セキュリティ企業のeSentireはこのほど、「eSentire｜FIN7 Uses Trusted Brands and Sponsored Google Ads to…」において、ロシアに拠点を置くとみられる脅威グループ「FIN7」がGoogle広告を悪用してマルウェアを配布しているとして、注意を呼び掛けた。この攻撃では、偽のブラウザ拡張機能を介して遠隔操作型トロイの木馬(RAT: Remote Administration Trojan)が配布されるという。

eSentire｜FIN7 Uses Trusted Brands and Sponsored Google Ads to…

○感染経路

2024年4月、eSentireはGoogle広告を介して偽のブラウザ拡張機能をダウンロードさせる悪意のあるWebサイトを複数発見。これらWebサイトはAnyDesk、WinSCP、BlackRock、Asana、Concur、The Wall Street Journal、Workable、Google Meetなどの有名ブランドを偽装しているという。

これらWebサイトにアクセスすると、「サイトの閲覧にはブラウザ拡張機能が必要」と書かれたポップアップが表示され、Windowsアプリパッケージ形式のMSIXファイルのインストールを求められる。

悪意のあるMSIXファイルを配布するWebサイトの例　引用：eSentire

ダウンロードしたMSIXファイルには悪意のあるPowerShellスクリプトが含まれており、システムおよびセキュリティソリューションの情報を収集してコマンド＆コントロール(C2: Command and Control)サーバに送信する機能を持つ。C2サーバが「usradm」を含む応答を返した場合、スクリプトはマルウェア「NetSupport RAT」をダウンロードして実行する。

○マルウェア「NetSupport RAT」の概要

NetSupport RATは正規の遠隔操作ツール「NetSupport Manager」を悪用した場合の別名。それ自体は正常なアプリケーションであり、攻撃者が利用できるように設定された状態で配布される。そのため、セキュリティソリューションによる検出は困難とされる。

○対策

eSentireはこのような攻撃を回避するため、次のような対策を推奨している。

Google広告をクリックする際は、正常に見える広告でも悪意のあるWebサイトにリダイレクトされる可能性があることを理解する

広告のリダイレクト先のWebサイトから配布されているファイルには注意する

Webサイトに予期しないダウンロードが表示されたら疑ってかかる

MSIXファイルの署名は安全性を保証するものではないと認識する

企業はエンドポイント検出応答(EDR: Endpoint Detection and Response)を導入する

eSentireは調査の過程で判明したセキュリティ侵害インジケーター(IoC: Indicator of Compromise)を「iocs/FIN7/FIN7_IOCs_5-3-2024.txt at main · esThreatIntelligence/iocs · GitHub」にて公開しており、必要に応じて活用することが望まれている。