AIによって作成されたClickFixキャンペーンがSmartRATを提供

SOC Prime Team

フォローする

Detection stack

AIDR
Alert
ETL
Query

脅威レポート
攻撃フロー
検出
シミュレーション

概要

脅威アクターは、AI駆動のウェブサイトビルダーを使用して、ブラジルの銀行ブランドを模倣した説得力のあるフィッシングページを作成しています。これらのページは、偽のCAPTCHAチェックやシステム復旧メッセージを使用して被害者に悪意のあるPowerShellコマンドを実行させるClickFix技術に依存しています。その結果として、リモートアクセスと金融情報の盗難を目的としたPowerShellベースのバンキングトロイの木馬であるSmartRATが配信されます。

調査

Zscaler ThreatLabzは、複数のタイポスクワッティングドメインを特定し、AI生成のコードコメントや検査をかわすスクリプトを観察しながら、完全な感染チェーンを分析しました。また、AI構築のコマンド＆コントロールパネルにおける認証回避がクライアント側の localStorage の操作を通じて可能であるという弱点も露呈されました。研究者はさらに、SmartRATの通信プロトコルを解読し、AES-CBC暗号化の使用を文書化しました。

軽減策

組織は、既知のタイポスクワッティングや悪意のあるドメインをブロックするためのウェブフィルタリングを展開するべきです。エンドポイントの防衛は、疑わしいPowerShellアクティビティや無許可のスケジュールされたタスクの作成を検出し、制限するように設定されるべきです。また、ユーザーの認識努力として、従業員に偽のブルースクリーンやリカバリ、CAPTCHAプロンプトなど、ClickFixスタイルのソーシャルエンジニアリングを認識する方法を教えるべきです。

対応

SmartRATの活動が検出された場合、影響を受けたエンドポイントを直ちに隔離してコマンド＆コントロール通信を停止し、さらなる移動を制限します。フォレンジック分析を実施して、サービスベースかスケジュール・タスクベースかの持続性の方法を特定し、関連するアーティファクトとして msedgeupdate.txtを検索します。識別されたインフラストラクチャに対するトラフィックのためのウェブプロクシログをレビューし、影響を受けたユーザーのために資格情報のリセットを開始します。

"graph TB %% Class Definitions Section classDef action fill:#99ccff classDef tool fill:#cccccc classDef malware fill:#ff9999 classDef technique fill:#ccffcc %% Initial Access and Execution Phase action_phishing["Action – T1566 フィッシング 脅威アクターはタイポスクワッティングドメインや AI生成のウェブサイトを使用して被害者を誘い込みます。"] class action_phishing action action_clickfix["Action – T1204.004 ユーザー実行: 悪意のあるコピーとペースト ユーザーを騙して悪意のある PowerShellコマンドをWindowsの実行ボックスに貼り付けさせます。"] class action_clickfix action action_ingress["Action – T1105 イングレスツール転送 リモートIP64.95.13.238から ステルスなドロッパー st.txt をダウンロードします。"] class action_ingress action tool_dropper["ツール – 名前: st.txt 説明: メインのマルウェア配信を支援するために 使用されるステルスなドロッパー。"] class tool_dropper tool %% マルウェア実行と持続化フェーズ malware_smartrat["マルウェア – 名前: SmartRAT 説明: 監視と金融データの盗難に使用されるメインのRAT。"] class malware_smartrat malware action_user_exec_file["Action – T1204.002 ユーザー実行: 悪意のあるファイル メインのSmartRATマルウェアを実行。"] class action_user_exec_file action action_gather_info["Action – T1592.001/002 被害者ホスト情報の取得 ハードウェア、ソフトウェア、OSの詳細を収集し、 ユニークなIDトークンを生成します。"] class action_gather_info action action_persistence_service["Action – T1543.003 システムプロセスの作成または変更: Windowsサービス 持続化のために MicrosoftEdgeUpdateCore という名称の Windowsサービスを作成します。"] class action_persistence_service action action_persistence_registry["Action – レジストリランキーを使用した持続化 アクセスを維持するためにレジストリランキーを使用します。"] class action_persistence_registry action action_priv_esc["Action – T1548 特権昇格 UACの昇格を促すことで SYSTEM の特権でサービスを実行します。"] class action_priv_esc action %% コマンド&コントロールと流出フェーズ action_c2["Action – T1071 コマンド&コントロール 非標準ポート51888で 生TCPソケットを利用します。"] class action_c2 action action_exfiltrate["Action – T1041 C2チャネルを経由した流出 確立されたC2接続を通じて 金融データを盗みます。"] class action_exfiltrate action %% ポストエクスプロイトと回避フェーズ action_video_capture["Action – T1125 ビデオキャプチャ 監視のために画面ストリーミングを行います。"] class action_video_capture action action_input_tracking["Action – T1056 入力トラッキング キーロギングを使用してユーザー入力を監視します。"] class action_input_tracking action action_mfa_interception["Action – T1111 多要素認証の傍受 ブランド化された偽のオーバーレイを使用してMFAトークンを盗みます。"] class action_mfa_interception action action_masquerading["Action – T1036 偽装 msedge.txtのようなダミーのファイル名を使用して検出を回避します。"] class action_masquerading action action_file_deletion["Action – T1070.004 インジケーターの除去: ファイル削除 アンインストールコマンドを使用してフォレンジックの足跡を削減します。"] class action_file_deletion action %% Connection Flow action_phishing –>|leads_to| action_clickfix action_clickfix –>|leads_to| action_ingress action_ingress –>|downloads| tool_dropper tool_dropper –>|executes| action_user_exec_file action_user_exec_file –>|launches| malware_smartrat malware_smartrat –>|performs| action_gather_info malware_smartrat –>|establishes| action_persistence_service malware_smartrat –>|establishes| action_persistence_registry malware_smartrat –>|attempts| action_priv_esc action_priv_esc –>|enables| action_c2 action_c2 –>|used_for| action_exfiltrate action_c2 –>|used_for| action_video_capture action_c2 –>|used_for| action_input_tracking action_c2 –>|used_for| action_mfa_interception malware_smartrat –>|uses| action_masquerading malware_smartrat –>|performs| action_file_deletion "

