セキュリティ認証画面を信じただけなのに… ClickFix 方式で拡散されている LegionLoader マルウェアに注意

AhnLab SEcurity intelligence Center (ASEC) は最近、ClickFix 方式で拡散されている LegionLoader マルウェアを確認した。現在までに確認された拡散手法は大きく2種類あり、いずれもユーザーを悪性 URL にアクセスさせた後、偽の Cloudflare CAPTCHA 画面を通じて悪性 PowerShell コマンドを直接実行させる方式である。

1つ目は、韓国国内の「新婚希望タウン」ナムウィキページを介して拡散される事例である。ユーザーが攻撃者によって挿入された偽の 「新婚希望タウン」 URL にアクセスすると、複数回の Redirect を経て、最終的に Cloudflare CAPTCHA を装った悪性ページに接続される。案内に従って操作すると、LegionLoader をダウンロードする PowerShell コマンドを実行することになる。

2つ目は、特定企業を標的として、社内業務システムのアカウント発行案内メールを装い、悪性 URL へのアクセスを誘導する方式である。ASEC が確認した事例では、攻撃者は新規アカウントの初期パスワード変更およびアカウントの有効化が必要であると案内するとともに、当該企業が実際に使用しているドメインを悪性 URL と併記することで、メールの信頼性を高めていた。しかし、ユーザーがメールに含まれる悪性 URL にアクセスすると、短時間のうちに複数回の Redirect を経て、最終的に Cloudflare CAPTCHA を装った悪性ページに接続される。案内に従って操作すると、LegionLoader をダウンロードする PowerShell コマンドを実行することになる。

LegionLoader は、内部に暗号化されたシェルコードと PE ファイルを順番に復号した後、独自に実装した PE Loader を利用して最終的なバックドアマルウェアを実行する。この過程で、ディスプレイデバイス情報と外部のパブリック IP の ASN タイプを基に感染環境をスキャンする。最終的に実行されるバックドアマルウェアは、C&C サーバーからのコマンドに応じて、Process Injection や Process Hollowing をはじめとするさまざまな実行方式で、PE ファイル、シェルコード、PowerShell スクリプト、MSI ファイルなどの追加ペイロードを実行する機能を備えている。また、Chrome ブラウザの Master Key および App-Bound 暗号化キーを窃取し、C&C サーバーが指定したブラウザプロファイル情報を収集する機能も備えている。

[図1] 偽の Cloudflare CAPTCHA を利用した LegionLoader の拡散および実行フロー

1-1. 韓国国内の 「新婚希望タウン」 ナムウィキページを介して拡散されている LegionLoader

ASEC は、韓国国内の 「新婚希望タウン」 ナムウィキページに登録されたリンクを介して LegionLoader が拡散されている状況を確認した。攻撃者は、当該ナムウィキページに公式 Web サイトを装った悪性 URL を登録してユーザーのアクセスを誘導していた。ユーザーが該当 URL にアクセスすると、複数回の Redirect を経て、PowerShell コマンドの実行を誘導する偽の Cloudflare CAPTCHA ページに移動する。

ClickFix 方式で実行される PowerShell コマンドは、外部サーバーから追加の PowerShell コードをダウンロードして非表示の状態で実行する。その後、実行された PowerShell コードが追加の悪性ファイルをダウンロードし、多段階の実行処理を経て、最終的に感染システム上で LegionLoader を動作させる。

[図2] 韓国国内の 「新婚希望タウン」 ナムウィキページに公式 Web サイトを装って登録された悪性 URL

攻撃者は、Cloudflare CAPTCHA 認証画面を装った Web ページを利用して LegionLoader を拡散している。一般的な CAPTCHA では、Web ページ上でユーザーが入力したりボタンをクリックしたりすることで認証を完了する。一方、この攻撃に使用されたページでは、ユーザーに別途 Windows コマンドを実行する手順を案内する。

ユーザーが案内された手順に従い、クリップボードにコピーされた PowerShell コマンドを実行すると、外部サーバーから追加の PowerShell コードがダウンロードされて実行される。その後、追加の PowerShell コードが LegionLoader を含む 7z 形式のパスワード付き圧縮ファイルをダウンロードし、該当ファイルを解凍した後、内部に含まれる LegionLoader を実行する。

[表1] ClickFix ページを介して実行される悪性 PowerShell コマンド

攻撃者は LegionLoader の拡散過程において、最初に確認された8月から、”pop” という文字列を含む .monster トップレベルドメイン (TLD) を中間 Redirect アドレスおよび最終 ClickFix ページに利用していた。その後、9月からは従来の .monster 系ドメインに代わり、.cfd トップレベルドメインを使用するアドレスが主に確認されており、攻撃者が拡散インフラのドメイン体系を変更したものと推定される。これとは別に、8月には .com トップレベルドメインを使用するアドレスも一時的に確認された。現在までに同一の攻撃に使用されたことが確認されているドメインの一部は以下のとおりである。

[表2] 拡散過程における中間 Redirect アドレスおよび最終 ClickFix ページとして使用されたドメインの一部

また、拡散過程で確認されたものと同一の悪性 PowerShell コマンドがオンラインの技術コミュニティにも投稿されていたことを確認した。当該投稿にはユーザーがアクセスした偽の Cloudflare CAPTCHA ページの画面も添付されており、攻撃者が ClickFix 方式で PowerShell コマンドの実行を誘導した際に使用したページの形式を確認できる。

[図3] Cloudflare CAPTCHA 認証画面を装って PowerShell コマンドの実行を誘導する ClickFix ページ (出典：オンライン技術コミュニティ Mitmachim Top : בקשת מידע | PowerShell – פיענוח פקודה חשודה שנמצאה באימות בוט | מתמחים טופ – פורום הטכנולוגיה של הצי…)

