重要ポイント
-
プルーフポイントは、偽のブラウザアップデートに関連したテーマを使用するさまざまな脅威活動のクラスターを追跡しています。
-
偽のブラウザアップデートは、侵害されたWebサイトに対するエンドユーザーの信用につけ込み、ユーザーのブラウザに合わせてカスタマイズされたおとりを使用して、正規のアップデートに見せかけてユーザーによるクリックを誘います。
-
攻撃者は、侵害されたWebサイトへと誘い込むメールを送りつけるわけではありません。この脅威はブラウザ内に潜んでおり、正規のメール、ソーシャルメディア サイト、あるいは検索エンジンの中で、ユーザーがクリックすることで発動します。あるいは単純に、侵害されたサイトへアクセスすれば発動します。
-
さまざまな攻撃キャンペーンが類似のおとりを使用していますが、ペイロードは異なります。防御側の対応をガイドするためには、脅威が属するキャンペーンやマルウェアクラスターを特定することが重要です。
概要
プルーフポイントでは現在、偽のブラウザアップデートを使用してマルウェアを配布している、4つ以上の脅威活動のクラスターを追跡しています。偽のブラウザアップデートは、侵害されたWebサイトに仕込まれており、Chrome、Firefox、Edgeといったブラウザの開発元からの通知のように見えるメッセージを表示します。ブラウザソフトウェアの更新が必要であるという通知です。 ユーザーがリンクをクリックすると、正規のブラウザアップデートではなく、有害なマルウェアがダウンロードされます。
プルーフポイントの調査によると、TA569はここ5年以上にわたって偽のブラウザアップデートを使用して
偽のブラウザアップデートを仕掛ける攻撃者は、JavaScriptまたはHTMLのインジェクションコードを使用します。これはトラフィックを攻撃者が管理するドメインに誘導するもので、これにより、潜在的な被害者が使用するWebブラウザに特化した偽のブラウザアップデートのおとりで、Webページを上書きすることができます。続いて、悪意のあるペイロードが自動的にダウンロードされるか、ペイロードを配布する「ブラウザアップデート」のダウンロードを促す通知がユーザーへ送られます。
偽のブラウザアップデートのおとりと有効性
エンドユーザーがセキュリティトレーニングを受けていても、攻撃者はこれを逆手に取るため、偽のブラウザアップデートのおとりは効果的です。 セキュリティ意識向上トレーニングでは、ユーザーは、信頼できる既知のサイトまたは個人からのみアップデートを受け入れる、またはリンクをクリックする、そしてサイトが正規のものであることを確認するよう教えられています。 偽のブラウザアップデートはこのトレーニングを悪用するものです。信頼されているサイトを侵害し、JavaScript要求を使用してバックグラウンドでひそかにチェックを進め、既存のWebサイトに偽のブラウザアップデートのおとりを仕込みます。 エンドユーザーから見れば、「信頼できるWebサイト」が更新を促しているのですから、疑いもしません。
プルーフポイントでは、攻撃者が直接、悪意のあるリンクを含むメールを送信したという事例は確認されていません。しかしこの脅威の性質上、侵害されたWebサイトのURLはさまざまな形でメールトラフィックに紛れ込んでいます。 これらは、Webサイトが侵害されていることに気づかない一般的なエンドユーザーによる通常のメールトラフィック、Googleアラートといった通知メール、ニュースレターの配布などの一斉自動送信型メールキャンペーンなどにおいて確認されています。 このため、Webサイトが侵害されていることがわかると、そのWebサイトのURLを載せたメールが悪意のあるものとみなされる、という状況が生まれています。 偽のブラウザアップデートの脅威は、メールだけの問題として扱うべきではありません。エンドユーザーは、検索エンジンやソーシャルメディア サイトなどの他のソースからサイトにアクセスすることも、サイトに直接アクセスすることもあり、そこでおとりに引っかかり、悪意のあるペイロードをダウンロードしてしまう可能性があるためです。
どの攻撃キャンペーンも独自のフィルタリングにより研究者の目をすり抜け、検知を遅らせますが、どの方法もフィルタリングを有効に使用しています。この場合、悪意のあるペイロードをあまり拡大させることはできませんが、攻撃者は、侵害されたサイトへのアクセスを長期間維持することができます。これは対応を複雑にさせる可能性があります。複数のキャンペーンと変化するペイロードにより、対応側は、ダウンロード時に確認すべきことや侵害痕跡情報（IOC）の特定に時間がかかるためです。
攻撃キャンペーン
現在の状況では、4つの脅威活動のクラスターが存在し、それぞれ独自の攻撃キャンペーンを使用して偽のブラウザアップデートのおとりを配布しています。 おとりや攻撃チェーンにおける類似性により、公開されているレポートの中には、アクティビティを同じ脅威活動のクラスターに分類しているものもあります。
プルーフポイントの調査では、全体的な偽のブラウザアップデート状況に焦点を当て、防御側がそれぞれ独自のキャンペーンをどのように識別できるかについての詳細に加え、詳細な調査や分析を網羅したプルーフポイントまたはサードパーティによる追加レポートへのリンクを提供します。例えば、Malwarebytesのジェローム・セグーラ(Jérôme Segura)氏は、GitHubにて各キャンペーンがおとりとして使用している画像のいくつかを紹介した、素晴らしい資料をまとめています。
