LOBSHOT マルウェア
LOBSHOT と呼ばれる新しいマルウェアの脅威が、Google 広告を通じて配布されていることが判明しており、hVNC を使用して Windows デバイスに感染することができます。このマルウェアは、正規の AnyDesk リモート管理ソフトウェアのように見える広告によって宣伝されていることをサイバーセキュリティ研究者が観察しました。しかし、悪意のある広告はユーザーを偽の Web サイトに誘導します。このページ「amydeecke.website」は、悪意のある MSI ファイルをプッシュし、それが PowerShell コマンドを実行します。目標は、以前に TA505/Clop ランサムウェア グループのサイバー犯罪活動に関連していたドメインである download-cdn[.]com から DLL をダウンロードすることです。
ダウンロードされた DLL ファイルは LOBSHOT マルウェアであり、C:\ProgramData フォルダーに保存され、RunDLL32.exe によって実行されます。 LOBSHOT の詳細を明らかにしたレポートによると、研究者は 2022 年 7 月以降、500 を超える固有の LOBSHOT サンプルを観察しました。特定されたサンプルは通常、93 KB から 124 KB の範囲の 32 ビット DLL または 32 ビット実行可能ファイルとしてコンパイルされます。侵害されたデバイスで実行されると、LOBSHOT は Microsoft Defender が実行されているかどうかを確認し、検出された場合はその実行を終了します。
目次
サイバー犯罪者が Google 広告を悪用してマルウェアの脅威を拡散
サイバーセキュリティの専門家は、攻撃者が Google 広告を使用して、検索結果を通じてマルウェアを拡散することが急増していることを確認しています。悪意のある広告キャンペーンには、7-ZIP、VLC、OBS、Notepad++、CCleaner、TradingView、Rufus、およびその他のいくつかのアプリケーションなど、さまざまな Web サイトおよび正規のソフトウェア製品の模倣が含まれていました。
広告によって与えられた正当性の印象にもかかわらず、リダイレクト先の Web サイトは実際には、正規のアプリケーションを提供する代わりに、 Gozi 、 RedLine 、 Vidar 、 Cobalt Strike 、SectoRAT、 Royal ランサムウェアなどのマルウェアを広めるように設計されています。
LOBSHOT マルウェアは暗号通貨の拡張機能とウォレットを標的にしています
LOBSHOT が Microsoft Defender の存在の兆候を検出しない場合、脅威のプログラミングを続行します。この脅威は、レジストリ エントリを自動的に構成して、Windows が起動するたびに確実に起動するようにします。次に LOBSHOT は、感染したデバイスから、実行中のすべてのプロセスを含むシステム情報を収集して送信を開始します。さらに、このマルウェアは、32 の Chrome 暗号通貨ウォレット拡張機能、9 つの Edge ウォレット拡張機能、および 11 の Firefox ウォレット拡張機能の存在を探します。
これらの拡張子を検出すると、マルウェアは C:\ProgramData フォルダー内のファイルを実行します。ただし、研究者は、ファイルの目的が拡張データを抽出することなのか、それとも他の有害なアクションを抽出することなのかについて確信を持っていません。
暗号通貨の拡張機能を収集することは、マルウェアの共通の目標ですが、LOBSHOT マルウェアには、その構造に組み込まれた hVNC モジュールもあります。このモジュールにより、攻撃者は感染したデバイスにリモートで慎重にアクセスできます。
LOBSHOT マルウェアは、侵害されたデバイスへのリモート アクセスを提供します
hVNC (隠れた仮想ネットワーク コンピューティング) モジュールによって、被害者の知らないうちに Windows デスクトップ コンピューターをリモートで制御することが可能になります。
LOBSHOT として知られるマルウェアには、hVNC モジュールが含まれています。これにより、攻撃者は、キーボードとマウスを使用して、隠れたデスクトップを物理的に目の前にいるかのように操作できます。
モジュールがアクティブになると、被害者のマシンは、隠しデスクトップのスクリーン キャプチャを、攻撃者が制御するリッスン クライアントに送信し始めます。攻撃者は、キーボードの操作、ボタンのクリック、マウスの移動によってクライアントと対話し、デバイスを完全にリモート コントロールできます。
hVNC によって付与されたフル アクセスにより、攻撃者は、コマンドの実行、データの盗用、追加のマルウェア ペイロードの展開など、さまざまな活動を実行できます。