1-2. 特定企業を標的にスピアフィッシング方式で拡散されている LegionLoader

AhnLab SEcurity intelligence Center (ASEC) は、特定企業を標的として送信されたスピアフィッシングメールを介して LegionLoader が拡散された事例も確認した。攻撃者は、標的企業が使用している社内業務システムのアカウント発行案内を装ったメールを送信し、新規アカウントの初期パスワード変更とアカウントの有効化が必要であると案内することでユーザーを悪性 URL へのアクセスへ誘導した。

確認されたメールには、アカウント発行手順とともに、正常な業務システムを装った外部 URL が含まれていた。また、初期パスワードを誤って入力するとアカウントがロックされる可能性があるという警告や、一定期間内にアカウントを有効化する必要があるという案内を含めることで、ユーザーが特に疑うことなくリンクへアクセスするよう誘導していた。

ユーザーがメールに含まれる悪性 URL にアクセスすると、短時間のうちに複数回の Redirect を経て、最終的に Cloudflare CAPTCHA 認証画面を装った悪性ページに接続される。このページでは、前述したナムウィキを介した拡散事例と同様に、正常な CAPTCHA 認証手順を提供する代わりに、ユーザーに別途 Windows コマンドを実行する手順を案内する。

同様に、ユーザーが案内された手順に従って操作すると、クリップボードにコピーされた悪性 PowerShell コマンドが直接実行される。実行された PowerShell コマンドは、外部サーバーから追加の PowerShell コードをダウンロードして実行した後、悪性ファイルのダウンロードおよび多段階の実行処理を経て、最終的に感染システム上で LegionLoader を実行する。

[表3] スピアフィッシング方式で拡散される LegionLoader で確認された C&C IP

2. 暗号化されたシェルコードの復号および実行

LegionLoader は、まず実行に必要な Crypto API や Thread Pool API などを動的に特定した後、内部に暗号化された状態で保存されているシェルコードを復号する。その後、復号結果のバイト配列全体を逆順に変換するなどの追加処理を行い、シェルコードを復元して実行する。

復元されたシェルコードは、ディスプレイデバイス情報と外部のパブリック IP の ASN タイプに基づき、現在のシステムが仮想化環境、リモート環境、またはホスティング事業者に割り当てられた IP 環境に該当するかをスキャンする。スキャン条件に該当しない場合は、内部に暗号化された PE ファイルを復号し、独自に実装した PE Loader を利用して最終的なバックドアマルウェアを実行する。

[図4] 暗号化されたシェルコードの復号結果

まず、EnumDisplayDevicesA API を呼び出して現在のシステムのディスプレイデバイス名を取得した後、内部に保存されたブラックリスト形式のディスプレイデバイス名文字列の一覧と比較し、仮想化、リモート、または一般的ではないディスプレイ環境に該当するかを確認する。

[表4] ディスプレイデバイスのスキャンに使用される文字列 (16個)

続いて、ipinfo.io/what-is-my-ip アドレスに HTTP GET リクエストを送信し、システムの ASN タイプの値が “hosting” という文字列と一致するかを比較することで、現在のシステムのパブリック IP がホスティング事業者に割り当てられた IP であるかを確認する。

[図5] ipinfo.io/what-is-my-ip アドレスに HTTP GET リクエストを送信して外部のパブリック IP および ASN タイプを確認

3. 最終バックドアマルウェアの実行

最終的に実行されるバックドアマルウェアは、感染ホストの情報を C&C サーバーに登録した後、C&C サーバーから送信されるコマンドを受信して実行する。現在までに確認された C&C ドメインは dallasbackstage[.]com と gemscocl[.]com である。2つの C&C ドメインは同一のパスを使用しており、それぞれのパスの役割は以下のとおりである。

[表5] LegionLoader のバックドアマルウェア C&C アドレス

[図6] RC4 と Base64 を利用した C&C 通信

バックドアマルウェアは C&C コマンドに含まれる設定値に応じて追加ペイロードの実行、Chrome ブラウザ情報の収集、永続化の登録、外部 URL へのアクセスなどの機能を実行する。1つの C&C レスポンスには複数の機能に関する設定値が同時に含まれる場合があり、確認された主な機能は以下のとおりである。

[表6] バックドアマルウェアで確認された主な機能

結論

最近攻撃者は、Cloudflare CAPTCHA 認証画面を装った ClickFix 方式を使用し、ユーザー自身に PowerShell コマンドを実行させるよう誘導している。当該 PowerShell コマンドは外部から追加の PowerShell コードをダウンロードして実行し、その後、複数段階の復号およびメモリローディング処理を経て、最終的に LegionLoader を実行する。

最終的に実行されるバックドアマルウェアは C&C サーバーからのコマンドに応じて、Native PE、Runtime Module、シェルコード、PowerShell スクリプト、MSI ファイルなどを実行できる。また、explorer.exe を対象とした Process Injection、RuntimeBroker.exe を対象としたProcess Hollowing、AMSI を回避した上での PowerShell 実行など、さまざまな方式で後続ペイロードを実行することができる。

したがって、ユーザーは Web ページ上で CAPTCHA 認証やエラー解決を名目として Windows の実行ウィンドウや PowerShell の使用を要求された場合、注意する必要がある。特に、Web ページからコピーしたコマンドを直接実行するよう案内する行為は正常な CAPTCHA 認証手順ではないため、実行してはならない。また、V3 を最新バージョンに維持し、マルウェア感染を事前に防止できるよう注意する必要がある。