各キャンペーンは、共通して一般的な特徴があり、3つのステージに分けることができます。 「ステージ1」では、正規ながらも侵害されたWebサイトに悪意のあるインジェクションを使用します。 「ステージ2」では、ほとんどのフィルタリングを実行し、おとりや悪意のあるペイロードをホストする、攻撃者が管理するドメインをトラフィックが行き来します。 「ステージ3」では、ダウンロード後、ペイロードがホストで実行されます。
SocGholish
SocGholishは、偽のブラウザアップデートのおとりについて人々がまず思い浮かべる脅威であり、数年かけてその情報は十分に揃っています。 プルーフポイントでは一般的に、SocGholishキャンペーンをTA569として知られる攻撃者としており、他の攻撃者にとってTA569が配布者として機能していることを確認しています。
現在、TA569は3つの方法を使用して、ステージ1の侵害されたWebサイトからステージ2の攻撃者が管理するシャドードメインにトラフィックを誘導しています。
1つ目の方法は、攻撃者が管理するさまざまなドメイン経由で、Keitaro TDS（トラフィック配信システム）を使用するインジェクションを使用することです。 これらのドメインは、要求をフィルタリングして一部排除してからステージ2のドメインに誘導します。 Keitaro TDS URLに誘導するインジェクトのほとんどは、以下の図2のように、複数のリダイレクトドメインを同じファイルに含めます。
TA569が使用する2つ目の方法は、（NDSW/NDSXとしても知られる）Parrot TDSです。挿入したコードを難読化し、ステージ2のドメインへの要求を転送する前に同様のフィルタリングを適用するものです。 侵害されたWebサイトの中には、SocGholishペイロードを誘導するParrot TDSインジェクションを含む、10個もの悪意のあるJavaScriptファイルを含むものもあります。
TA569が使用する3つ目の方法は、ステージ2のドメインに誘導する、侵害されたWebサイトのHTMLでのシンプルなJavaScript非同期スクリプト要求です。
さまざまなインジェクションにより、防御側は悪意のあるインジェクションの場所を特定しづらく、また、さまざまなフィルタリング段階により、トラフィックの再現が困難です。
これらの方法はステージ2のドメインに誘導し、ここで追加のフィルタリングを行い、偽のブラウザアップデートのおとりやペイロードをフィルタリングに合格したトラフィックに配布します。 ペイロードは、プレーンなJavaScript（.js）ファイル（一般的な名称は「Update.js」）、またはJavaScriptの.zipファイルが使用される場合があります。 ペイロードがユーザーにより実行されると、まずwscript経由でホストを識別します。識別の結果に応じて、JavaScriptは終了する、遠隔操作ウイルス（RAT）を読み込む、または攻撃者による次のコマンドを待ちます。そして、 Cobalt Strike または BLISTER ローダーが使用されることが報告されています。 プルーフポイントでは最近、RATペイロードとしてAsyncRATやNetSupport RATを導入するSocGholishインジェクションを確認しました。
図 1: Chromeアップデートになりすました偽のアップデートのおとり、SocGholish
図 2: Keitaro TDSインジェクトの例
図3: Parrot（NDSW）インジェクトの例
図 4: 非同期インジェクトの例
RogueRaticate/FakeSG
プルーフポイントの研究者が確認した2つ目の偽のブラウザアップデートは、RogueRaticateまたはFakeSGとして知られるものです。プルーフポイントは2023年5月、初めてこのアクティビティを確認し、 第三者研究者がこれを、既存の大量SocGholishキャンペーンのコピーである＊1 と判断しました。このアクティビティは、2022年11月にはすでに始動していたと考えられています。プルーフポイントは、この時点でRogueRaticateアクティビティを追跡された攻撃者に関連付けてはおらず、これは一貫してSocGholishキャンペーンとは区別されています。
RogueRaticateインジェクトは、ステージ1のWebサイトで、既存のJavaScriptファイルでJavaScriptコードを高度に難読化します。挿入されたJavaScriptは、ステージ2のドメインに誘導します。ステージ2のドメインは、不要な要求をフィルタリングで排除し、JSON応答で空白の「body」値で応答する、Keitaro TDS をホストします。おとりを受信させるターゲットを特定すると、「body」値でダブルのbase64でエンコーディングされたおとりを送信します。おとりにはボタンが含まれており、これを押すと、HTMLのhref属性を使用し、WordPressで一般的にホストされている、別の侵害されたサイトからペイロードをダウンロードします。
RogueRaticateキャンペーンの偽のアップデート ペイロードには常にHTML Application（.hta）ファイルが含まれていました。HTAは.zipファイル、または.lnkに誘導するショートカット（.url）ファイル経由でダウンロードされるものです。一般的に.htaファイルは、悪意のあるNetSupport RATペイロードをホストに付加し、ここでは悪意のあるペイロードをホストした同じステージ2のドメインが使用されます。
図5: Chromeアップデートになりすました偽のアップデートのおとり、RogueRaticateの例