Googleスプレッドシートを悪用、税務署偽るフィッシングメールに警戒を
マイナビニュース / 2024年9月2日 12時22分
Proofpointは8月29日(米国時間)、「The Malware That Must Not Be Named: Suspected Espionage Campaign Delivers “Voldemort”|Proofpoint US」において、マルウェアのコマンド&コントロール(C2: Command and Control)にGoogleスプレッドシートを悪用する新しいサイバー攻撃を発見したと伝えた。この攻撃では、ヨーロッパ、アジア、米国の税務当局を装い、世界中の数十の組織にフィッシングメールを送信したという。
○侵害経路
初期アクセスは、標的組織が存在する所在国の税務当局になりすましたフィッシングメールとみられる。攻撃は2024年8月5日頃から確認され、20,000以上のメールが世界中の70を超える組織に送信された。
Proofpointの調査では米国、英国、フランス、ドイツ、イタリア、インド、日本の税務当局になりすましたことが確認されている。また、メールは対象国の言語で記述されていたという。
フィッシングメールには、フィッシングサイトへのリンクが記述されている。フィッシングサイトにアクセスすると「クリックしてドキュメントを表示」と書かれたリンクが表示され、Windowsユーザーがクリックした場合に限り「search-ms」プロトコルにリダイレクトされる。他の環境の場合は空のGoogleドライブにリダイレクトされる。
search-msプロトコルにアクセスすると、Windows検索を実行するためエクスプローラーの起動確認が行われる。ユーザーが許可するとエクスプローラーに悪意のあるLNKファイルが表示される。このとき、エクスプローラーはローカルのDownloadsフォルダーのような表示をするが、実際はリモートのWebDAV共有フォルダーを表示する。
PDFファイルに偽装したLNKファイルを実行すると、PowerShellスクリプトが実行される。PowerShellスクリプトはWebDAV共有上に存在するPythonを悪用して、悪意のあるPythonスクリプトを実行する。Pythonスクリプトはシステム情報などを窃取すると、おとりのPDFファイルを表示し、複数の処理を経て最終的にマルウェア「Voldemort」を実行する。
○マルウェア「Voldemort」の特徴
最終的に展開されるマルウェア「Voldemort」は情報窃取機能を持つバックドアとされる。コマンド&コントロールとデータ送信にGoogleスプレッドシートを悪用する。主な機能は次のとおり。
ネットワーク情報の窃取
ユーザー情報の窃取
「Program Files」および「Program Files (x86)」の一覧の窃取
環境変数の窃取
ファイルのアップロードおよびダウンロード
コマンドの実行
ファイルの操作
○対策
Proofpointはこの手の攻撃を回避するために、外部ファイル共有サービスへのアクセスをホワイトリスト方式で制限することや、必要のないTryCloudflareへの接続をブロックすることを推奨している。また、この攻撃の初期アクセスがフィッシングメールだったことから、フィッシング対策のベストプラクティスを実践することが望まれている。
(後藤大地)
外部リンク
この記事に関連するニュース
-
Microsoft Swayを用いたフィッシングページへのアクセスが2,000倍に急増
マイナビニュース / 2024年8月29日 9時35分
-
Chromeに保存された認証情報を大量に窃取するサイバー攻撃確認、注意を
マイナビニュース / 2024年8月24日 19時51分
-
チェック・ポイント・リサーチ、2024年7月に最も活発だったマルウェアを発表 国内ではAndroxgh0st が依然首位、世界的なRemcosとRansomHubの蔓延を確認
PR TIMES / 2024年8月22日 13時45分
-
Googleなど信頼できるサイト悪用したフィッシングが増加、注意を
マイナビニュース / 2024年8月13日 8時17分
-
暗号資産を盗むPythonパッケージ発見、セキュリティソフトで検出できず注意
マイナビニュース / 2024年8月5日 17時59分
ランキング
-
1Googleスプレッドシートを悪用、税務署偽るフィッシングメールに警戒を
マイナビニュース / 2024年9月2日 12時22分
-
2覚えておくとApple Watchがちょっと快適になる小ワザ3選|Apple Watch Hacks
&GP / 2024年9月1日 19時0分
-
3noteに「タイムセール機能」 期間限定で値下げ可能に
ITmedia NEWS / 2024年9月2日 10時44分
-
4飼い主のバスタイムに付き添う猫、ちょっとしたハプニングも…… 猫らしからぬ反応に「なんてかわいいの」【海外】
ねとらぼ / 2024年9月2日 15時5分
-
5「ApplePayでAirPodsを不正購入」――デジタルウォレットで無料ショッピングする“抜け穴”攻撃 米国チームが発表
ITmedia NEWS / 2024年9月2日 8時5分
記事ミッション中・・・
記事にリアクションする
![](/pc/img/mission/mission_close_icon.png)
記事ミッション中・・・
記事にリアクションする
![](/pc/img/mission/point-loading.png)
エラーが発生しました
ページを再読み込みして
ください
![](/pc/img/mission/mission_close_icon.png)