過去数ヶ月にわたり、私たちはサイバー脅威を監視してきました。 MSME（中小零細企業）部門 インド国内では、MSME（中小零細企業）セクターはインド経済の屋台骨とみなされています。MSMEは国内の労働力の約40%を雇用し、製造業の生産高の約45%、輸出の40%を占めています。深刻な資金難に直面している中、MSMEは進行中のCOVID-19パンデミックの影響を最も強く受けています。
2020年XNUMX月下旬にMSMEで同様の波が見られました。それは フィッシング詐欺 COVID-19をテーマにした不正ドキュメントで被害者を誘い込むキャンペーン。このキャンペーンで特に目立ったファイルは以下のとおりです。
| ファイル名 | フェイスマスク注文書.doc |
| MD5 | 4FC5BA9426E9191AAB4E694E7E703E13 |
| SHA-1 | B5EBAF2F5AF220FE1B1DE5433C2E39FF16B0C0B4 |
| SHA-256 | 2022D9CC42ED2838DAA442561107C29297BDDB88B36222345C10B39164E66819 |
| 有病率 | 300件以上 |
技術仕様
被害者は、「face mask order.zip」というZIPファイルが添付されたメールを受け取りました。このZIPファイルには、被害者のマシンにマルウェアを侵入させる前述の不正ドキュメントが含まれていました。攻撃は「face mask order.doc」を開くと開始されます。このRTFファイルは、CVE-2017-11882の脆弱性を悪用し、任意のコードを実行するエクスプロイトによって攻撃者に利用されています。
CVE-2017-11882 分析:
悪意のある RTF ドキュメントには、2 つの悪意のある OLE オブジェクトが含まれています。
このツールはRTFファイルからOLEオブジェクトを抽出します。OLEオブジェクト（#0）はVBScriptファイル（ServerCrypted.vbsスクリプトなど）であり、オブジェクト（#2）には数式エディタのエクスプロイトとファイルを実行するコマンドが含まれています。CmD.exe /C cscript %tmp%\ServerCrypted.vbs"。
OLE オブジェクト (#0) は、図 4 に示すように実行可能ファイル (ServerCrypted.vbs スクリプトなど) です。
このオブジェクト (#2) のクラス名は、下の画像に示すように、エクスプロイト (CVE-3-2017) の Equation.11882 です。
また、下の図 6 に示すように、ServerCrypted.vbs スクリプトを実行するコマンドも含まれています。
CVE-2017-11882は、Microsoft Office数式エディター（EQNEDT32.EXE）コンポーネントに存在します。攻撃者は、MS Officeの数式エディターコンポーネントに存在するスタックバッファオーバーフローの脆弱性を悪用し、任意のコードを実行する可能性があります。この脆弱性の根本原因は、数式エディターのOLEオブジェクトデータのFONTレコード構造内で定義されているFONT名の無制限文字列のコピーです。
下の図は、フォント名をローカルに作成されたバッファにコピーする際のスタック バッファ オーバーフローのシナリオを示しています。
この場合、関数は WinExec のアドレスである 0x430c12 に「戻り」、引数は攻撃者が実行したい「フォント名」とコマンドになります。
VBScript 分析:
攻撃が成功すると、次のコマンドで cmd.exe が実行されます。
「/c cscript %tmp%\ServerCrypted.vbs >> AC」
このコマンドは、ServerCrypted.vbs内のコードを実行するcscript.exeプロセスを作成します。VBScriptファイルは既に の％temp％ WinWordプロセスによってフォルダにコピーされます。下図はVBScriptコードです。図9と図10に示すように、攻撃者は関数名、変数名、文字列にいくつかのAVベンダー名を使用しています。このVBScriptは、cmd.exeとpowershell.exeという10つのプロセスを実行する役割を担っています。図XNUMXは難読化されたPowerShellスクリプトです。
PowerShell 分析:
図11は難読化解除された PowerShellの スクリプト。
