EvilExtractor マルウェア

Malware, Ransomware, Stealers年Mezoまで

翻訳内容：

サイバーセキュリティのレポートによると、EvilExtractor または Evil Extractor として知られるデータ盗難ツールを使用した攻撃が最近増加しています。このツールはユーザーの機密データを盗むように設計されており、ヨーロッパと米国の両方で使用されています。EvilExtractor ツールは、Kodex という会社から月額 59 ドルで販売されています。このツールには、ランサムウェア、資格情報の抽出、Windows Defender のバイパスなど、7 つの異なる攻撃モジュールがあります。 Kodex は EvilExtractor を正当なツールとして売り込んでいますが、ハッキングフォーラムで主にサイバー犯罪者に宣伝されていることを示す証拠があります。

サイバー犯罪者は、情報を盗むマルウェアとして EvilExtractor を実際に展開しています。サイバーセキュリティ会社が発行したレポートによると、EvilExtractor を使用した攻撃は 2023 年の初めから急増しています。脅威アクターは、ターゲットに感染する方法として、リンクされたフィッシングキャンペーンを確立しました。

EvilExtractor はフィッシングメールを介して配信されます

EvilExtractor 攻撃は、アカウント確認要求として表示されるように設計されたフィッシングメールから始まります。電子メールには、正規の PDF または Dropbox ファイルを装った圧縮された実行ファイルが添付されていました。ただし、添付ファイルを開くと、Python 実行可能プログラムが起動されました。

このプログラムは、PyInstaller ファイルを使用して .NET ローダーを実行します。次に、base64 でエンコードされた PowerShell スクリプトをアクティブにして、EvilExtractor 実行可能ファイルを起動します。マルウェアは起動時に、侵害されたシステムのホスト名と時間をチェックして、仮想環境で実行されているか、分析サンドボックスで実行されているかを検出します。そのような環境を検出すると、マルウェアの脅威はその実行を終了します。

これらの攻撃で使用された EvilExtractor のバージョンには、合計 7 つの異なるモジュールが含まれています。各モジュールは、日付と時刻のチェック、アンチサンドボックス、アンチ VM、アンチスキャナー、FTP サーバー設定、データ盗用、データアップロード、ログ消去、さらにはランサムウェア機能を備えたものなど、特定の機能を担当します。