WhiskerSpy Backdoor
サイバーセキュリティの研究者は、Earth Kitsune という名前の比較的新しい高度な脅威アクター グループによって展開された、WhiskerSpy として知られる新しいバックドアを発見しました。このグループは、北朝鮮に関心を示した個人を標的にすることで有名になりました。
攻撃を実行するために、Earth Kitsune グループは水飲み場攻撃として知られる方法を利用しました。これは、ターゲットのシステムへのアクセスを取得するための実証済みの効果的な戦術です。この攻撃では、脅威アクターは、ターゲット ユーザーが頻繁にアクセスする Web サイトを特定し、サイトにアクセスしたときに訪問者のデバイスにアクセスできるようにするマルウェアに感染させます。この特定のケースでは、侵害された Web サイトは親北朝鮮の Web サイトであり、北朝鮮に関心のある個人が頻繁にアクセスしています。
セキュリティ研究者は 2019 年から Earth Kitsune の活動を監視しており、昨年末にこの最新のキャンペーンを発見しました。この発見は重要であり、比較的新しい脅威アクターでさえますます高度になり、個人や組織に同様に重大な脅威をもたらしているという事実を浮き彫りにしています。
ウィスカースパイ感染は水飲み場攻撃戦術を使用
侵害された Web サイトでビデオを見ようとする訪問者に、WhiskerSpy バックドアが配信されます。攻撃者は破損したスクリプトを Web サイトに挿入し、表示されたビデオ コンテンツを実行するために必要と思われるビデオ コーデックをインストールするよう訪問者に促します。検出を回避するために、攻撃者は正規のコーデック インストーラーを変更して、被害者のシステムにこれまでに見られなかったバックドアを最終的にロードするようにしました。
研究者によると、脅威アクターは、瀋陽、中国、名古屋、日本、およびブラジルからの IP アドレスを持つ Web サイトへの訪問者のみを標的にしていました。 VPN 接続を使用した水飲み場攻撃のテストにブラジルが使用された疑いがあり、実際の標的は中国と日本の 2 つの都市からの訪問者でした。関連する被害者は、ビデオを見るためにコーデックをインストールするよう促す偽のエラー メッセージを受け取ります。しかし実際には、このコーデックは被害者のコンピューターにシェルコードをインストールする MSI 実行可能ファイルであり、一連の PowerShell コマンドをトリガーして、最終的に WhiskerSpy バックドアを展開しました。
このキャンペーンでは、Earth Kitsune はいくつかの永続化手法を使用して検出されないようにしました。そのような手口の 1 つに、Google Chrome のネイティブ メッセージング ホストの悪用があります。このホストは、Google Chrome Helper と呼ばれる侵害された Google Chrome 拡張機能をインストールしていました。この拡張機能により、ブラウザが起動するたびにペイロードの実行が許可されました。もう 1 つの利用されている手法は、OneDrive ディレクトリに安全でないファイル (偽の「vcruntime140.dll」) をドロップできるようにする、OneDrive のサイドローディングの脆弱性を利用しています。
WhiskerSpy には脅威となる機能の膨大なリストがあります
WhiskerSpy は、Earth Kitsune 攻撃キャンペーンの一部として展開された最後のペイロードです。バックドアは、インタラクティブ シェル、ファイルのダウンロード、アップロード、削除、ファイルの一覧表示、スクリーンショットの取得、実行可能ファイルのロード、プロセスへのシェルコードの挿入など、リモート オペレータにさまざまな機能を提供します。
コマンド アンド コントロール (C2、C&C) サーバーとの通信を維持するために、WhiskerSpy は暗号化に 16 バイトの AES キーを使用します。バックドアは定期的に C2 サーバーに接続してそのステータスに関する最新情報を受信します。サーバーは、シェル コマンドの実行、別のプロセスへのコードの挿入、特定のファイルの抽出、スクリーンショットの撮影など、マルウェアへの指示で応答する場合があります。
研究者は、C2 通信に HTTP の代わりに FTP プロトコルを使用する以前のバージョンの WhiskerSpy を発見しました。この古い亜種は、実行時にデバッガの存在もチェックし、適切なステータス コードを C2 に通知しました。これらの調査結果は、攻撃者が検出を回避し、その有効性を高めるためにツールや技術を適応させ、改良するにつれて、マルウェアが絶え間なく進化していることを浮き彫りにしています。このような脅威から保護するための堅牢で最新のセキュリティ対策の必要性を強調しています。
