概要
セキュリティ研究者らは、ユーザーの信頼を利用してTelegramのインストーラーを偽装したダウンロードサイトが、ステルス型のメモリ内マルウェアを配布していることを報告しました。
攻撃の仕組み
この新しいマルウェアキャンペーンは、ユーザーがTelegramの公式インストーラーを探しているときに偽装したサイトを通じて展開されます。そのサイトはtelegrgam[.]comというドメインを使用し、公式のダウンロードページを模倣しています。
- ユーザーが誤ってインストールすると、悪意のある実行ファイル
が配布されます。
このファイルは、正規のTelegramインストーラーと混在してインストールされ、不審な動作を避けるためにユーザーに偽装します。また、マルウェアはWindows Defenderの設定を変更し、システムドライブを除外リストに追加することで、ウイルス対策のスキャンを無効化します。
マルウェアの動作
インストール後、マルウェアは複数のステージで攻撃チェーンを展開し、システムに感染するためのレジストリエントリを作成します。また、C:\Users<User>\AppData\Roaming\Embarcaderoディレクトリにマルウェアのコンポーネントをドロップします。
- これらのファイルは、開発ツールと混在して存在感を薄めます。
さらに、
ステルス型のメモリ内実行
マルウェアは、DLLファイルAutoRecoverDat.dllを使用して、PE形式のpayloadを動的に生成します。このpayloadは、ディスクに書き込まれることなく、直接メモリ上にロードされます。
- これにより、従来のファイルベースの検出手法を回避できます。
さらに、rundll32.exeを使用してDLLが実行され、正当なWindowsプロセス内で動作します。これにより、マルウェアは通常のシステム活動と混在し、検出を避けることができます。
C&Cサーバとの通信
マルウェアは、27[.]50[.]59[.]77:18852というIPアドレスとポートを使用してC&Cサーバに接続します。これにより、攻撃者はリモートコマンドの実行やデータ漏洩を可能にします。
- C&Cサーバからの更新もダウンロードされ、メモリ上で直接実行されます。
この機能は、攻撃者がマルウェアの能力を進化させることを容易にします。
対策
ユーザーは公式サイトからソフトウェアをダウンロードし、ドメインの正当性を確認することを強く推奨します。また、以下のIOCsも注意深く監視してください。
- MD5: A9A5CC6B6766FEC51B281B94F5F17CCD (tsetup-x64.6.exe)
- MD5: 62F8EFFC7690455ABCB300E3574F0A93(Loaded Payload)
このキャンペーンは、ローダー型マルウェアの進化を示しています。特に、メモリ内実行と正当なシステムツールを使用して検出を回避する手法が特徴的です。