Microsoft warns of surge in ACR Stealer attacks on customers

マイクロソフトは、ACR Stealerマルウェアを用いて、企業顧客からブラウザに保存されたパスワード、認証トークン、および機密文書を盗み出す攻撃が急増していることを確認しました。

4月下旬から6月中旬にかけて、攻撃者は「ClickFix」というソーシャルエンジニアリング手法、WebDAVサーバー、およびMSHTA（Microsoft HTML Application Host）ユーティリティを利用して、情報を窃取するペイロードを配信しました。

ACR Stealerは、マルウェア・アズ・ア・サービス（MaaS）型の攻撃であり、 Amatera Stealerマルウェアの名称変更版であると考えられています。

image

ACR Stealerの攻撃手法

このマルウェアの配信方法は複数あるが、マイクロソフトは、ACR Stealerにおいて最も一般的な侵入チェーンとして2つを挙げている。

最初のキャンペーンは、ClickFixを餌として始まり、rundll32.exe を使用してリモートの WebDAV 共有から悪意のある DLL を実行するコマンドを実行します。

WebDAVを悪用する脅威アクターの手口は一般的であり、過去にBumblebeeやVoldemortマルウェアを配布した攻撃でも確認されている。

今週のレポートで、マイクロソフトは、脅威アクターが通常、WebDAVパス内でGUIDベースのディレクトリ構造とファイル名を使用し、正当なリソース（例：google.ct）を模倣して、その活動を通常のネットワークトラフィックに紛れ込ませていると述べています。

コマンド＆コントロール（C2）インフラとの通信を確立した後、「高度に難読化された PowerShell スクリプト」が実行され、マルウェアインストーラーを起動して永続化を図ります。

このルーチンでは、バンドルされたPythonローダーをインストールし、ソフトウェア更新を装ったスケジュールされたタスクを作成し、タイムスタンプを改ざんし、PowerShellの履歴を消去した上で、最終的なペイロードをシステムプロセスに注入してメモリ内で実行させます。

一部の亜種は、更新されたペイロードの場所やC2アドレスを取得するために、パブリックブロックチェーンサービスをデッドドロップリゾルバーとして利用しており、これは「EtherHiding」としても知られる一般的な手法です。

2つ目の配信チェーンでは、脅威アクターは ClickFix を使用して MSHTA を起動し、MSHTA が攻撃者のサーバーから悪意のあるコンテンツを取得して、難読化された PowerShell ダウンローダーを実行します。

その後、マルウェアは、パブリックホスト上のステガノグラフィー処理されたJPEG画像内に隠された暗号化されたペイロードを抽出し、メモリ上で直接実行します。

違いはあるものの、その目的は依然として機密データの窃取にあります：

  • Webブラウザに保存されているパスワード、Cookie、セッションデータ、および認証トークンの窃取
  • Windowsデータ保護API（DPAPI）を通じてブラウザデータを復号化する
  • ChromeおよびEdge上のChromiumブラウザデータベースにアクセスする
  • PDFファイルやMicrosoft 365ドキュメントを検索する
  • デスクトップおよび「ダウンロード」フォルダからファイルを収集する
  • 企業で同期されている OneDrive および SharePoint のディレクトリを標的とする

すべてのデータが収集され、攻撃者への流出に備えてアーカイブされます。

Overview of the ACR Stealer attacks
ACR Stealer 攻撃の概要
出典：Microsoft

「これら 2 つのキャンペーンは、Defender の専門家が観測した中で最も広く見られる ACR Stealer の配布キャンペーンの一部ですが、このマルウェアファミリーが使用する配布手法のすべてを網羅しているわけではありません」と Microsoft は警告し、さらに多くの実行チェーンが存在する可能性が非常に高いと指摘しています。

ClickFix 攻撃に対する一般的な防御策として、ユーザーは、特にエラーの修正や人間であることの確認を名目とする場合、コマンドインタプリタでの指示のコピーや実行を避けるべきです。

マイクロソフトは、組織に対し、フィルタを適用し、評判の低いドメインや新しいドメインをブロックし、業務に不要なオンラインリソースへのアクセスを制限することで、Webベースの配布チェーンへの曝露を低減することを推奨しています。

アプリケーション制御ルールにより、PowerShell、Python、mshta.exe、rundll32.exe などのツールを使用した、リモートリソースからのコンテンツの実行を制限できます。特に、ユーザーが書き込み可能なパスからの実行を制限することが重要です。

マイクロソフトのレポートには、推奨される緩和策のより詳細なリストに加え、観測されたACR Stealerの活動に特有の一連の侵害指標（IoC）が記載されています。