新種のバックドア「MadMxShell」、Google広告を悪用する手口
マイナビニュース / 2024年4月29日 11時31分
Zscalerはこのほど、「New Backdoor, MadMxShell|ThreatLabz」において、セキュリティ技術者およびネットワーク技術者を標的とする新しいマルウェア配布キャンペーンを発見したとして、注意を呼び掛けた。このキャンペーンでは新しいバックドア「MadMxShell」の配布が確認されている。
○新しいマルウェア配布キャンペーン
Zscalerによるとこのキャンペーンは2023年11月から2024年3月にかけてGoogle広告を悪用して実施されたという。悪意のある広告は「Advanced IP Scanner」、「Angry IP Scanner」、「Angry IP Scanner」、「Manage Engine」などの検索キーワードで表示され、広告をクリックすると悪意のあるWebサイト「advanced-ip-scanz[.]net」に誘導されたとしている。
このWebサイトは無料のネットワークスキャンツール「Advanced IP Scanner」の公式サイトに偽装しており、このWebサイトからAdvanced IP Scannerをダウンロードすると悪意のあるZIPファイルをダウンロードすることになる。
○バックドア「MadMxShell」の正体
ダウンロードしたZIPファイルには「Advanced-ip-scanner.exe」と「IVIEWERS.dll」が含まれている。前者は正規のOLE/COMオブジェクトビューワー「oleview.exe」のコピーで、後者は分析妨害技術を導入した悪意のあるダイナミックリンクライブラリ(DLL: Dynamic Link Library)とされる。
Advanced-ip-scanner.exeを実行すると、サイドローディング技術を使用してIVIEWERS.dllがロードされる。IVIEWERS.dllはリソースとして保持している高度に難読化されたシェルスクリプトを復元、実行する。シェルスクリプトはIVIEWERS.dllに保存されていた悪意のある実行可能ファイルを抽出し、プロセスハロウィング(Process Hollowing)技術を使用して新しいAdvanced-ip-scanner.exeプロセスに注入、実行する。
悪意のある実行可能ファイルは同様の工程を再度繰り返し、最終的にシェルコードを展開、実行する。このシェルコードがバックドア「MadMxShell」とされる。MadMxShellにはシステム情報の窃取、ファイルの読み書き、ファイルの削除、cmd.exeを使用したコマンドの実行機能などがあるとみられている。
○対策
このキャンペーンを実行した脅威アクターは高度な戦術、技術、手順(TTPs: Tactics, Techniques, and Procedures)を使用し、セキュリティソリューションの検出を回避するために多大な努力をしているという。Zscalerはこのような攻撃を回避するため、検索サイトの広告には注意を払い、ソフトウェアをダウンロードするときは広告からではなく正規サイトからダウンロードすることを推奨している。
(後藤大地)
外部リンク
この記事に関連するニュース
-
マルウェア最新動向、Windows標的としたPython悪用と狙われる自動車に注意
マイナビニュース / 2024年5月23日 8時55分
-
ネットスコープ、2024年2月のサイバー脅威に関する統計を発表
PR TIMES / 2024年5月21日 15時15分
-
WinSCPやPuTTYの偽広告からランサムウェア配布、Windows管理者が標的
マイナビニュース / 2024年5月21日 8時11分
-
有名ブランド偽装してブラウザ拡張機能を要求するWebサイトに注意
マイナビニュース / 2024年5月16日 12時11分
-
Pythonベースのトロイの木馬配布するサイバー攻撃確認、北朝鮮関与の疑い
マイナビニュース / 2024年5月2日 8時56分
ランキング
-
1星野源の所属事務所、“憶測”巡り新たな声明 名誉毀損投稿のリポスト、誹謗中傷について注意喚起
ねとらぼ / 2024年5月23日 17時22分
-
2こ、これは……! “富士山ローソン”を迷惑かけず撮影できる!? “持ち運べるローソン”が「天才現る」「商品化して」と話題
ねとらぼ / 2024年5月23日 20時0分
-
3『GTO』作者の藤沢とおる、逝去の中尾彬さんを“教頭イラスト”で追悼 「内山田役では大変お世話になりました」
ねとらぼ / 2024年5月23日 18時15分
-
4スクエニのソシャゲ『ドラクエ チャンピオンズ』及び『ドラクエけしケシ!』がサービス終了へ…どちらも7月末で幕を下ろす
インサイド / 2024年5月23日 15時45分
-
5「カンヌに感謝」「当然のこと」ジブリ、パルムドール受賞に現地での反応は ギネス認定ジブリオタクも「魔法のよう」と喜び
ねとらぼ / 2024年5月23日 19時10分
記事ミッション中・・・
記事にリアクションする
記事ミッション中・・・
記事にリアクションする
エラーが発生しました
ページを再読み込みして
ください