Torを利用する新バックドアTorNet、ヨーロッパ狙ったフィッシングキャンペーンで配布される | Codebook|Security News
Codebook|Security News > Articles > Threat Report > Torを利用する新バックドアTorNet、ヨーロッパ狙ったフィッシングキャンペーンで配布される

Threat Report

Silobreaker-CyberAlert

Tor

Torを利用する新バックドアTorNet、ヨーロッパ狙ったフィッシングキャンペーンで配布される

佐々山 Tacos

佐々山 Tacos

2025.01.29

Torを利用する新バックドアTorNet、ヨーロッパ狙ったフィッシングキャンペーンで配布される

Help Net Security – January 28, 2025

金銭的な動機を持つ脅威アクターによるドイツ語およびポーランド語話者を狙ったフィッシングキャンペーンにおいて、これまで知られていなかったバックドアマルウェア「TorNet」が使用されているとCisco Talosの研究者が報告。このキャンペーンは2024年7月から始まったものとみられ、ローダーマルウェアのPureCrypterを使ってTorNetやAgent Tesla、Snake Keyloggerなどのペイロードが配布されるという。

攻撃の初期アクセスベクターは、金融機関や製造・物流企業を装って送られるフィッシングメール。内容は架空の送金について確認を促すものや注文受領書に関するもので、有害なTGZファイル(GZIPで圧縮されたアーカイブファイル)が添付されている。これらのメールの大半はポーランド語かドイツ語で書かれていることから、両国のユーザーが主なターゲットであるとみられるが、英語で書かれた同キャンペーンのフィッシングメールサンプルもいくつか見つかっているという。

フィッシングメールを受信したユーザーが添付ファイルをダウンロードして解凍すると、.NETの実行ファイルがトリガーされ、PureCrypterがダウンロード・実行される。PureCrypterは2021年3月に初めて確認された人気のマルウェアダウンローダー。今回のキャンペーンでは1つか2つ以上のマルウェアを追加でロードするが、これには以下が含まれる:

  • Agent Tesla:リモートアクセス型トロイの木馬で、データスティーラーの性能も持つ
  • Snake Keylogger:認証情報を窃取できるキーロガーマルウェア
  • TorNet:これまで知られていなかったバックドアで、Torを利用して検出を回避する

脅威アクターはPureCrypterによってペイロードをドロップする前に、被害者のマシンをネットワークから切り離し、その後再度ネットワークに繋げることで、クラウドベースのアンチマルウェアソリューションによる検出を回避するという。またPureCrypterは実行前にアンチデバッグ、アンチアナリシス、アンチVM、アンチマルウェアチェックを行う性能も持つほか、アクセスを維持するための手法も複数備えている。

PureCrypterが投下するマルウェアの1つであるTorNetは、被害者のマシンをTorネットワークに接続させ、C2サーバーへの匿名化された接続を確立する性能を持つ。また、C2サーバーからダウンロードされる任意の.NETアセンブリを被害者マシンのメモリ内で実行することもでき、これによってさらなる侵入行為に向けてアタックサーフェスを拡大することが可能だという。

Cisco Talosのブログ記事ではこのキャンペーンに関するさらに詳しい情報が得られるほか、同社のGitHubページでは関連するIoCが共有されている。

【無料配布中!】インテリジェンス要件定義ガイド

インテリジェンス要件定義に関するガイドブック:『要件主導型インテリジェンスプログラムの構築方法』

以下のバナーより、優先的インテリジェンス要件(PIR)を中心とした効果的なインテリジェンスプログラムを確立するためのポイントなどを解説したSilobreaker社のガイドブック要件主導型インテリジェンスプログラムの構築方法の日本語訳バージョンを無料でダウンロードいただけます。

<ガイドブックの主なトピック>

本ガイドブックでは、優先的インテリジェンス要件(PIR)の策定にあたって検討すべき点と、PIRをステークホルダーのニーズに沿ったものにするために考慮すべき点について詳しく解説しています。具体的には、以下のトピックを取り上げます。

  • 脅威プロファイルの確立
  • ステークホルダーの特定・分析
  • ユースケースの確立
  • 要件の定義と管理
  • データの収集と処理
  • 分析と生産
  • 報告
  • フィードバック
  • 実効性の評価

Special Feature特集記事

Cyber Intelligenceサイバーインテリジェンス

Security情報セキュリティ