XLoader感染チェーンの内部

概要

XLoaderは、FormBookマルウェアファミリーから派生した高度な情報スティーラーです。このマルウェアは、JScriptローダーを含むフィッシングメールから始まり、いくつかのPowerShellステージを経て、正規のWindowsプロセスに対してプロセスホローイングを行う.NETインジェクターで終わるマルチステージ感染チェーンを使用します。

調査

分析により、JScript、AES暗号化されたPowerShellスクリプト、XOR暗号化されたペイロードを含む５段階の実行チェーンが明らかになりました。研究者たちは、難読化に使用されるConfuserEx2を特定し、最終的なXLoaderペイロードを正規の aspnet_compiler.exe プロセスに注入するプロセスホローイング技術を文書化しました。

軽減策

組織は、悪意のあるアーカイブやJScriptファイルをブロックするために強力なメールフィルタリングを導入すべきです。可能な場合はPowerShellの実行を制限し、 wscript.exe or cscript.exe で生成される疑わしい子プロセスを注意深く監視する必要があります。許可されていないメモリ注入とプロセスホローイングの活動を検出することも重要です。

対応

XLoaderの活動が検出された場合、さらなるデータ流出を防ぐために影響を受けたエンドポイントを即座に隔離する必要があります。対応者は、 C:Temp ディレクトリを法医学的に分析し、既知の悪意のあるドメインとの通信を確認するためにネットワークログをレビューすべきです。被害を受けたシステムのユーザーに関連付けられた認証情報も完全にリセットされるべきです。