初期アクセスから暗号化まで9日間：偽のZoomインストーラー経由でBlackSuitランサムウェアを展開する事例が報告される

佐々山 Tacos

2025.03.31

初期アクセスから暗号化まで9日間：偽のZoomインストーラー経由でBlackSuitランサムウェアを展開する事例が報告される

Securityonline[.]info – March 31, 2025

脅威アクターが偽のZoomダウンロードを利用してコーポレート環境へ入り込み、BlackSuitランサムウェアをネットワーク中に展開した巧妙な攻撃事例について、The DFIR Reportが紹介。これは、ステルス性能とソーシャルエンジニアリング戦術、また多層から成るツール群を組み合わせることで、ランサムウェアペイロード展開前にシステムを最大限制御するという巧妙な攻撃手法のお手本のような事例だったという。

2024年5月に発生したこの攻撃はまず、Zoomの公式サイトを模した偽Webサイト「zoommanager[.]com」からスタート。このサイトの出来栄えは本物とほぼ見分けがつかない作りになっており、被害ユーザーは疑うことなく「ダウンロード」ボタンをクリックしてしまったという。これにより、Innno Setupを使って作られた悪性インストーラーがインストールされることに。

このインストーラーには、Pascalベースのローダーであるd3f@ckloaderが隠されており、これを用いてペイロードフォルダをWindows Defenderから除外するためのバッチスクリプトを実行すると、次段階のIPアドレス（Steamコミュニティ）から2件のアーカイブファイルをダウンロードする。うち1件は正規のZoomインストーラーで、これにより悪意あるアクティビティをマスキングしてユーザーに疑われる危険性を下げようとする。2つ目のペイロードはIDATローダーで、これはMSBuild.exeプロセスへSectopRATを注入するために使われるという。

観測された事例では、SectopRATは1週間以上にわたって密かにアクセスを維持し、目立ったアクションは行わずにC2コンフィグレーションを求めてPastebinへのビーコニングを行っていた。その後C2トラフィックが確立され、アクティビティは8日間ストップ。9日目にはレッドチームフレームワークであるBrute RatelやCobalt Strikeが展開されたほか、psexec_pshによってラテラルムーブメントが行われ、プロキシ「QDoor」を通じてRDPのトンネリングが行われた。

さらに、侵害されたファイルサーバーにはWinRARがダウンロードされ、これを使ってターゲットのディレクトリを圧縮したのち、SaaSプラットフォームBublupへ約1GB分のデータを抽出。またWinRARの使用により、ストレージサイト「temp.sh」から、以下のファイルを含むRARアーカイブがフェッチされた。なおここでは、WinRARのような正規ツールを用いて、検出をますます難しいものにしようとする試みが行われている。