ヴォルデモートマルウェア
サイバーセキュリティ研究者は、Google Sheets をコマンド アンド コントロール (C2) プラットフォームとして使用する新しいマルウェア キャンペーンを特定しました。
2024 年 8 月に研究者によって検出されたこの攻撃キャンペーンは、ヨーロッパ、アジア、米国の税務当局を装い、世界中の 70 を超える組織を標的にしています。攻撃者は、情報を収集して追加のマルウェアを展開するように設計された Voldemort と呼ばれるカスタム ツールを使用します。
標的となった業界には、保険、航空宇宙、運輸、学術、金融、テクノロジー、工業、医療、自動車、ホスピタリティ、エネルギー、政府、メディア、製造、通信、社会福祉団体などがある。サイバースパイ活動は特定の脅威アクターと関連付けられていないが、これらの攻撃で最大2万通のメールが送信されたと推定されている。
目次
攻撃者が悪用する最初の侵入経路
発見された電子メールは、米国、英国、フランス、ドイツ、イタリア、インド、日本の税務当局からのものだと称しており、受信者に納税申告の更新を通知し、中間ランディング ページに誘導する Google AMP キャッシュ URL をクリックするよう促しています。
このページは、User-Agent 文字列をチェックして、ユーザーのオペレーティング システムが Windows かどうかを判断します。Windows の場合、このページは search-ms: URI プロトコル ハンドラーを使用して、Adobe Acrobat Reader を使用した PDF に偽装した Windows ショートカット (LNK) ファイルを表示し、被害者を騙して開かせようとします。
LNK ファイルが実行されると、PowerShell がトリガーされ、WebDAV 共有 (\library) から Python.exe が実行され、同じサーバー上の別の共有 (\resource) にある Python スクリプトが引数として渡されます。
Voldemort マルウェアが侵害されたシステムに展開される仕組み
この方法により、Python はコンピューターにファイルを保存せずにスクリプトを実行でき、依存関係は WebDAV 共有から直接読み込まれます。
Python スクリプトは、システム情報を収集し、それを Base64 でエンコードされた文字列として攻撃者が管理するドメインに送信するようにプログラムされています。その後、ユーザーにおとりの PDF を表示し、OpenDrive からパスワードで保護された ZIP ファイルをダウンロードします。
ZIP アーカイブには、DLL サイドローディングに対して脆弱な正規の実行可能ファイル「CiscoCollabHost.exe」と、実行可能ファイルによってサイドローディングされる悪意のある DLL ファイル「CiscoSparkLauncher.dll」(Voldemort とも呼ばれる) の 2 つのファイルが含まれています。
Voldemortマルウェアの脅威の機能
Voldemort は C 言語で書かれたカスタム バックドアで、情報収集と次の段階のペイロードの読み込み機能を備えており、マルウェアは C2、データの流出、オペレーターからのコマンドの実行に Google スプレッドシートを使用します。
研究者らは、この活動はAPT（Advanced Persistent Threat）に似ているが、電子犯罪でよく使われる手法を使用しているためサイバー犯罪の特徴も持っていると説明した。
脅威アクターは、ファイル スキーマ URI を悪用して、マルウェアのステージングのために外部のファイル共有リソース (具体的には WebDAV とサーバー メッセージ ブロック (SMB)) にアクセスします。これは、スキーマ「file://」を使用して、脅威となるコンテンツをホストしているリモート サーバーを指すことによって行われます。
このアプローチは、 Latrodectus 、 DarkGate 、 XWor m などの初期アクセス ブローカー (IAB) として機能するマルウェア ファミリの間でますます普及しています。
攻撃者の目的は不明
この有害な攻撃は異常とみなされており、攻撃者は当初、標的を特定のグループに絞る前に、広範囲の潜在的な被害者をターゲットにしていた可能性がある。また、さまざまなレベルの技術的専門知識を持っていると思われる攻撃者が、複数の組織に侵入することを意図していた可能性もあります。
このキャンペーンの多くの側面は典型的なサイバー犯罪活動に似ていますが、未知の目的を達成するためのスパイ活動である可能性が高いと私たちは考えています。このキャンペーンでは、高度で巧妙な戦術といくつかの基本的な手法が組み合わされているため、脅威アクターの能力の評価が複雑になり、最終的な目的を高い信頼性で判断することが困難になっています。
