Posts on Mal-Eats

YouTubeで拡散される不正ソフトウェアの罠

Thu, 01 Jun 2023 03:05:18 +0900

昨今YouTubeにおいて、Adobe製品などの有償ソフトウェアのクラック版やゲームのチートツールに偽装して、情報窃取型のマルウェアに感染させるキャンペーンが観測されています。この攻撃者グループは、ITリテラシーの低いユーザを主に狙っており、Lumma Stealer等の情報窃取型マルウェアに感染させて認証情報などを窃取しようとします。

また、攻撃者グループは、YouTubeアカウントを大量に侵害していると考えられ、マルウェア感染へ誘導するための動画を日々投稿しています。これまでに日本企業のチャンネルや外国の国営放送のチャンネルが乗っ取り被害を受けており、チャンネルを運用する組織の立場からも、レピュテーションリスクなどの観点で見過ごせない脅威といえます。

本稿では、上記の攻撃内容や被害事例を紹介し、当該脅威に対処するための対策事項を示します。

攻撃の概要

YouTubeの動画から誘導されてマルウェアに感染するまでの流れは、次の通りです。

図1 攻撃の全体像

ユーザがWeb検索を行い、検索結果から悪意のあるYouTube動画へ遷移する
ユーザが悪意のあるYouTube動画視聴により、利用方法を把握する
概要欄や固定コメントに記載されたURLリンクから、ダウンロードサイトへ遷移する
ダウンロードした圧縮ファイルを展開し、exeファイルを実行すると情報窃取型マルウェアに感染する

なお、図中③のダウンロードサイトにはいくつかの種類があり、それぞれ遷移が異なります。これらについては、詳細を後述します。

マルウェア感染までの流れ

マルウェア感染までの具体的な流れを下記に示します。

まず、ユーザが製品名のクラック版などをGoogleで検索すると、マルウェアに誘導するYouTube動画がWeb検索結果に表示されます。多くの場合、これが動画の流入元になっていると考えられます。

図2 Googleでの「adobe crack」の検索例

動画一覧から悪意のある動画に遷移します。

図3 攻撃者が投稿した悪意のある動画

下図の通り、動画の概要欄や固定コメントにURLが記載されており、そこから配布ページに遷移できます。また、ダウンロードしたファイルを展開するためのパスワードも記載されていることもあります。

図4 動画概要欄による誘導例

図5 固定コメントによる誘導例

ダウンロード先のURLリンクには、複数の種類があります。この例では、匿名ブログサービスを経由して、ファイル共有サービスから不正なファイルをダウンロードできるようになっていました。

図6 匿名ブログサービスに投稿された誘導記事

図7 ファイル共有サービスに配置されたマルウェアの例

前述のパスワードでダウンロードした「Setup.rar」を展開できます。

図8 ダウンロード後に展開されたマルウェア

この例では、1GBを超えるサイズのファイル「Software.exe」が展開されており、これを実行するとマルウェアに感染します。ファイルサイズについては、意図的に肥大化させることで、スキャンサイズ上限による検知回避を狙っているものと考えられます。

なお、我々の調査より、当該ファイルは情報窃取型のマルウェアのRaccoon Stealerであることが判明しています。

攻撃プロセスの特徴

YouTube動画

攻撃で使用されている動画は、商用ソフトウェアのクラック版とゲームのチートツールの二種類に大別できます。具体例を下図に示します。

図9 攻撃で使用されるYouTube動画のサムネイル（左：商用ソフトウェアのクラック版、右:ゲームのチートツール）

偽装ソフトウェアと対象のゲームの例を次に示します。

商用ソフトウェア

Adobe社製品： Photoshop、Illustrator、Premiere、AfterEffects、Lightroomなど
VPN製品： NordVPN、ExpressVPN、Avira Phantom VPNなど
アンチウイルス製品： ESET、Avast、Malwarebytesなど
その他： AutoCAD、Twixtor、Voicemod、Wondershare Filmora、Camtasia、Vegas Pro、Microsoft 365、CLIP STUDIO PAINT、Studio Oneなど

ゲーム

日本を狙う新たな攻撃キャンペーン Campo の全体像

Mon, 10 May 2021 12:21:28 +0900

2021年3月頃より、campo/Openfieldと呼ばれるインフラを利用した日本への攻撃が複数回確認されています。この攻撃キャンペーンは、感染組織によっては後続のマルウェアが配信される可能性があり、その中には最終的にランサムウェアが使用されるケースが海外で観測されています。