攻撃フロー

表示

## シミュレーション実行

前提条件: テレメトリ & 基準プレライトチェックがパスしている必要があります。

根拠: このセクションでは、検出ルールをトリガーするために設計された対抗テクニック (TTP) の正確な実行を詳細に説明します。コマンドとナラティブは、特定されたTTPを直接反映する必要があり、検出ロジックによって期待される正確なテレメトリを生成することを目的とします。抽象的または関連性のない例は誤診につながります。

攻撃のナラティブ & コマンド: 敵はフィッシングキャンペーン (T1566) によって初期アクセスを成功裏に獲得し、現在は持続性を確立しようとしています。合法的なシステム活動に溶け込むため、攻撃者は”Living-off-the-Land” アプローチを使用し、Microsoft Edgeの更新プロセスとして偽装された悪意のあるコマンドを実行します (T1036)。攻撃者は、次のような文字列を含むコマンドライン指令を実行し、 msedgeupdate.txt ホールドワールドシミュレーションメカニズムをトリガーします。実際のシナリオでは、スケジュールされたタスクまたはサービスの作成を含みます。

回帰テストスクリプト:

# SmartRAT持続性シミュレーションスクリプト
# このスクリプトは、検出ルールをトリガーするために必要な特定のコマンドラインテレメトリを生成します。

$TargetString = "msedgeupdate.txt"
$FakePath = "C:UsersPublicDocuments$TargetString"

# コマンドラインを少しリアルに見せるためのダミーファイルを作成
New-Item -Path $FakePath -ItemType File -Force | Out-Null

Write-Host "[+] Comando simulando la persistencia de SmartRAT a través de la línea de comando: $TargetString" -ForegroundColor Cyan

# 検出ロジックをトリガーするコマンドを実行
Start-Process cmd.exe -ArgumentList "/c echo 'Simulating SmartRAT activity with $TargetString' > $FakePath" -WindowStyle Hidden

Write-Host "[+] コマンド実行完了。" -ForegroundColor Green

クリーンアップコマンド:

# シミュレーション中に作成されたダミーファイルをクリーンアップ
Remove-Item -Path "C:UsersPublicDocumentsmsedgeupdate.txt" -Force -ErrorAction SilentlyContinue
Write-Host "[+] クリーンアップ完了。" -ForegroundColor Yellow

SOC PrimeのDetection as Codeプラットフォームに参加し ビジネスに最も関連性のある脅威に対する可視性を向上させましょう。開始して即座に価値をもたらすためには、今すぐSOC Primeの専門家とのミーティングを予約してください。

無料で参加

AIによって作成されたClickFixキャンペーンがSmartRATを提供

概要

調査

軽減策

対応

攻撃フロー

検出

可能な持続性ポイント [ASEPs – ソフトウェア/NTUSER ハイブ] (レジストリイベント経由)

PowerShellを使用したダウンロードまたはアップロード (cmdline経由)

PowerShellからの疑わしい.NETメソッドの呼び出し (powershell経由)

PowerShellからの疑わしいWindows API関数の呼び出し (powershell経由)

公共ユーザー プロファイル内の疑わしいファイル (file_event経由)

SmartRAT PowerShell実行をPowerShell ScriptBlockTextで検出 [Windows Sysmon]

Scheduled TaskとRegistry ModificationによるSmartRATの持続性 [Windowsプロセス作成]

SmartRATが使用するPowerShellコマンドと技術の検出 [Windows Powershell]

公共ユーザープロファイル内の疑わしいファイル (file_event経由)