Team主な調査結果プルーフポイントのリサーチャーは、PowerShellを実行してマルウェアをインストールするためのユニークなソーシャル・エンジニアリングを用いた攻撃手法を特定しました。この攻撃手法は増加しています。リサーチャーの観測によると、攻撃グループTA571とClearFakeが、この技術を使用しています。攻撃チェーンを成功させるためには、ユーザーに多くの作業をさせる必要がありますが、ソーシャル・エンジニアリング技術が非常に巧妙であるため、ユーザーは実際に発生している問題であり、それに対する解決策であると勘違いしやすく、ユーザーはリスクを考慮することなく攻撃を起動させてしまう可能性があります。概要プルーフポイントは、悪意のあるPowerShellスクリプトをコピー&ペーストしてコンピュータをマルウェアに感染させるようユーザーを誘導する、独自のソーシャル・エンジニアリングを活用した手法の増加を確認しています。イニシャル・アクセス・ブローカーである攻撃グループTA571や、少なくとも1つの偽のアップデートを装った攻撃を実行するグループが、この手法を使用し、DarkGate、Matanbuchus、NetSupport、およびさまざまな情報窃盗などのマルウェアを配信しています。最初の攻撃がスパムメールとして始まった場合も、Webブラウザのインジェクションを介して配信された場合でも、手口は似ています。ユーザーには、ドキュメントやWebページを開こうとしたときにエラーが発生したことを示唆するテキストボックスがポップアップ表示され、悪意のあるスクリプトをコピーしてPowerShellターミナルに貼り付けるか、Windowsの「ファイル名を指定して実行」ダイアログボックスに貼り付けて、最終的にPowerShell経由でスクリプトを実行するよう指示が出されます。プルーフポイントは、TA571による2024年3月1日、ClearFake脅威グループによる4月上旬、および両脅威グループによる6月上旬に、この手法を観測しています。例プルーフポイントのリサーチャーは、4月上旬のClearFake攻撃キャンペーンでこのテクニックを初めて観測し、それ以来、すべてのClearFakeキャンペーンでこのテクニック使用されていることを確認しています。正規のウェブサイトを侵害する、偽のブラウザ更新アクティビティの脅威クラスターです。コントラクトを経由してブロックチェーン上にホストされた悪意のあるスクリプトをロードします。これは"EtherHiding"として知られるテクニックです。TDSを使用するドメインから2番目のスクリプトをロードしました。この2つ目のスクリプトがロードされ、さまざまなチェックを通過した後、被害者がWebサイトの閲覧を続けると、侵害されたWebサイト上に偽の警告メッセージがオーバーレイ表示されます。この警告は、Webサイトを正しく表示するために「ルート証明書」をインストールするよう指示しています。受信者にPowerShellスクリプトをコピーし、PowerShellターミナルで実行するよう指示する悪質な偽警告このメッセージには、PowerShellスクリプトをコピーするボタンをクリックするよう指示し、被害者のコンピュータ上でこのスクリプトを手動で実行する手順が記載されていました。この指示に従うと、ユーザーはPowerShellコマンドラインインターフェイスのウィンドウにPowerShellを貼り付けて実行します。このスクリプトは、DNSキャッシュのフラッシュ、クリップボードのコンテンツの削除、ユーザーへのおとりメッセージの表示、リモートのPowerShellスクリプトのダウンロードとインメモリでの実行など、さまざまな機能を実行しました。2番目のPowerShellスクリプトは、基本的に、さらに別のPowerShellスクリプトをダウンロードするために使用されました。3番目のPowerShellスクリプトは、WMI経由でシステム温度を取得し、多くの仮想環境やサンドボックスの場合のように温度情報が返されない場合は、スクリプトを終了します。攻撃者は、ZIPのあらゆる実行可能ファイルを含む機能を利用し、トロイの木馬化されたDLLをサイドロードする様々な正規の署名された実行可能ファイルをバンドルしました。Stealerをロードしました。Stealerはその後、スティーラー(情報窃取マルウェア)としての活動に加え、3つの特徴的なペイロードをダウンロードしました。