取引領収書を装ったフィッシングメールに注意

最近、AhnLab Security intelligence Center (ASEC) では、取引領収書を装ったフィッシングメールの拡散事例を確認した。該当メールは米国の特定企業の従業員を装ったもので、本文には取引領収書を添付しているため内容を確認した上で口座への入金有無を知らせてほしいという内容が記載されており、受信者に添付ファイルを開かせようとする。

• 添付された PDF 文書 : transaction_successful_ID9238249123024.pdf

[図1] フィッシングメール本文

添付された PDF の内部には海外送金の確認書類と思われる内容が含まれており、文書を確認するために Adobe Flash Playe rのアップデートが必要であるという案内メッセージが表示される。ユーザーが PDF 文書を開くと、”An updater to adobe flash reader is needed to view this pdf” というメッセージとともにダウンロードボタンが表示される。その後、Adobe Reader の外部リンク接続機能を利用して以下のサイトへの接続を試み、ユーザーが接続を許可すると攻撃者が運営していると推定される Web サイトへ移動する。

• URL : hxxps://transaction-sucessful[.]vercel.app/

[図2] 添付された悪性 PDF ファイル

該当サイトにアクセスすると、”adobe-flash-updater.vbs” ファイルがダウンロードされる。ユーザーが VBS ファイルを実行すると、スクリプトは ShellExecute を利用して管理者権限で再実行される。その後、Web ページから payment_receipt.pdf を開き、正常な取引領収書を装ったおとり文書を表示する。ユーザーが文書を確認している間、バックグラウンドでは curl.exe を介して攻撃者のサーバーから sc.msi ファイルをダウンロードし、msiexec.exe /qn /norestart オプションを使用してユーザーに別途インストール画面を表示することなく MSI パッケージをインストールする。これにより、攻撃者は正常な文書の閲覧と悪性 MSI のインストールを同時に実行する。

• 正常なおとり文書 : hxxps://payment-six-eta.vercel.app/doc/payment_receipt[.]pdf
• 悪性 MSI ファイル : hxxps://payment-six-eta.vercel[.]app/doc/sc.msi

[図 3] adobe-flash-updater.vbs

[図4] 正常なおとり文書

ダウンロードされた sc.msi は、ConnectWise社のリモート管理ソリューションである ScreenConnect のインストールパッケージである。インストール後、ScreenConnect.ClientService.exe が実行され、relay.gamedbd.com:8041 に接続するための Access セッション情報 (Session ID、Guest ロール、サーバー識別用公開鍵など) を含むコマンドライン引数とともに動作する。これにより、被害システムは該当 ScreenConnect インフラの Access セッションとして登録され、攻撃者はこれを利用して感染システムへの継続的なリモートアクセス権限を確保できる。その後、ファイル転送、コマンド実行、追加ペイロードの配布など、後続の攻撃を実行することも可能となる。

ScreenConnect は、リモートサポートやシステム管理を目的として広く利用されている正規ソフトウェアである。しかし、最近では攻撃者が合法的な管理ツールを悪用する LoL (Living-off-the-Land) 手法の一環として利用する事例が継続的に確認されているため、十分な注意が必要である。

• 攻撃者サーバー : relay.gamedbd.com:8041

[図5] レジストリに保存されたセッション情報