Elasticsearchはこのほど、「Dipping into Danger: The WARMCOOKIE backdoor — Elastic Security Labs」において、新しいWindows向けバックドア「WARMCOOKIE」を発見したと報じた。このマルウェアは現在進行中のフィッシングキャンペーンを通じて配布されているとして、注意を呼びかけている。
-
Dipping into Danger: The WARMCOOKIE backdoor — Elastic Security Labs
侵害経路
Elasticsearchにより特定された今回のキャンペーンでは、人材紹介会社を装った偽のフィッシングメールが使用されるという。メールには標的個人の名前や雇用主の名前が記載され、説得力の高い内容になっている。本文には「求人情報を表示する」と書かれたリンクがあり、クリックすると偽の求人情報ページが表示される。
-
フィッシングメールの例 引用：Elasticsearch
偽の求人情報ページにはロボットを排除するためのCAPTCHAが設置されている。これには、セキュリティ企業の自動検出ロボットを排除しつつ、被害者に正規サイトの印象を与える目的があるとみられる。被害者がCAPTCHAを入力して先に進むと悪意のある難読化されたJavaScriptがダウンロードされる。
-
偽の求人情報ページの例 引用：Elasticsearch
このJavaScriptを実行すると悪意のあるPowerShellスクリプトが実行され、バックグラウンドインテリジェント転送サービス(BITS: Background Intelligent Transfer Service)を使用してバックドア「WARMCOOKIE」がダウンロード、実行される。
-
侵害経路 引用：Elasticsearch
バックドア「WARMCOOKIE」の実体
Elasticsearchの分析によると、WARMCOOKIEには次の機能があるという。
- タスクスケジューラーを使用した永続性の確保とシステム権限の取得
- 文字列の暗号化による分析妨害
- アンチデバッグ機能
- システム情報およびユーザー情報の窃取
- スクリーンショットの窃取
- インストールされたアプリケーション一覧の窃取
- 任意のコマンドの実行
- ファイルの読み書き
対策
このキャンペーンでは攻撃にフィッシングメールを用いる。そのため、メールの内容に不審な点がないか、リンクやWebブラウザに表示されるURLが人材紹介会社の正規のドメインかを確認することが推奨される。
ElasticsearchはWARMCOOKIEを検出するYARAルールおよびセキュリティ侵害インジケーター(IoC: Indicator of Compromise)を公開しており、必要に応じて活用することが望まれている。
