災難への招待: ワンクリックでRATをインストールする方法

概要

サイバー犯罪者は、社会的イベントの招待状を装ったフィッシングメールを使用してマルウェアを配布しています。被害者は偽のRSVPボタンを介してCAPTCHA検証ページにリダイレクトされ、悪意のあるダウンロードサイトに誘導されます。この攻撃により最終的にはリモートアクセス型トロイの木馬（RAT）がインストールされ、攻撃者は侵害されたデバイスを広範囲に制御できるようになります。

調査

Cofenseフィッシング防御センターは、曖昧で好奇心をそそる社会工学に頼るキャンペーンを特定しました。研究者は新規登録されたブランド名のないドメインにホストされたCAPTCHAページを使用し、偽の正当性を確立するための多段階感染フローを解明しました。最終的なペイロードは悪意のあるアクセスに悪用される正当なリモートサポートアプリケーションです。

緩和策

組織は、曖昧で緊急性があり、または好奇心をそそるメールの囮手法を認識するための社員研修を提供するべきです。技術的防御には、疑わしいURLをブロックするメールセキュリティゲートウェイと、未承認のリモートアクセスツールの監視を含めるべきです。エンドポイント保護も、正当なソフトウェアが疑わしいあるいは予想外の状況で実行された場合にフラグを立てるべきです。

対応

悪意のある活動が検出された場合、直ちにネットワークから影響を受けたホストを隔離し、未承認のアクセスの継続を防ぎます。包括的なフォレンジック調査を実施し、侵害の範囲を確認し潜在的なデータ流出を特定します。影響を受けたユーザーの資格情報をリセットし、システムログを確認して未承認の接続、持続的なメカニズム、またはその他の疑わしい活動を見つけます。

シミュレーション実行

• 攻撃シナリオとコマンド： 敵対者はスピアフィッシング攻撃を開始し、偽の「イベント招待」をリンクとするメールを送信します。クリックすると、ユーザーはファイルのダウンロードを促されます。このシミュレーションでは、最終段階をシミュレートし、ユーザーがダウンロードした ScreenConnect.ClientSetup.exeを実行することで、リモートアクセスの足掛かりを確立することを目的としています。この特定のファイル名の実行は高深刻度のアラートを引き起こします。

• 回帰テストスクリプト：

  # シミュレーションスクリプト：ScreenConnect検出のトリガー
  # 注意：潜在的に有害なソフトウェアを実際にインストールすることなく、実行をシミュレートするための対象名でダミーファイルを作成しています。
  
  $targetName = "ScreenConnect.ClientSetup.exe"
  $tempPath = Join-Path $env:TEMP $targetName
  
  Write-Host "[+] ダミーファイルを作成中：$tempPath"
  New-Item -Path $tempPath -ItemType File -Force
  
  Write-Host "[+] $targetNameの実行をシミュレート中..."
  # Start-Processを使用してプロセス作成イベント（イベントID 1 / 4688）を生成
  Start-Process -FilePath $tempPath -WindowStyle Hidden -ErrorAction SilentlyContinue
  
  Write-Host "[+] シミュレーションコマンド完了。アラートを確認するにはSIEMをチェックしてください。"

• クリーンアップコマンド：

  # クリーンアップスクリプト
  $targetName = "ScreenConnect.ClientSetup.exe"
  $tempPath = Join-Path $env:TEMP $targetName
  
  if (Test-Path $tempPath) {
      Remove-Item -Path $tempPath -Force
      Write-Host "[+] ダミーファイルをクリーンアップ：$tempPath"
  } else {
      Write-Host "[-] ダミーファイルが見つかりません。クリーンアップするものはありません。"
  }