FatalRAT フィッシング攻撃
アジア太平洋 (APAC) 地域の産業組織は、FatalRAT の脅威を拡散することを目的とした高度なフィッシング キャンペーンの標的になっています。サイバー犯罪者によって綿密に計画されたこの活動は、myqcloud や Youdao Cloud Notes などの中国の正規のクラウド サービスを利用して攻撃インフラストラクチャを構築しています。攻撃者は、多段階のペイロード配信システムを展開することで、効果的に検出を回避し、侵入を長引かせています。
目次
重要セクターにおける高価値ターゲット
このキャンペーンは、製造、建設、IT、通信、医療、電力、エネルギー、物流、運輸などの政府機関や主要産業をターゲットにしている。影響を受ける地域は、台湾、マレーシア、中国、日本、タイ、韓国、シンガポール、フィリピン、ベトナム、香港に及ぶ。
最大限の効果を発揮する言語固有のルアー
フィッシングメールの添付ファイルを分析すると、この攻撃は主に中国語を話す個人をターゲットにしていることがわかります。このアプローチは、中国語が主要言語である組織に侵入し、成功の可能性を高めるための計算された取り組みを示唆しています。
FatalRAT の配布方法の進化
FatalRAT は、過去にさまざまな配布方法に関連付けられてきました。以前のキャンペーンでは、偽の Google 広告を利用して脅威を拡散していました。2023 年 9 月、研究者は、Gh0st RAT、 Purple Fox 、 ValleyRATなどの他の脅威とともにFatalRATを配布する別のフィッシング キャンペーンを記録しました。
シルバーフォックスAPTへの接続
これらの攻撃の一部は、中国語圏のユーザーや日本の組織を標的にすることで知られる脅威アクターである Silver Fox APT によるものとされています。この関連性は、これらの攻撃の背後にある潜在的な地政学的動機をさらに強調しています。
攻撃の連鎖: フィッシングメールから完全な侵害まで
攻撃は、中国語のファイル名で偽装された ZIP アーカイブを含むフィッシング メールから始まります。このアーカイブを開くと、第 1 段階のローダーが起動し、Youdao Cloud Notes にアクセスして DLL ファイルと FatalRAT コンフィギュレーターを取得します。次に、コンフィギュレーターは別の Youdao Cloud Note にアクセスして構成データを抽出し、同時に疑惑を最小限に抑えるためにおとりファイルを開きます。
ステルスのためのDLLサイドローディングの活用
このキャンペーンの重要な特徴は、感染シーケンスを進めるために DLL サイドローディング技術を使用していることです。第 2 段階の DLL ローダーは、myqcloud.com でホストされているリモート サーバーから FatalRAT ペイロードをダウンロードしてインストールし、偽のエラー メッセージを表示してユーザーを欺きます。正規のバイナリに依存しているため、攻撃チェーンは通常のシステム アクティビティに紛れ込み、検出作業を複雑化します。
高度な回避戦術をプレイ中
FatalRAT は、仮想マシンとサンドボックス環境を認識するように設計されており、実行前に 17 種類のチェックを実行します。チェックが失敗すると、マルウェアは分析を回避するためにシャットダウンします。さらに、rundll32.exe プロセスのすべてのインスタンスを終了し、インストールされているセキュリティ ソリューションの詳細を含むシステム情報を収集してから、コマンド アンド コントロール (C2) サーバーに接続してさらに指示を取得します。
多用途かつ脅威的なツール
FatalRAT には、攻撃者が侵入したデバイスを強力に制御できるようにする広範な機能が備わっています。このトロイの木馬は、キーストロークを記録し、マスター ブート レコード (MBR) を操作し、画面機能を制御し、Google Chrome および Internet Explorer からブラウザー データを削除し、AnyDesk や UltraViewer などのリモート アクセス ツールをインストールし、ファイル操作を実行し、プロキシ接続を有効にし、任意のプロセスを終了できます。
FatalRAT の背後にいる脅威アクターの特定
正確な犯人は特定されていないものの、複数の攻撃キャンペーンに共通する戦術的類似性から、これらの攻撃は共通の起源を持っていることが示唆されています。研究者は、中国語を話す脅威アクターが犯人であると中程度の確信を持って考えています。攻撃サイクル全体を通じて中国語のサービスとインターフェースが一貫して使用されていることも、この説をさらに裏付けています。
全体像: 長期的なサイバースパイ活動のためのツール
FatalRAT の幅広い機能は、サイバー犯罪者に長期にわたる侵入の無限の機会を提供します。ネットワーク全体に拡散し、追加のツールをインストールし、システムを操作し、機密データを盗み出す能力は、執拗な攻撃者にとって手強い武器となります。以前の攻撃との重複と中国語のリソースの繰り返し使用は、スパイ活動とデータ盗難を目的とした組織化されたキャンペーンを示唆しています。