以下に示すように、スクリプトは.jpg拡張子のファイルを15882060891つダウンロードします。最初のファイル「12.jpg」はPowerShellスクリプトで、図3に示すように、C#でエンコードされたインジェクターDLLが含まれています。このDLLはPowerShellによってメモリ内にロードされます。このスクリプトでは、FlorianRothやCybXNUMXrOpsといった興味深いインジェクターDLLのクラス名や関数名が使用されていました。Florian Rothは著名なセキュリティ研究者であり、CybXNUMXrOpsのCTOです。 ネクトロンシステムズCyb3rOpsは彼のTwitterハンドルネームです。PowerShellによってダウンロードされる15882060892つ目のファイルは「XNUMX.jpg」で、エンコードされたエージェントTeslaのペイロードです。このペイロードはWindowsネイティブバイナリRegAsm.exeに挿入されています。
以下はhxxp://www[.]m9c[.]net/uploads/15882060891.jpgのエンコードされたデータです。これはPowerShellコードとエンコードされたインジェクターDLLデータです。
デコード後、インジェクター DLL の PE ヘッダーが表示されます。
下図はhxxp://www[.]m9c[.]net/uploads/15882060892.jpgの内容を示しています。これは最終的なペイロードのエンコードされたデータです。
最終ペイロード – エージェント テスラ:
下の図は、RegAsm.exe に挿入された Agent Tesla ペイロードを示しています。
Agent Teslaは、.Netで書かれた有名なキーロガー兼情報窃盗マルウェアです。このマルウェアは、Webブラウザ、メールクライアント、FTPクライアント、メッセンジャーアプリケーション、VPNクライアントなど、様々なアプリケーションから情報を窃取し、システムのスクリーンショットも取得します。窃取されたデータはすべてSMTP経由で外部に持ち出されます。
私たちは過去数回のブログでエージェント テスラについて調査し、分析してきました。
コロナウイルスをテーマにしたキャンペーンでAgent Teslaマルウェアが拡散
結論
上記のTTPのほとんどは、ここ数年で何度か確認されています。マルウェア、C2、そして実行手法を分析した結果、Quick Healは、中小企業セクターを狙った今回のキャンペーンをGorgonグループ（別名Subaat）と関連付けています。Gorgonサイバー犯罪グループのメンバーは全員、パキスタンを拠点とする利害関係やつながりを持っていると主張しています。最近、 もう一つのゴルゴンのキャンペーン 数か月前に、同じ商用マルウェア RAT を使用して目的を達成したケースが発見されました。
COVID-19の世界的な影響を考えると、脅威アクターは今後もCOVID-19をテーマにしたメールを悪用し、目的達成のためにマルウェアを広範囲に拡散し続ける可能性が高いでしょう。この傾向を踏まえ、中小企業の皆様には、添付ファイル付きのCOVID-19関連メールを特に注意深く監視することをお勧めします。大規模組織、重要な政府インフラなどは、こうしたサイバー脅威に対する耐性をある程度構築していますが、中小企業は依然として、リスクを軽減するための強固な戦略を策定し、常に警戒を怠らないようにする必要があります。
脅威からの保護
現場の声を力強いメッセージへ。 Seqrite Quick Heal製品群は、Microsoft Officeのメモリ破損脆弱性（CVE-2017-11882）やAgent Tesla RATの亜種など、主要なサイバー脅威から保護します。当社の高度なシグネチャレス動作ベース検出技術は、Agent Teslaの亜種を効果的にブロックします。
Quick Healは、ユーザーに対し、十分な注意を払い、迷惑メールの添付ファイルを開いたり、ウェブリンクをクリックしたりしないようアドバイスしています。また、オペレーティングシステムを常に最新の状態に保ち、すべてのデバイスに本格的なセキュリティソリューションをインストールする必要があります。
適切なスパムフィルタリング、適切なシステム管理、最新のWindowsホストを備えた組織では感染リスクははるかに低くなりますが、組織には、 CVE 2017-11882に対するMicrosoftのパッチ.
クイックヒールの研究チームは、中小企業をターゲットにしたすべてのキャンペーンを積極的に監視し、顧客の安全を確保するために絶え間なく取り組んでいます。
主題の専門家:
- カルペシュ・マントリ
- バジュラン・マネ
- パヴァンクマール・チャウダリ
