Posted By ATCP , 2022년 12월 08일

偽装ファイルで配布されるマルウェア(RIGHT-TO-LEFT OVERRIDE)

ASEC 分析チームは、8月に RIGHT-TO-LEFT OVERRIDE(以下 RTLO)を利用したファイル名を使用して配布されているマルウェアについてブログに掲載した。RTLO は説明した内容のような、方向性オーバーライドの Unicode である。これを利用したファイル名と拡張子を合わせて、ユーザーの実行を誘導する方式のマルウェアの配布が、現在も続いている。

GitHub でソリューションファイル(*.sln)を装って配布される RAT ツール

以前のブログの内容をもとに GitHub で検索して Commits されたブログは11月30日基準で304件照会された。いくつかのアカウントで様々なマルウェアを正常なコードのように登録し、もともと掲載されていたソリューションファイルに偽装したマルウェアファイルのみを新たなマルウェアとしてアップロードして維持しているスレッドも存在した。

[図1] GitHub の sln 偽装ファイル名の検索結果

検知されたマルウェアを当社 ASD インフラを通して確認した結果、RTLO を利用した方式は、ソリューション(.sln)ファイルに偽装しただけではなく圧縮ファイル、テストファイル、動画ファイルなどが存在する。最も多く検知された配布方式は、AV と映画に偽装したファイルで SCR.pm4、scr.vkm、scr.iva などが存在し、ユーティリティプログラムを仮定した exe.rar などのトレントを利用して配布されたことが確認された。

[図2] トレントで配布される rar に偽装したファイル名のマルウェア

ソフトウェア Crack ファイルに偽装したファイル名で配布されるマルウェアは、上記の図のように拡張子が rar のように見えるが、実際の拡張子は exe である。Rar 拡張子のように偽装するため、アイコンも圧縮ファイルと似せて製作したものと見られる。「タイプ」が RAR ファイルではなく、「アプリケーションプログラム」になっているため、詳しく確認しないとこれが実行ファイルであることを認識するのが難しい。マルウェアは、実際の実行ファイル形式の PE ファイルで、マルウェアと圧縮ファイルが含まれている。

マルウェアは正常なプログラムにインジェクションし、追加のマルウェアを受け取って実行されるローダーで、これまでに確認されたマルウェアは Laplas Clipper、Redline Stelaer がある。Redline Stelaer は過去の ASEC ブログを通して照会した情報窃取型マルウェアであり、Laplas Clipper は暗号貨幣のユーザーを対象にしたマルウェアで、クリップボードデータにウォレットアドレスがある場合、これを攻撃者のアドレスに変更するマルウェアである。

[図3] 暗号貨幣ウォレットアドレスの正規式

Bitcoin (BTC)	(1[1-9A-HJ-NP-Za-km-z]{33})
Bitcoin (BTC)	(3[1-9A-HJ-NP-Za-km-z]{33})
Bitcoin (BTC)	(bc1q[023456789acdefghjklmnpqrstuvwxyz]{38,58})
Bitcoin Cash (BCH)	(q[a-z0-9]{41})
Bitcoin Cash (BCH)	(p[a-z0-9]{41})
Litecoin (LTC)	(L[a-km-zA-HJ-NP-Z1-9]{33})
Litecoin (LTC)	(M[a-km-zA-HJ-NP-Z1-9]{33})
Litecoin (LTC)	(ltc1q[a-km-zA-HJ-NP-Z1-9]{38})
Ethereum (ETH)	(0x[a-fA-F0-9]{40})
Dogecoin (DOGE)	(D[5-9A-HJ-NP-U]{1}[1-9A-HJ-NP-Za-km-z]{32})
Monero (XMR)	(4[0-9AB][1-9A-HJ-NP-Za-km-z]{93})
Monero (XMR)	(8[0-9AB][1-9A-HJ-NP-Za-km-z]{93})
Ripple (XRP)	(r[0-9a-zA-Z]{33})
Zcash (ZEC)	(t1[a-km-zA-HJ-NP-Z1-9]{33})
Dash (DASH)	(X[1-9A-HJ-NP-Za-km-z]{33})
Ronin (RON)	(ronin:[a-fA-F0-9]{40})
Tron (TRX)	(T[A-Za-z1-9]{33})
Steam Trade URL	(http[s]*:\/\/steamcommunity.com\/tradeoffer\/new\/\?partner=([0-9]+)&token=([a-zA-Z0-9]+))
Tezos (XTZ)	(tz[1-3][1-9A-HJ-NP-Za-km-z]{33})
Cardano (ADA)	(addr1[a-z0-9]+)
Cosmos (ATOM)	(cosmos1[a-z0-9]{38})
Ripple (XRP)	(R[a-zA-Z0-9]{33})
Uncategorized	([A-Z2-7]{58})
Uncategorized	([1-9A-HJ-NP-Za-km-z]{44})