SEOポイズニングキャンペーンがArmorstealマルウェアを配信

概要

SEOポイズニングキャンペーンは、ChocolateyとMicrosoft Activation Scriptsを装った偽のウェブサイトを用いて、PythonベースのマルウェアファミリーであるArmorstealを配布しています。このマルウェアには、暗号通貨ウォレットやブラウザの資格情報を含む機密データを外部に送信するためのリモートアクセス、監視、情報窃取モジュールが含まれており、攻撃はPyarmorの難読化に依存し、スケジュールされたタスクを通じて自動的に永続性を確立します。

調査

Zscaler Threat Huntingは、検索結果を毒することで、誤記したドメインにトレースすることによってキャンペーンを発見しました。アナリストはPython3.11ランタイムのデプロイを観察し、コマンドを検証するために使用されるRSA-2048署名を特定しました。調査はまた、脅威アクターがドメインやホスティングプロバイダー間を移動する際にC2インフラストラクチャでの変更を記録しました。

緩和策

組織は、特定された悪意のあるドメインとIPアドレスをセキュリティコントロール全体でブロックする必要があります。防御者は、不正なスケジュールされたタスクやWindowsシステムディレクトリに保存されている疑わしいファイルをエンドポイントで調査するべきです。Microsoft Defenderの除外事項を確認し、正規のソフトウェアダウンロードソースを確認するようにユーザーを教育することにより、キャンペーンへの露出を減らすこともできます。

対応

Armorstealアクティビティが検出された際には、直ちに感染したシステムを隔離し、SysCheck2やSysCheckXのような不正なスケジュールされたタスクを削除します。 C:WindowsSystemHealthUpdate の下にある疑わしいファイルを探し、マルウェアダウンロードのためにPowerShellログを確認します。既知のC2エンドポイントに対するアウトバウンドHTTPSトラフィックを監視し、リモートデバッグポートを有効にして起動されたブラウザプロセスを検査します。

シミュレーション実行

• 攻撃のストーリーとコマンド： 敵は、SEOポイズニングを使用してユーザーをだまし、悪意のあるスクリプトを実行させました。目的は、Armorstealリモートアクセスモジュールをインストールすることです。検出を回避するために攻撃者は、PowerShellスクリプトである install.ps1 は、実行時に欺瞞的なディレクトリ構造を作成し C:WindowsSystemHealthUpdate そのコンポーネントを隠蔽し、正規のWindowsシステムの健康更新のように偽装します。

• 回帰テストスクリプト：

  # Armorstealインストールパターンのシミュレーション
  # ステップ1：欺瞞的ディレクトリ構造の作成
  $targetDir = "C:WindowsSystemHealthUpdate"
  if (!(Test-Path $targetDir)) {
      New-Item -Path $targetDir -ItemType Directory -Force
  }
  
  # ステップ2：悪意のあるインストーラーの実行シミュレーション
  # このコマンドは、'selection_powershell' と 'selection_directory' のロジックを引き起こすために設計されています
  powershell.exe -ExecutionPolicy Bypass -File "install.ps1" -TargetDir "$targetDir"
  
  # 注：install.ps1がローカルに存在しない可能性があるため、コマンドライントリガーをシミュレートします
  # これはSigmaルールが実際に探しているものです。
  Start-Process "powershell.exe" -ArgumentList "-File install.ps1"
  
  # ステップ3：そのディレクトリ内にダミーファイルを作成して'選択ディレクトリ' 要件を引き起こす
  $dummyFile = Join-Path $targetDir "armorsteal_module.dll"
  New-Item -Path $dummyFile -ItemType "File" -Force

• クリーンアップコマンド：

  # シミュレーション中に作成された悪意のあるディレクトリとファイルを削除
  Remove-Item -Path "C:WindowsSystemHealth" -Recurse -Force