- ハッカーは Amatera Stealer マルウェアをインストールするために偽の reCAPTCHA ポップアップを展開し、暗号資産ウォレットとブラウザデータを標的にしています。
- eSentire は、欺瞞的なセキュリティプロンプトを通じて Amatera と NetSupport RAT を配信する ClickFix 駆動型攻撃の増加を報告しています。
- Cephas などの新しいフィッシングキットと難読化戦術により、侵害されたサイトや偽の検証ページにわたるマルウェアキャンペーンの範囲が拡大しています。
サイバーセキュリティ企業のeSentireは、ClickFixと呼ばれる手法を悪用し、被害者を騙して認証情報を窃取するマルウェア「Amatera Stealer」およびRAT（リモートアクセスツール）「NETSupport」の展開を促す、CAPTCHA風のカスタムポップアップの使用を発見した。
eSentireの脅威対応ユニット（TRU）は、11月に標的システムへの初期アクセスを得るためにClickFixを悪用したキャンペーンの激化を追跡してきた。TRUによると、脅威アクターはこの手法を用いて、Windowsの「ファイル名を指定して実行」ダイアログを通じて悪意のあるコマンドを手動で実行するよう、被害者を社会的に操作している。
実行されると、これらのコマンドは感染チェーンを開始し、最終的にAmatera StealerとNetSupport RATが展開されます。これらは本来の遠隔監視ツールですが、サイバー犯罪者によって不正な遠隔アクセスのために転用されています。
ClickFixキャンペーンはreCAPTCHAを利用してマルウェアを忍ばせています
eSentireの研究によると 公開した 先週木曜日、ハッカーたちは「セキュリティチェック」に見える偽のウェブサイトやポップアップ、なりすましreCAPTCHA検証ボックス、偽物のCloudflare Turnstileページなどを使って被害者を誘導しています。
欺瞞的なインターフェースはユーザーに supposed な問題の「修正」を促し、その指示によりリスクを認識せずに有害なコマンドを実行させます。最初のコマンドが実行されると、まずAmatera Stealerが配信され、続いてNetSupport Managerがインストールされ、ハッカーは物理的にそのマシンにいるかのように、侵害された端末を監視・制御できるようになります。
Amatera Stealerは全く新しい脅威ではなく、ACR Stealer（別名：AcridRain）の最新進化版です。この以前のバージョンは2024年にハッカーフォーラムでマルウェア・アズ・ア・サービス製品として登場し、複数のユーザーがサブスクリプションパッケージを通じて展開しました。
ACR の販売は 2024 年半ばに一時停止されました。これは、オンラインで SheldIO と名乗る開発者がマルウェアのソースコードを売却したためです。売却発表にもかかわらず、同グループは「開発の終わりではない」と述べています。研究者らは現在、Amatera が ACR の直接的な後継者であり、より多くの機能と新たな回避技術で再構築されたものだと考えています。
セキュリティ監査ファームである Proofpoint が今年 6 月に発見した Amatera は、月額 199 ドルから年間 1,499 ドルまでのサブスクリプション形式で利用可能です。
「Amatera は、暗号ウォレット、ブラウザ、メッセージングアプリケーション、FTP クライアント、メールサービスを対象とした広範なデータ窃取機能を脅威アクターに提供します。また、サンドボックス、アンチウイルスソリューション、EDR プロダクトが使用するユーザーモードフック機構を迂回するための高度な回避戦略として、WoW64 SysCalls を採用しています」と eSentire は述べています。
このマルウェアは C++ で書かれており、以下のようなことが可能です 収集 保存されたパスワード、カード情報、閲覧履歴、および Chrome、Brave、Edge、Opera、Firefox などのブラウザや、Tor Browser や Thunderbird といった専用プラットフォームからのファイル。
マルウェアを隠蔽するマルチステージ Windows PowerShell ローダー
eSentire の脅威分析によると、Amatera の感染プロセスは、複数の層にわたるオプファス化された PowerShell コマンドに基づいて構築されています。
TRUの研究者らは、あるフェーズで「AMSI_RESULT_NOT_DETECTED」という文字列に対してXOR処理を行うことで、次のペイロードを復号する様子を確認した。この用語はMicrosoftのアンチマルウェアスキャンインターフェース（AMSI）に関連するものである。ローダーの開発者は、動的分析を行う研究者を混乱させる意図でこのフレーズを意図的に選択した可能性がある。
Amateraはこれらのキャンペーンで最も一般的に配信されるペイロードであるが、eSentireはまた、同じローダーを使用してLummaやVidarなどの他の情報窃取マルウェアを展開したケースも文書化している。マルチステージローダーの実行に必要な構成パラメータを欠くサンプルもあり、その場合、ハッカーはNetSupport Managerを直接展開することを選択した。
eSentireおよび他のセキュリティ企業は、請求書に偽装されたVisual Basic Script（VBS）ファイルを配布するメールキャンペーンを文書化している。これらファイルを開くとバッチスクリプトが実行され、XWormを配信するPowerShellローダーが起動する。
他のキャンペーンでは、侵害されたウェブサイトが訪問者を偽の Cloudflare 検証ページへリダイレクトし、そこには ClickFix プロンプトを模倣したものが含まれていました。この活動は、SmartApeSG、HANEYMANEY、ZPHP などと呼ばれるオペレーションに関連付けられており、最終的なペイロードとして NetSupport RAT を使用しています。
ハッカーらは詐欺的な Booking.com ウェブサイトを構築し、偽の CAPTCHA チェックをホストして、ユーザーに Windows の「ファイル名を指定して実行」ダイアログを開きコマンドを実行するよう指示し、感染したシステムに直接資格情報を盗むスクリプトをインストールしました。
これらのマルウェア配信に関連する フィッシングキャンペーンのいくつかは Cephas という新しいフィッシングキットを使用しています。サイバーセキュリティソリューション企業 Barracuda によると、Cephas はフィッシングページのソースコードに目に見えない文字を挿入する高度な難読化手法を用いており、自動スキャナによる検出が困難です。
「このキットは、ソースコード内にランダムな目に見えない文字を作成することでコードを隠蔽し、アンチフィッシングスキャナからの回避や、特定のフィッシング手法と一致するシグネチャベースの YARA ルールからの検出を妨げています」と Barracuda 別の投稿で は先週の分析で述べています。
これをお読みいただいているあなたは、すでに一歩先を行っています。当社のニュースレターでその先を行ってください。
免責事項。 ここに提供される情報は取引助言ではありません。 Cryptopolitan.com 当社は、このページに提供される情報に基づいて行われたいかなる投資に対しても責任を負いません。いかなる投資判断を下す前に、独立した調査および/または資格を有する専門家への相談を強く推奨します。
Florence Muchai
フローレンスは過去6年間、暗号資産、ゲーム、テクノロジー、AIに関するニュースを報道してきました。メルウ科学技術大学でのコンピュータ学およびMMUSTでの災害管理と国際外交の学習により、言語能力、観察力、技術スキルを十分に備えています。フローレンスはVAPグループで勤務し、複数の暗号資産メディアハウスで編集者として活躍しました。
