瞞的なポップアップウィンドウを表示するなど、被害者の認証情報を盗むためのさまざまなアクションを容易にする。また、被害者が特定の金融ポータルにアクセスすることを積極的に監視し、複数の銀行やMercado Bitcoinなど、伝統的な銀行業務と暗号通貨プラットフォームの両方を含む。

Fortinetは、ラテンアメリカをターゲットにしたDelphiベースのマルウェアの普及を再び強調するCHAVECLOAKのDelphiバリアントも発見した。このバンキングトロイの木馬の出現は、特にブラジルのユーザーを対象とした金融セクターを狙ったサイバー脅威の進化する風景を強調している。

【ニュース解説】

ブラジルのユーザーを狙った新たなバンキングトロイの木馬「CHAVECLOAK」が、フィッシングメールを介して拡散されていることが報告されました。この攻撃は、PDF添付ファイルを通じて行われ、PDFがZIPファイルをダウンロードし、DLLサイドローディング技術を利用して最終的なマルウェアを実行する複雑な手法を採用しています。攻撃チェーンには、DocuSignをテーマにした契約関連の誘導が含まれ、ユーザーが文書を読んで署名するためのボタンを含むPDFファイルを開くように仕向けられます。しかし、このボタンをクリックすると、実際にはリモートリンクからインストーラーファイルが取得され、最終的にCHAVECLOAKマルウェアが実行される仕組みです。

このマルウェアは、被害者のシステム情報の収集、銀行関連のウィンドウを監視し、一致する場合にはコマンドアンドコントロールサーバーに接続して情報を盗み出すという機能を持っています。さらに、被害者の画面をブロックしたり、キーストロークを記録したり、欺瞞的なポップアップウィンドウを表示するなど、被害者の認証情報を盗むためのさまざまなアクションを容易にします。特に、伝統的な銀行業務だけでなく、暗号通貨プラットフォームにも対応している点が特徴的です。

このような攻撃は、個人の財務情報の安全性に対する深刻な脅威をもたらします。フィッシングメールによる攻撃は、ユーザーが正規の文書と誤認しやすいため、特に注意が必要です。また、DLLサイドローディング技術の利用は、マルウェアの検出を回避するための手法であり、セキュリティ対策を複雑にします。

この事件は、サイバーセキュリティの観点から見ると、フィッシング攻撃の手法がますます巧妙化していることを示しています。ユーザーは、未知の送信者からのメールに添付されているファイルを開かない、疑わしいリンクをクリックしないなど、基本的なセキュリティ対策を徹底することが重要です。また、金融機関や企業は、顧客へのセキュリティ教育を強化し、フィッシングメールに対する警戒を促す必要があります。

長期的な視点では、このような攻撃の増加は、金融セクターにおけるデジタルセキュリティの重要性を一層高めることになります。金融機関は、セキュリティ対策の強化だけでなく、攻撃を早期に検出し対応するためのシステムを整備することが求められます。また、サイバーセキュリティ技術の進化に伴い、攻撃者との間で常に新たな対策と対抗策の競争が続くことになるでしょう。

from New Banking Trojan CHAVECLOAK Targets Brazilian Users via Phishing Tactics.