我々は、現在この攻撃キャンペーンを継続調査しており、認識している限り、少なくとも2020年10月頃には観測され始めています。今後も攻撃者による継続的な活動は予測され、最悪の場合、ランサムウェアによる暗号化をはじめとした様々な被害に発展してしまう可能性があることを危惧しています。そこで、このような脅威に備えて、現時点で判明している日本向けキャンペーンの特徴とマルウェアの実行痕跡の確認方法等について本稿で共有します。

更新履歴

本稿の更新による変更点は次の通りです。

日付	内容
2021年5月10日	本稿を公開しました。
2021年5月11日	一部誤字を修正しました。

日本向けのキャンペーンの報告状況

攻撃の全体像

攻撃の全体像は、図1の通りです。攻撃は日本語メールの接到から始まります。メール本文にはURLリンクとパスワードが記載されており、ユーザがURLリンクにアクセスするとパスワード付きZIPファイルをダウンロードすることができます。このZIPファイルを展開し、文書ファイルを開いてコンテンツを有効にすると、Campo Loaderと呼ばれるダウンローダがドロップ・実行され、通信が発生します。そして、別のダウンローダであるDFDownloaderに感染し、サーバと通信することで追加のペイロードをダウンロード・実行できる状態となります。

図1 攻撃の全体像

なお、URLリンクの通信先とCampo Loaderの通信先は「BlackTDS」と呼ばれるアンチボットサービスを利用している可能性が高く、通信時にリサーチャの調査活動が妨害され正規サイトへリダイレクトされることがあります。このサービスの動作の詳細は後述します。

今回の日本向け攻撃キャンペーンで使用されているDFDownloaderは、追加のマルウェアをダウンロードして実行する機能があるものの、現時点で我々は後続のペイロードの観測に至っていません。DFDownloaderに関しては、海外の文献においても報告されていない状況です。このため、DFDownloaderを経由して最終的に感染するマルウェアは不明です。

その一方で、海外ではCampo Loaderから下記のマルウェアに感染する類似事例が報告されています。

Trickbot
Ursnif
BazarLoader→CobaltStrike, AnchorDNS
Phobos Ransomware

また、同攻撃者グループによると思われる日本での過去事例では、Zloaderに感染させようとする事例も確認されています。これらの内容に関しては、我々の考察を含め、本稿の最後に記載しています。

メールの特徴

メールの例を下図に示します。日本向けの攻撃キャンペーンでは、図2の通りメール本文に日本語が使用されており、実在する企業の担当者を騙り、請求書の形式でリンク先のパスワード付きZIPファイルのダウンロードに誘導します。

送信元は多数の企業を騙っており、正規の企業メールアドレスとは異なります。メール本文に記載されているリンク先ファイルのパスワードは、現在観測している限り、すべて同一であることを確認しています。さらに、メールヘッダの情報から攻撃者はオープンソースのWebメールである「Roundcube Webmail」を使用して配信していると推定しています。

図2 日本向け攻撃メールの例

リンク先のサーバの特徴

リンク先サーバへのアクセスは、HTTPSで行われることが確認されています。また、接続先ドメイン名に紐づいているIPアドレスが共通であることが多いという特徴があります。

調査の結果、このサーバは「BlackTDS」と呼ばれるアンチボットサービスを利用している可能性があることがわかりました。このサービスは、公式サイトによると”トラフィックのクリーニングとボットの保護に最適なソリューション”（図3）とされていますが、実際はDrive-by as a serviceとして攻撃者が悪用しているとProofpoint社によって報告されています[1]。

図3 BlackTDS

[1]「Drive-by as a service: BlackTDS」, Proofpoint, 2018/3/13 https://www.proofpoint.com/us/threat-insight/post/drive-service-blacktds

今回の日本向けキャンペーンでは、このサービスが提供すると言われている以下のフィルタリングが利用されている可能性があります。

IPv6に完全対応したIPアドレスによるフィルタリング
ISPによるフィルタリング
リファラーによるフィルタリング
ハードウェアIDによるフィルタリング、
44万以上のIPアンチウイルス、モデレーター、検索エンジン、チェッカーボットが登録されているアンチボットデータベースによるフィルタリング

