偽のKeePassパスワード・マネージャーがESXiランサムウェア攻撃につながる

脅威行為者は、少なくとも8ヶ月間、KeePassパスワードマネージャのトロイの木馬化したバージョンを配布し、Cobalt Strikeビーコンをインストールし、認証情報を盗み、最終的に侵害されたネットワーク上にランサムウェアを展開しています。

WithSecureのThreat Intelligenceチームは、ランサムウェア攻撃の調査を依頼された後にこのキャンペーンを発見しました。研究者は、攻撃が偽のソフトウェアサイトを宣伝するBing広告を通じて宣伝された悪意のあるKeePassインストーラから始まったことを発見しました。

KeePassはオープンソースであるため、脅威行為者はKeeLoaderと名付けられたトロイの木馬化されたバージョンを構築するためにソースコードを変更しました。しかし、このトロイの木馬には、Cobalt Strikeビーコンをインストールし、KeePassパスワードデータベースを平文としてエクスポートする修正が含まれており、ビーコンを介してパスワードが盗まれます。

WithSecureによると、このキャンペーンで使用されているCobalt Strikeウォーターマークは、過去にBlack Bastaランサムウェア攻撃に関連していると考えられているイニシャルアクセスブローカー（IAB）にリンクしています。

Cobalt Strikeの透かしは、ビーコンに埋め込まれた一意の識別子で、ペイロードを生成するために使用されたライセンスに関連付けられます。

「この電子透かしは、Black Bastaランサムウェアに関連するビーコンやドメインの文脈で一般的に指摘されています。これは、Black Bastaと密接に連携するInitial Access Brokersとして活動する脅威アクターによって使用されている可能性が高い」とWithSecureは説明します。

“私たちは、このCobalt Strikeビーコンウォーターマークを使用した他のインシデント（ランサムウェアまたはその他）を知りません。

研究者は、KeeLoaderの複数の亜種が発見され、正規の証明書で署名され、keeppaswrd[.]com、keegass[.]com、KeePass[.]meのようなtypo-squattingドメインを通じて拡散していることを発見した。

は、keeppaswrd[.]comのウェブサイトがまだアクティブであり、トロイの木馬化されたKeePassインストーラを配布し続けていることを確認しています[VirusTotal]。

トロイの木馬化されたKeePassプログラムには、Cobalt Strikeビーコンをドロップするだけでなく、脅威行為者がプログラムに入力されたすべての認証情報を盗むことを可能にするパスワード窃盗機能が含まれていました。

「KeeLoaderは、マルウェアのローダーとして機能するように修正されただけではありません。その機能は、KeePassデータベースデータの流出を容易にするために拡張されました。

「KeePassデータベースデータが開かれると、アカウント、ログイン名、パスワード、ウェブサイト、コメント情報も%localappdata%の下に.kpとしてCSV形式でエクスポートされます。このランダムな整数値は100-999の間です。”

最終的にWithSecureが調査した攻撃では、同社のVMware ESXiサーバーがランサムウェアで暗号化されました。

このキャンペーンをさらに調査したところ、正規のツールを装った悪意のあるプログラムや、認証情報を盗むためのフィッシング・ページを配布するための広範なインフラが構築されていることが判明しました。

aenys[.]comドメインは、WinSCP、PumpFun、Phantom Wallet、Sallie Mae、Woodforest Bank、DEX Screenerなど、有名な企業やサービスになりすました追加のサブドメインをホストするために使用されていました。

これらのそれぞれは、異なるマルウェアの亜種を配布したり、認証情報を盗んだりするために使用されていました。

WithSecureはこの活動を、以前Nitrogen Loaderキャンペーンに関連していた脅威行為者グループであるUNC4696が中程度の信頼性を持って行っているとしています。以前のNitrogenキャンペーンは、BlackCat/ALPHVランサムウェアに関連していました。

ユーザーには、ソフトウェア、特にパスワード・マネージャのような機密性の高いソフトウェアは、常に正規のサイトからダウンロードし、広告にリンクされているサイトは避けるようお勧めする。

たとえ広告がソフトウェア・サービスの正しいURLを表示していたとしても、脅威行為者は 広告ポリシーを回避して 正規のURLを表示する一方で、偽サイトへのリンクを張ることができることを繰り返し証明しているため、やはり避けるべきである。

.ia_ad { background-color：#width: 95%; max-width: 800px; margin: 15px auto; border-radius: 8px; border：1px solid #d6ddee; display: flex; align-items: stretch; padding: 0; overflow: hidden; }：0; overflow: hidden; } .ia_lef { flex: 1; max-width: 200px; height: auto; display: flex; align-items: stretch; } .ia_lef a { display: flex; width: 100%; height: 100%; } .ia_lef a img { width: 100%; height: 100%; object-fit: cover; border-radius: 8px 0 0 8px; margin: 0; display: block; } .ia_rig { flex: 2; padding：display: flex; flex-direction: column; justify-content: center; } .ia_rig h2 { font-size: 17px !important; font-weight: 700; color：#line-height: 1.4; font-family：margin: 0 0 14px 0; } .ia_rig p { font-weight: bold; font-size: 14px; margin: 0 0 clamp(6px, 2vw, 14px) 0; } .ia_button { background-color：#border：1px solid #3b59aa; color: black; text-align: center; text-decoration: none; border-radius: 8px; display: inline-block; font-size: 16px; font-weight: bold; cursor: pointer; padding：10px 20px; width: fit-content; } .ia_button a { text-decoration: none; color: inherit; display: block; } @media (max-width: 600px) { .ia_ad { flex-direction: column; align-items: center; text-align: center; } .ia_lef { max-width: 100%; } .ia_lef a img { border-radius: 8px 8px 0 0; } .ia_rig { padding：15px; width: 100%; } .ia_button { width: 100%; } .

攻撃の93%を支えるMITRE ATT^&CK©テクニック・トップ10

1,400万件の悪意のあるアクションの分析に基づき、攻撃の93%の背後にあるトップ10のMITRE ATT&CKテクニックとその防御方法をご覧ください。

レッドレポート2025を読む