Vampire Bot Malware
BatShadowとして追跡されているベトナム語圏の脅威アクターは、求職者やデジタルマーケティング担当者を誘い込み、これまで文書化されていないGo言語ベースのマルウェアをインストールさせる標的型攻撃を展開しています。研究者たちはこのマルウェアを「Vampire Bot」と呼んでいます。このグループはリクルーターを装い、一見正当な求人情報や企業向けPDFを配布します。これらのPDFにユーザーがアクセスすると、多段階の感染チェーンが引き起こされ、遠隔監視やデータ窃盗が可能になります。
目次
ソーシャルエンジニアリングとルアー配信
攻撃者は、採用情報を装ったメッセージとZIP形式の添付ファイルを作成し、偽装PDFファイルと、悪意のあるショートカット（LNK）またはPDFに偽装した実行ファイルを組み合わせています。これらの文書は、標的のユーザーにとっての信頼性を高めるために、特にマーケティング職種を対象としています（あるルアーはマリオットのマーケティング職に言及していました）。被害者は求人情報を「プレビュー」またはダウンロードするよう促され、そこから多段階の攻撃シーケンスが開始されます。
感染連鎖の進行
ZIPパッケージには、埋め込まれたPowerShellスクリプトを実行する悪意のあるLNKファイルが含まれています。このスクリプトは外部サーバーに接続し、ルアーPDFと、XtraViewer（リモートデスクトップソフトウェア）関連ファイルを含む別のZIPバンドルを取得します。XtraViewerコンポーネントが実行され（おそらくは永続性またはリモートアクセスを確立するため）、Go実行ファイルが展開されるまでこの連鎖が継続されます。
エッジリダイレクトの悪用
このキャンペーンの重要な手口は、偽の「サポートされていないブラウザ」エラーを表示するランディングページです。このエラーは、被害者にURLをコピーしてMicrosoft Edgeで開くよう指示します。スクリプトによるリダイレクトは最新のブラウザでブロックされることが多いため、攻撃者はユーザーに手動操作（Edgeへのコピー＆ペースト）を促し、それをユーザーによる操作とみなしてダウンロードフローを続行させます。Edgeでページを開くと、PDFが圧縮されて「デバイスに送信されました」という偽のエラーが表示され、自動的にZIPダウンロードが開始されます。
ペイロードとデコイの命名トリック
自動ダウンロードされるZIPファイルには、求人情報を装ったファイルと、PDFファイルのような名前（例：「Marriott_Marketing_Job_Description.pdf.exe」）を持つ悪意のある実行ファイルが含まれています。この実行ファイルはファイル名にパディング（「.pdf」と「.exe」の間に余分なスペースを挿入）を使用しているため、一部のビューではPDFファイルのように見え、被害者が実行する可能性が高くなります。
ヴァンパイアボットの機能
ドロップされた実行ファイルは、Vampire Botと呼ばれるGo言語バイナリです。確認された機能は以下のとおりです。
- 感染したホストを列挙しプロファイリングする
- 広範囲にわたるデータ（認証情報ストア、ファイルなど）を盗む
- 設定可能なスケジュールでスクリーンショットを撮る
そして
- 攻撃者のサーバー (api3.samsungcareers.work として報告) とのコマンドアンドコントロール通信を維持し、コマンドを受信したり、追加のペイロードをダウンロードしたりします。
帰属とインフラストラクチャ
アナリストは、インフラの再利用（例えば、ベトナム関連の攻撃者と以前関連付けられていたIPアドレス（103.124.95.161））と標的パターンに基づき、この活動をベトナムと関連付けています。BatShadowは以前にもデジタルマーケティングの専門家を標的としており、Facebook Businessの資産を乗っ取るスティーラーを展開することで知られる、金銭目的のベトナム人グループと重複しています。このグループは少なくとも1年間活動していたと見られ、これまでにsamsung-work.comなどのドメインを使用して、Agent Tesla、Lumma Stealer、Venom RATなどのマルウェアファミリーを拡散していました。また、2024年10月には、同様の罠を仕掛けた求人情報ファイルを介してQuasar RATを拡散するキャンペーンを実施しました。
なぜ攻撃は効果的なのか?
BatShadowは、業界関連のルアー（求人広告など）、ファイル名のトリック、段階的なペイロード（単純なファイルスキャンを回避するため）、そしてスクリプトによるリダイレクト保護を回避するためにブラウザで手動操作を強制するフローを組み合わせています。ソーシャルエンジニアリングと多段階の技術的手順の組み合わせにより、侵入が成功し、長期的なアクセスが確保される可能性が高まります。
結論
BatShadowのキャンペーンは、段階的かつ巧妙な技術的連鎖と組み合わせることで、標的型ソーシャルエンジニアリングがいかに効果的であるかを如実に示しています。頻繁に採用活動を行う組織や応募者のトラフィックを扱う組織、そしてオンライン資産を管理するデジタルマーケティングの専門家は、メールや添付ファイルの取り扱いを強化し、厳格な実行制御を適用し、採用関連の添付ファイルは検証されるまで高リスクとして扱うべきです。
