マルウェアの情報

Telegram API で窃取情報を送信するフィッシングマルウェア

Posted By ,

AhnLab SEcurity intelligence Center(ASEC)は、昨年 Telegram を活用してユーザー情報を流出するフィッシングスクリプトについて紹介した。[1] 最近までも Telegram を利用したフィッシングスクリプトは多数確認されているが、送金、領収書などのキーワードを活用して不特定多数を対象に配布されるという特徴がある。 最近配布されているフィッシングスクリプトは、配布初期とは違って検知を回避するためにコード難読化を使用している。また、従来と同じく保護されたドキュメントを閲覧するようにログインを誘導したり、Microsoft ログインページを装ったりするなど、様々な形態で配布されていることを確認することができた。 [図1]…

セキュリティプログラムのインストール過程で感染する TrollAgent(Kimsuky グループ)

Posted By ,

ASEC(AhnLab SEcurity intelligence Center)では最近、韓国国内の建設関連協会のホームページ上でセキュリティプログラムのインストールを試みると、マルウェアがダウンロードされるという状況を確認した。当該ホームページで提供しているサービスを使用するためにはログインが必要であり、セキュリティのために様々なセキュリティプログラムをインストールすることでログインを行うことができる。 ログインのためにインストールを誘導されるプログラムの中に、マルウェアが含まれたインストールプログラムが存在し、もしユーザーがこれをダウンロードしてインストールする場合、セキュリティプログラムだけでなくマルウェアも同時にインストールされてしまう。 このようなプロセスを通じてインストールされるマルウェアは、外部から攻撃者のコマンドを受け取り、悪意を持った振る舞いを実行できるバックドアマルウェアと感染システムの情報を収集する情報窃取型マルウェアがある。これにより、ユーザーは公式ホームページからセキュリティプログラムをインストールするだけでも個人情報窃取等の脅威にさらされる恐れがある。 1. 拡散方式 当該協会のホームページにアクセスした後にログインを試みると、以下のように、ログインのためにセキュリティプログラムのインストールを要求される。インストールが必要なセキュリティプログラムのうち「NX_PRNMAN」から、マルウェアが含まれた不正なインストーラーがダウンロードされる。これは解析時点である2024年1月中旬が基準であり、2023年12月頃には「TrustPKI」セキュリティプログラム内にマルウェアを含んで拡散された。また、内部テスト上で改ざんされたインストーラーは特定の時間帯にのみ当該ホームページにアップロードされ、その時間にダウンロードしたユーザーのみが攻撃にさらされることになる。当社が確保した改ざん済みインストーラーの合計感染数は、3,000件以上であると集計された。 図1. 韓国国内の特定ホームページにおけるログインプロセス インストーラーは…