SOC Prime Bias: 中程度

03 Jun 2026 16:20 UTC
newspaper icon Silent Push

DriveSurgeがClickFixと偽の更新ドライブバイ攻撃を大規模に使用

Author Photo
SOC Prime Team linkedin icon フォローする
shield icon

Detection stack

  • AIDR
  • Alert
  • ETL
  • Query


概要

DriveSurgeは、新たに出現した初期アクセスブローカーであり、正当なウェブサイトを侵害し、悪意のあるJavaScriptを注入して、zTDSとして知られるオープンソースのトラフィック分配システムを通じて訪問者を流入させます。その後、偽のブラウザ更新ページやClickFixスタイルのプロンプトを提供し、macOSおよびWindowsユーザーに対し、偽装したダウンロードまたは悪意のあるPowerShellコマンドを通じてマルウェアを届けます。そのインフラストラクチャには、何千もの .icu が含まれており、NiceNICを通じて登録され、弾力性のあるインフラストラクチャにホストされています。このキャンペーンは、広範囲にわたり複数のブラウザやオペレーティングシステムのユーザーを対象としています。

調査

研究者たちは、この作戦に関連する8つの異なる技術的指紋を特定しました。これには、 t.js, t..js、 ext-b..jsのような特徴的なJavaScriptファイル名や nginx や特定のJARMハッシュなどのサーバーの特質が含まれています。インフラストラクチャのマッピングは、ドメインサーチ、WHOISメールピボット、 jclforwarding.comを含む侵害されたウェブサイトの分析に基づいて行われました。チームは、ペイロード配信URL、コマンド＆コントロールサーバー、特にmacOSの被害者を狙ったクリップボードハイジャックの行動を文書化しました。

緩和策

組織は、文書化されたJavaScript注入パターン、 jsrepo といったzTDS関連ファイルの存在を監視し、既知の弾力性のあるホスティングIPアドレスへの外部接続を監視するべきです。防御者は、検出されたフィンガープリントに一致するNiceNICを通じて登録された疑わしい rnd parameter, and outbound connections to known bulletproof hosting IP addresses. Defenders should block suspicious .icu ドメインをブロックし、インターネットに面したウェブ資産に厳格なコンテンツセキュリティポリシーを適用するべきです。エンドポイント保護は、配信に使用されるBase64でエンコードされたPowerShellとBashコマンドチェーンの検出も可能でなければなりません。

対応

DriveSurgeの活動が検出された場合、影響を受けたウェブ資産は即座に隔離され、悪意のあるJavaScriptは除去され、侵害されたドメイン登録はレビューまたは取り消されるべきです。識別されたドメインとIPアドレスはネットワークの境界でブロックされるべきです。セキュリティチームは、悪意のあるダウンロードコマンドを実行したシステムのフォレンジック分析も実施し、さらされた資格情報をリセットすべきです。関連するインディケータは、業界のISACや信頼できるパートナーと共有されるべきです。

攻撃フロー

シミュレーション実行

前提条件: テレメトリおよびベースライン事前フライトチェックが合格している必要があります。

理論: このセクションは、検出ルールをトリガーするように設計された敵のテクニック（TTP）の正確な実行を詳細に説明します。コマンドとナラティブは識別されたTTPを直接反映し、検出ロジックによって期待される正確なテレメトリを生成することを目的としています。

  • 攻撃のナラティブとコマンド

    1. ステージ1 – 悪意のあるペイロードのデプロイ:
      攻撃者は、” t.js （またはハッシュベースの名前）のJavaScriptファイルを侵害されたウェブサーバーにアップロードします。ファイルにはDriveSurge HTMLスモーグリングスニペットが含まれ、静かに追加のペイロードを取得します。

    2. ステージ2 – 被害者のリクエスト:
      被害者のブラウザ（” curl“を使ってシミュレート）を使用して悪意のあるファイルをリクエストし、リクエストURIがSigmaの正規表現に一致するログエントリーを生成します。

    3. ステージ3 – アラート生成:
      SIEMがアクセスログラインをインジェストし、Sigmaルールが” ファイル名 “フィールドを評価し、アラートが発せられます。

  • 回帰テストスクリプト

    #!/usr/bin/env bash
set -euo pipefail

# --- 変数 -------------------------------------------------
WEB_ROOT="/var/www/html"
MALICIOUS_NAME="t.js"
MALICIOUS_PATH="${WEB_ROOT}/${MALICIOUS_NAME}"
MALICIOUS_CONTENT='console.log("DriveSurgeペイロードが実行されました");'

# --- 悪意のあるJavaScriptのデプロイ --------------------------------
echo "${MALICIOUS_CONTENT}" | sudo tee "${MALICIOUS_PATH}" > /dev/null
sudo chown www-data:www-data "${MALICIOUS_PATH}"
sudo chmod 644 "${MALICIOUS_PATH}"

# --- Apacheが新しいファイルを認識するまでの待機 ---------------
sleep 2

# --- 被害者リクエストのシミュレーション（テレメトリを生成） ------------
curl -s -o /dev/null "http://localhost/${MALICIOUS_NAME}"

# --- オプション: 手動レビューのためのログの行を出力 -------
echo "=== 検証のための最近のApacheログエントリー ==="
sudo tail -n 5 /var/log/apache2/access.log | grep "${MALICIOUS_NAME}" || echo "ログエントリーが見つかりません"

  • クリーンアップコマンド

    #!/usr/bin/env bash
set -euo pipefail

WEB_ROOT="/var/www/html"
MALICIOUS_NAME="t.js"
MALICIOUS_PATH="${WEB_ROOT}/${MALICIOUS_NAME}"

# 悪意のあるファイルを削除
sudo rm -f "${MALICIOUS_PATH}"
echo "${MALICIOUS_PATH}をクリーンアップしました"

SOC PrimeのDetection as Codeプラットフォームに参加し ビジネスに最も関連性のある脅威に対する可視性を向上させましょう。開始して即座に価値をもたらすためには、今すぐSOC Primeの専門家とのミーティングを予約してください。

無料で参加