確立されたリモートアクセス型トロイの木馬が、偽の連邦裁判所手続きを通じて企業のコンピューターへの新たな侵入経路を得ている。
ThreatDownの研究者によると、偽造した法的通知と偽の裁判所ウェブサイトを使うフィッシングキャンペーンが、LodaRATで10万社超を標的にしている。10月21日付の同社の報告書が示しているのはキャンペーンの潜在的な到達範囲であり、感染件数が確認されたわけではない。この誘い文句は、米国フロリダ州南部地区連邦地方裁判所になりすましている。
実行されると、LodaRATはブラウザーの認証情報やセッションCookieを窃取し、ユーザーの活動を記録し、音声と映像を取得し、感染したWindowsマシンを遠隔操作できる。
このキャンペーンは、攻撃者が新たなエクスプロイトや未知の脆弱性に頼ることなく、よく知られたマルウェアを使い続けながら、周囲のソーシャルエンジニアリングをカスタマイズすることで、ユーザーを侵害し続けられることを示している。
1つのマルウェア、多様な被害への誘因
攻撃者は、確立されたマルウェアファミリーと、悪意あるダウンロードを正規のものに見せかけるよう個別化した法的な誘い文句を組み合わせた。
ThreatDownによると、この攻撃は他の複数の攻撃と同様、フィッシングメールから始まる。今回のメールは、米国フロリダ州南部地区連邦地方裁判所になりすましていた。
Resolution@courtadr[.]comから送信されたこのメッセージは、「Court-Ordered ADR Notice」で始まり、標的の詳細情報とADR IDを含む件名を使っている。民事事件の識別子に見える形式の事件参照番号まで添え、公式の裁判所通信を装っている。通知には、受信者の企業が申し立てられた裁判外紛争解決（ADR）手続きに関係していると記載され、詳細を確認するためウェブサイトにアクセスするよう指示している。
攻撃者は、ありふれたあいさつや曖昧な脅しに頼るのではなく、標的ごとに偽の事件IDを用意し、件名とメッセージ内のリンクの両方に使用している。
クリックした後も個別化は続く。florida[.]courtadr[.]comのウェブサイトは公式の裁判所関連ポータルのように見え、フィッシングメールに記載されていたものと同じ方法で企業の詳細情報を表示する。
攻撃者はそれだけでは終わらせなかった。この偽サイトには、裁判所関連の複数のページに加え、ADR IDで偽の事件を検索できる検索機能も用意されている。
これらの機能は、被害者に単なる説得力のあるメール以上のものを与え、申し立てられた事件が実在するように見える状況全体を作り出している。
次に待っているのがダウンロードだ。「Download Your Case File」をクリックすると、受信者のADR参照番号にちなんだ名前の、パスワードで保護されたZIPアーカイブが提供される。
その中には「Alternative Dispute Resolution A」とラベル付けされたISOディスクイメージがあり、開くと3つのファイルが現れる。.mscコンソールファイル、.batバッチスクリプト、.lnk Windowsショートカットだ。いずれも裁判手続きに関連する名前で表示されるが、それぞれが同じ結果に至る別々の経路を提供する。
各ファイルは、正規のWindowsコンポーネントを通じてLodaRATをダウンロードし、実行する別々の経路を提供する。.mscの経路では、コンソールウィンドウ内でもう1度クリックする必要がある。
脅威の影響
研究者によると、このキャンペーンは10万社超を標的にしている。ただし、この数字は標的となった企業の数であり、ペイロードへの感染が確認された件数ではない。
ペイロードが標的にするのはWindowsだ。ThreatDownによると、フィッシングサイトは、ブラウザーがMicrosoft Edgeだと識別した訪問者にのみ、本来のコンテンツを配信する。このフィルタリングはマルウェアの機能とは別のものだ。
インストールされると、このリモートアクセス型トロイの木馬は、ブラウザーの認証情報やセッションCookieを窃取し、キーストロークを記録し、スクリーンショットを取得し、音声を録音し、ウェブカメラにアクセスし、コマンドを遠隔実行できる。また、永続化を確立し、Windows Defenderの弱体化を試み、侵害したシステムへのさらなるアクセス経路を作成することも可能だ。
防御担当者と企業が取るべき対策
フロリダ州南部地区の裁判所はこのキャンペーンを把握しており、公式のフィッシングおよび裁判所を装った不正メールに関する注意喚起を通じて一般に警告している。法的なものかどうかにかかわらず、予期しない通知を受け取った場合は、メッセージ内のリンクや電話番号ではなく、独自に入手した連絡先を使って確認すべきだ。
企業にとって実際に懸念されるのは、個別化された法的通知が、添付ファイルを評価する準備のできていない従業員に届く可能性があることだ。組織は、予期しない裁判所関連の通信を法務チームとセキュリティチームに転送する明確な手順を定め、独自に入手した裁判所の連絡先を通じて確認できるようにすべきだ。従業員が通知の真偽を判断するために、申し立てられた事件ファイルをダウンロードする必要はない。
セキュリティチームは、外部から受信したパスワード保護アーカイブ、ディスクイメージ、スクリプト、ショートカットを、メールおよびエンドポイントの制御がどのように処理するかも確認すべきだ。これらのファイル形式が正当な業務目的で使われる場合、検査と実行の制御がダウンロードチェーン全体をカバーしているかを評価する必要がある。見慣れたファイル名や説得力のあるウェブサイトを、ファイルが安全である証拠とみなしてはならない。
ThreatDownの 報告書に記載された指標は、利用可能なメール、DNS、プロキシ、エンドポイントのログを確認する出発点となる。チームは既知の指標がないことを端末がクリーンである証拠とみなすのではなく、状況を踏まえて一致を調査し、関連するプロセスの活動を確認すべきだ。攻撃者がドメインを変更したりファイル名を変更したりした場合でも、挙動の監視によって不審な活動を特定できる。
従業員がすでに不審なファイルを開いてしまった場合、対応はダウンロードしたファイルの削除にとどめるべきではない。セキュリティチームは端末に永続化や不正アクセスがないかを評価し、認証情報やセッションが窃取された可能性を調査し、封じ込めと復旧に向けたインシデント対応手順に従うべきだ。従業員がミスの可能性を速やかに報告し、対応担当者が影響を抑えられるよう、セキュリティ意識向上のトレーニングでも迅速な報告を徹底する必要がある。
続きを読む：偽の法的通知は不正アクセスへの経路の1つ。別の フィッシングキャンペーンが業務を装った文書でリモート管理ツールをインストールする仕組みと、攻撃者が監視できる対象を解説する。