クリップボード内の暗号通貨アドレスを置き換えるように設計されたクリップボードハイジャッカーで、被害者が暗号通貨を送金する際に、意図したアドレスではなく、攻撃者が管理するアドレスに送金するように構築されているAmadeyは、JaskaGOと思われるGoベースのマルウェアなど、他のペイロードをダウンロードすることが確認されています。最初の1つのPowerShellスクリプトを実行するだけで、合計で5つの異なるマルウェア・ファミリーが実行される可能性があるということです。攻撃チェーンの例ClickFixの興味深い例2024年4月中旬、プルーフポイントのリサーチャーは、pley[.]es上のiframeにつながるインジェクトを含む侵害されたサイトを発見しました。このiframeは、欠陥のあるブラウザのアップデートを修正する必要があると主張するオーバーレイ表示されるエラーメッセージを表示しました。リサーチャーは、この活動をClickFixクラスタと名付けました。(Admin)」を開き(UACプロンプトが開かれる)、右クリックしてコードを貼り付けるよう求めています。Stealerにつながります。発見からわずか数日後、PowerShellで使用されていたペイロード・ドメインはオフラインになりました。このため、侵害されたWebサイトでエラーが表示されていたにもかかわらず、感染につながることはありませんでした。この機能不全の状態が数日続いた後、2024年5月15日、iframeのカスタムコンテンツはClearFakeインジェクトに置き換えられました。2024年6月上旬現在もこのインジェクションを提供しています。pley[.]esドメイン自体が侵害されているようなので、これら2つのアクティビティセット(ClearFakeとClickFix)が互いに連携し始めたのか、それともClearFakeアクターがiframeを再侵害し、コードを独自のコンテンツに置き換えたのかは不明です。攻撃例プルーフポイントは、2024年3月1日の攻撃キャンペーンにおいて、TA571がこの手法を使用していることを初めて確認しました。このキャンペーンには100,000を超えるメッセージが含まれ、世界中の数千の組織を標的としていました。TA571のメール・ルアーこのキャンペーンでは、電子メールにHTMLの添付ファイルがあり、マイクロソフト・ワードに似たページが表示されました。fix(修正方法)」と「Auto-fix(自動修正)」が表示されました。fix(修正方法)」ボタンをクリックすると、base64エンコードされたPowerShellコマンドがコンピュータのクリップボードにコピーされ、ページ上のメッセージはPowerShellターミナルを開き、コンソールウィンドウを右クリックするようターゲットに指示するように変わりました。端末ウィンドウを右クリックすると、クリップボードの内容が貼り付けられ、PowerShellが実行されました。プルーフポイントは、これらのファイルの中に、MSIファイルをダウンロードして実行するものと、VBSスクリプトをダウンロードして実行するものの2つの異なるPowerShellコマンドを確認しました。"をWindowsエクスプローラーに表示しました。このコマンドは、DLLのDllUnregisterServer関数を実行し、別のDLL「Inkpad_honeymoon.msp」をドロップして実行しました。これにより、Matanbuchusがインストールされます。VBSが実行されると、PowerShellを使用してDarkGateをダウンロードし、実行しました。プルーフポイントは、TA571が今春の間、攻撃キャンペーンで同様の攻撃チェーンを使用していることを確認しており、さまざまな視覚的な誘い文句を使用し、被害者にPowerShellターミナルを開くよう指示するか、Windowsボタン+Rを押して「ファイル名を指定して実行」ダイアログボックスを使用するなど、誘い文句をさまざまに変更しています。コピー/ペーストに言及する文言を削除し、被害者がクリップボードに何かがコピーされたことを知る必要がないようなテクニックも使っています。最近の例は以下の通りです:2024年5月27日、TA571は、OneDrive上でホストされている文書を表示するように見せかけ、偽のエラーメッセージを含むHTML添付ファイルを使用しました。fix(修正方法)」ボタンが含まれています。fix(修正方法)」ボタンがクリックされると、PowerShellスクリプトがクリップボードにコピーされ、その実行方法がユーザーに指示されます。