そのため、BlackTDSによりセキュリティリサーチャやサンドボックスによるファイルの取得が難しく調査の難易度が高くなってしまいます。

IcedIDの感染につながる日本向けキャンペーンの分析

Thu, 12 Nov 2020 13:00:37 +0900

2020年10月下旬から、Shathak/TA551※に関連する攻撃が日本へ複数回行われていることを確認しています。

我々は、Shathakの攻撃状況を数か月にわたって調査しており、本キャンペーンにおいても情報共有できる点があるため、日本向けキャンペーンの特徴とマルウェア感染時の痕跡の確認方法をお伝えします。

※Shathak/TA551は、本攻撃で使用される特徴的なマルウェア配信のためのネットワーク、または本攻撃を行う攻撃者グループのことを指します。

更新履歴

本稿の更新による変更点は次の通りです。

更新日	更新内容
2021年1月24日	実行痕跡の確認方法にIcedID Coreが登録するレジストリの情報を追記しました。
2020年11月24日	11月20日に発生した日本向けの攻撃について、主に文書ファイルの分析結果、実行痕跡の確認方法およびIoCを更新しました。実行痕跡の確認方法では、これまで記載できていなかったタスク名やファイル生成の複数のパターンを網羅的に記載するようにしました。

日本向けのキャンペーンの報告状況

日本におけるメールの報告は、SNS上で行われています。以下に報告を時系列順に示します。

攻撃の全体像

Shathakによる攻撃の全体像は、図1の通りです。メールが届くところから始まり、ユーザがパスワード付きZIPファイルを展開し、文書ファイルを開いてコンテンツを有効にすると、マルウェアに感染します。

通常、感染するマルウェアはオンラインバンキングを狙うマルウェアIcedIDですが、複数のステージで構成されているため、IcedIDとして機能するまでの流れがやや複雑です。感染の流れに関しては「6.4 IcedID の感染フロー」で解説します。

図1 攻撃の全体像

メールの特徴

メールの例を図2に示します。日本向けのキャンペーンでは、メール本文に日本語が使用されています。このようなメールは、Emotetによって配信されたメールと見分けにくいため、以降で解説する特徴を理解しておくことが重要です。

図 2 メールの例

メールには、次のような特徴があります。

メール本文中にZIPファイルの解凍パスワード記載（パスワードは英数字5-7桁）
ZIPファイル名は、「Info.zip」、「request.zip」、「＜送信元組織名（アルファベット）＞.zip」の３タイプ
件名に「Re:」がついており、メールの返信を偽装している
何らかの方法で窃取したメール情報を利用してメールが送られる

メールヘッダの例を図3に示します。この例では、送信元が日本のメールアドレスに詐称されていました。

図3 攻撃で使用されたメールのヘッダ情報

攻撃に使用されたメールを分析した結果、攻撃者は、表1の通り、窃取した件名、送信元、メール配信用アカウント、署名を使用します。現在、攻撃者が送信元（envelope-fromのメールアドレス）を詐称してメールを配信するケースと、メールアカウントを侵害してメールを配信するケースの２パターンを観測しており、自組織から本当にメールが配信されているか確認する必要があります。

表1 攻撃メールで使用される情報

攻撃メールで使用される情報	説明
件名	窃取された実際のメールの件名
送信元（envelope-from）	窃取されたメールアドレス
宛先	窃取されたメールアドレス
メールアカウント	窃取されたメールアカウント
署名	窃取されたメール本文の署名

文書ファイルの特徴

メール本文に記載されているパスワードで添付ファイルを展開し、格納されている文書ファイルを開くと、図4のようなデザインの文書ファイルが表示されます。最近の日本向けキャンペーンでは、文書ファイルのテンプレートに日本語が使用されています。

Posts on Mal-Eats

YouTubeで拡散される不正ソフトウェアの罠

攻撃の概要

マルウェア感染までの流れ

攻撃プロセスの特徴

YouTube動画

日本を狙う新たな攻撃キャンペーン Campo の全体像

更新履歴

日本向けのキャンペーンの報告状況

攻撃の全体像

メールの特徴

リンク先のサーバの特徴

IcedIDの感染につながる日本向けキャンペーンの分析

更新履歴

日本向けのキャンペーンの報告状況

10月27日(火)

10月28日(水)

10月29日(木)

11月3日(火)

11月4日(水)

11月5日(木)

11月20日(金)

攻撃の全体像

メールの特徴

文書ファイルの特徴