Last Updated on 2024-08-08 09:20 by admin
2024年3月以降、サイバーセキュリティ研究者たちは、悪意のあるWindowsスクリプトファイル（WSF）を通じてマルウェアを拡散する新たなRaspberry Robinキャンペーンの波を発見した。Raspberry Robinは、当初USBドライブを介して拡散していたが、配布者はソーシャルエンジニアリングやマルバタイジングなど、他の初期感染ベクトルの実験を行ってきた。このマルウェアは、2021年9月に初めて確認され、SocGholish、Cobalt Strike、IcedID、BumbleBee、TrueBotなど、さまざまなペイロードのダウンローダーとして進化し、ランサムウェアの前触れとしても機能している。
最新の配布方法は、様々なドメインとサブドメインを通じてダウンロードされるWSFファイルの使用を含む。攻撃者が被害者をこれらのURLに誘導する方法はまだ明らかではないが、スパムやマルバタイジングキャンペーンを通じている可能性がある。このWSFファイルは、仮想化環境で実行されているかどうかを判断するための反分析および反仮想マシン評価の一連の実行後、curlコマンドを使用してリモートサーバーからメインのDLLペイロードを取得するダウンローダーとして機能する。また、Windowsオペレーティングシステムのビルド番号が17063（2017年12月にリリース）未満の場合、または実行中のプロセスにAvast、Avira、Bitdefender、Check Point、ESET、Kasperskyに関連するアンチウイルスプロセスが含まれている場合には実行を終了するように設計されている。
さらに、Microsoft Defender Antivirusの除外ルールを設定し、メインドライブ全体を除外リストに追加してスキャンから回避することで、検出を回避する努力をしている。HPによると、これらのスクリプトは現在、VirusTotal上のどのアンチウイルススキャナーによっても悪意のあるものとして分類されておらず、マルウェアの回避性と深刻な感染を引き起こすリスクを示している。
【ニュース解説】
2024年3月以降、サイバーセキュリティの研究者たちは、新たなRaspberry Robinマルウェアキャンペーンを発見しました。このキャンペーンは、悪意のあるWindowsスクリプトファイル（WSF）を介してマルウェアを拡散しています。Raspberry Robinは、USBドライブを介した拡散から始まり、その後、ソーシャルエンジニアリングやマルバタイジングなど、さまざまな手法を用いて感染を広げてきました。このマルウェアは、多様なペイロードのダウンローダーとして機能し、ランサムウェアの前触れとしても活動しています。
最新の拡散手法には、WSFファイルが含まれており、これらは様々なドメインとサブドメインを通じてダウンロードされます。攻撃者が被害者をこれらのURLに誘導する正確な方法は不明ですが、スパムメールやマルバタイジングキャンペーンが利用されている可能性があります。WSFファイルは、仮想環境での実行を避け、特定の条件下でのみメインのDLLペイロードをダウンロードするように設計されています。また、特定のアンチウイルスソフトウェアのプロセスが検出されると、実行を停止します。
このキャンペーンの特徴として、Microsoft Defender Antivirusの除外ルールを設定し、検出を回避する試みがあります。これにより、メインドライブ全体がスキャンから除外され、マルウェアの検出が困難になります。現在、これらのスクリプトはVirusTotal上のどのアンチウイルススキャナーによっても悪意のあるものとして分類されていないため、その回避性と感染のリスクが高まっています。
このマルウェアキャンペーンの発見は、サイバーセキュリティの世界において重要な意味を持ちます。まず、攻撃者が常に新しい手法を模索し、既存のセキュリティ対策を回避する方法を見つけ出していることを示しています。これは、セキュリティ対策を常に更新し、新たな脅威に対応する必要があることを意味します。また、アンチウイルスソフトウェアだけに依存せず、多層的なセキュリティ対策を講じることの重要性を強調しています。
さらに、このキャンペーンは、マルウェアがどのようにして検出を回避し、感染を広げるかの理解を深める機会を提供します。これにより、セキュリティ研究者や企業は、より効果的な防御策を開発することができます。しかし、このような脅威は、個人や企業にとって重大なセキュリティリスクをもたらし、機密情報の漏洩やシステムの損害など、深刻な影響を引き起こす可能性があります。
最終的に、このキャンペーンは、サイバーセキュリティの継続的な進化と、それに対応するための継続的な努力の必要性を浮き彫りにしています。セキュリティ対策の強化と、新たな脅威に対する警戒心を常に持つことが、サイバー攻撃から保護するための鍵となります。
from Raspberry Robin Returns: New Malware Campaign Spreading Through WSF Files.
“警戒必須！新たなRaspberry Robinマルウェア波が襲来” への1件のコメント
最近のRaspberry Robinマルウェアキャンペーンの発見は、サイバーセキュリティ界における重要な警告であり、私たちが直面している脅威の進化について深く考えさせられます。このキャンペーンは、攻撃者がどのようにしてセキュリティ対策を巧みに回避し、感染を広げているかを示しています。特に、Windowsスクリプトファイル（WSF）を使用し、Microsoft Defender Antivirusの除外ルールを設定することで検出を回避する手法は、セキュリティソフトウェアの検出能力を巧妙に回避する新たな試みです。
このキャンペーンから明らかなように、アンチウイルスソフトウェアや既存のセキュリティ対策だけに依存することのリスクが高まっています。これは、セキュリティ対策の多層化と、潜在的な脅威に対する継続的な監視と更新が不可欠であることを示しています。また、企業や個人は、セキュリティ意識の向上と教育を通じて、ソーシャルエンジニアリングやマルバタイジングなどの攻撃手法に対する警戒を強化する必要があります。
この事例はまた、サイバーセキュリティ研究者や専門家にとって、マルウェアの検出と防御の方法を常に革新し続けるこ