この攻撃チェーンは、最終的にDarkGateマルウェアのインストールにつながりました。TA571は、PowerShellクリップボードのテクニックを使用しながら、そのルアーと攻撃チェーンを修正し、更新し続けています。2024年5月28日、プルーフポイントは、異なるエラーメッセージを使用するHTML添付ファイルを使用したTA571キャンペーンを確認しました。この攻撃キャンペーンでは、被害者に「Fix」ボタンをクリックして「ルート証明書をインストール」するよう指示しており、これはClearFakeのエラーメッセージが使用していた文言です。このキャンペーンでは、TA571は、被害者に対して、PowerShell端末の代わりに「ファイル名を指定して実行」ダイアログボックスを使用して悪意のあるスクリプトを実行するよう求めました。RATにつながります。ほとんどのキャンペーンで、TA571はHTMLファイルに様々なランダムなコンテンツを追加し、添付ファイル用に半独自のハッシュを作成しました。共通テクニックいずれの場合も、偽のアップデートやHTMLの添付ファイルを介して、悪意のあるPowerShell/CMDスクリプトがブラウザサイドJavaScriptを介してクリップボードにコピーされます。Base64、あるいはクリアテキストなど、いくつかの方法でエンコードされます。合法的に使用され、悪意のあるコードを格納する方法が多く、被害者がファイルと直接関連付けることなく手動で悪意のあるコードを実行するという事実が、この種の脅威の検出を困難にしています。ウイルス対策ソフトウェアやEDRはクリップボードのコンテンツを検査することに問題があるため、悪意のあるHTML/サイトが被害者に提示される前に検知およびブロックする必要があります。被害者にPowerShellターミナル経由で悪意のあるコードを実行させるか、「ファイル名を指定して実行」ダイアログボックス経由で実行させるかの違いについては、様々な問題があります。PowerShellターミナルを使用する場合、ユーザーはそれを開くために多くの手順を実行しなければなりません。開いてしまえば、右クリックを1回するだけで、被害者にコードを確認させることなく、コードが自動的に貼り付けられ、実行されます。「実行」ダイアログ・ボックスに関しては、ボタンをクリックし、Ctrl+Rでダイアログを開き、Ctrl+Vでコードを貼り付け、Enterでコードを実行するという4つのクリック/ボタンの組み合わせで、すべてのプロセスを実行することができます。この方法では、被害者は貼り付けられたコードを見て考え直し、実行せずにキャンセルを押してしまう可能性もあります。アトリビューション(攻撃者の紐づけ)TA571はスパム配信をおこなう攻撃グループであり、この攻撃グループは大量の電子メールキャンペーンを送信し、後続のオペレータの目的に応じて、サイバー犯罪者の顧客のためにさまざまなマルウェアを配信し、インストールします。プルーフポイントは、TA571感染はランサムウェアにつながる可能性があると高い確信を持って評価しています。ClearFakeは現在、特定の攻撃グループに紐づけはされていません。双方の攻撃者が互いにそれぞれのアイデアを拝借していることは明らかですが、プルーフポイントはそれ以外の点で両者を関連付けてはいません。結論この攻撃チェーンを成功させるためには、ユーザーによる多大な操作が必要となります。偽のエラーメッセージのソーシャルエンジニアリングは巧妙で、オペレーティングシステムからの権威ある通知を装っています。問題と解決策の両方を提示しているため、閲覧者はリスクを考慮することなく、すぐに行動を起こしやすくなっています。この攻撃チェーンはユニークであり、ソーシャルエンジニアリングの改善、PowerShellのネスト化、WebDAVやSMBの使用など、サイバー犯罪の攻撃グループがマルウェアの配信を可能にするために、新しく、多様で、ますます独創的な攻撃チェーンを採用しているという、プルーフポイントが観察した全体的な傾向と一致しています。組織は、ユーザーが活動を特定し、疑わしい活動をセキュリティ・チームに報告するよう訓練する必要があります。これは非常に特殊なトレーニングですが、既存のユーザー・トレーニング・プログラムに簡単に組み込むことが可能です。これらのキャンペーンで確認されたマルウェアの検出が含まれています。以下はIOCの完全なリストではなく、最近のキャンペーンで観察されたサンプルです。