Last Updated on 2024-07-03 08:11 by admin

サイバーセキュリティ研究者たちは、請求書をテーマにしたフィッシング詐欺を利用して、Venom RAT、Remcos RAT、XWorm、NanoCore RAT、および暗号ウォレットを狙うスティーラーなど、様々なマルウェアを配信する複雑な多段階攻撃を発見した。この攻撃では、Scalable Vector Graphics (SVG) ファイルの添付ファイルが使用され、クリックすると感染シーケンスが開始される。この攻撃手法は、BatCloakマルウェアの難読化エンジンとScrubCryptを使用して、難読化されたバッチスクリプトの形でマルウェアを配信することが特徴である。BatCloakは2022年末から他の脅威アクターに販売されており、Jlaiveという別のツールを基にしている。その主な機能は、従来の検出メカニズムを回避しながら次の段階のペイロードをロードすることである。ScrubCryptは、2023年3月にFortinetが8220 Gangによるクリプトジャッキングキャンペーンとの関連で初めて文書化したクリプターであり、Trend Microの昨年の研究によると、BatCloakの一つのイテレーションと評価されている。

最新のキャンペーンでは、SVGファイルがZIPアーカイブをドロップするための媒介として機能し、そのアーカイブにはBatCloakを使用して作成された可能性のあるバッチスクリプトが含まれている。その後、ScrubCryptバッチファイルを展開し、Venom RATを実行する前にホスト上での永続性を確立し、AMSIおよびETW保護を回避する手順を踏む。Venom RATはQuasar RATのフォークであり、攻撃者がコンプロマイズされたシステムの制御を握り、機密情報を収集し、コマンドアンドコントロール（C2）サーバーから受け取ったコマンドを実行することを可能にする。Venom RATは、C2サーバーとの通信チャネルを維持し、さまざまな活動のための追加プラグインを取得する。これには、キーロガー機能を備えたVenom RAT v6.0.3、NanoCore RAT、XWorm、Remcos RATが含まれる。また、プラグインシステムを使用して配信されるスティーラーは、システムに関する情報を収集し、Atomic Wallet、Electrum、Ethereum、Exodus、Jaxx Liberty（2023年3月にサービス終了）、Zcash、Foxmail、Telegramなどのウォレットやアプリケーションに関連するフォルダーからデータをリモートサーバーに抽出する。

この分析は、複数の難読化および回避技術の層を利用してVenomRATを配布および実行する洗練された攻撃を明らかにしている。攻撃者は、悪意のある添付ファイルを含むフィッシングメール、難読化されたスクリプトファイル、Guloader PowerShellなど、さまざまな方法を使用して被害者のシステムに侵入し、侵害する。さらに、異なるペイロードを通じてプラグインを展開することで、攻撃キャンペーンの多様性と適応性が強調されている。

【ニュース解説】

サイバーセキュリティの研究者たちは、請求書をテーマにしたフィッシング詐欺を通じて、複数のマルウェアを配信する複雑な多段階攻撃を発見しました。この攻撃では、Scalable Vector Graphics (SVG) ファイルの添付ファイルが使用され、これをクリックすることで感染シーケンスが開始されます。特に注目すべきは、BatCloakとScrubCryptという二つのマルウェア難読化ツールを使用して、難読化されたバッチスクリプトの形でマルウェアを配信する手法です。

BatCloakは、従来の検出メカニズムを回避しながら次の段階のペイロードをロードする機能を持つ、2022年末から他の脅威アクターに販売されているツールです。ScrubCryptは、BatCloakの一つのバージョンとして評価されており、特にクリプトジャッキングキャンペーンに関連して注目されています。

この攻撃キャンペーンでは、Venom RATをはじめとする複数のリモートアクセストロイの木馬(RAT)や、暗号ウォレットを狙うスティーラーが配信されています。Venom RATは、攻撃者が被害者のシステムを制御し、機密情報を収集し、追加の悪意あるコマンドを実行することを可能にするマルウェアです。

この攻撃の複雑さは、難読化や回避技術の複数の層を利用している点にあります。攻撃者は、悪意のある添付ファイルを含むフィッシングメール、難読化されたスクリプトファイル、Guloader PowerShellなど、さまざまな方法を使用してシステムに侵入し、マルウェアを実行します。

このような攻撃は、企業や個人が直面するサイバーセキュリティの脅威の進化を示しています。攻撃者は常に新しい手法を開発し、既存のセキュリティ対策を回避する方法を模索しています。このため、セキュリティ対策も進化し続ける必要があります。特に、フィッシング詐欺に対する意識の高揚や、添付ファイルやリンクを開く前の慎重な検討、セキュリティソフトウェアの最新状態の維持などが重要です。

また、この攻撃は、暗号ウォレットを狙うスティーラーを含んでいることから、暗号通貨の保有者にとっても警戒が必要です。暗号通貨のセキュリティ対策として、ウォレットのバックアップや二要素認証の利用、セキュリティソフトウェアの活用などが推奨されます。

この攻撃キャンペーンの発見は、サイバーセキュリティの脅威に対する理解を深め、より効果的な防御策を開発するための重要な情報を提供します。サイバーセキュリティの専門家や研究者は、このような攻撃の分析を通じて、新たな脅威に対する対策を模索し続ける必要があります。

from Attackers Using Obfuscation Tools to Deliver Multi-Stage Malware via Invoice Phishing.

admin

See Full Bio