Bleeping Computerは5月18日(米国時間)、「Ransomware gang targets Windows admins via PuTTy, WinSCP malvertising」において、「WinSCP」および「PuTTY」の偽広告からランサムウェアを展開するマルバタイジング攻撃キャンペーンに注意を呼びかけた。この攻撃では、使用される偽広告の特徴から、Windowsのシステム管理者を標的にしている可能性が高いとみられる。

Ransomware gang targets Windows admins via PuTTy, WinSCP malvertising

○マルバタイジング攻撃キャンペーンの概要

Bleeping Computerによると、検索サイトで「download winscp」または「download putty」を検索すると、WinSCPおよびPuTTYの偽広告が表示されるという。これら広告には、次のようなタイポスクワッティングドメイン名が使用されたことが確認されている。

puttty[.]org

puutty[.]org

wnscp[.]net

vvinscp[.]net

なお、puttyの検索時に上位に表示される「https://www.putty.org/」は公式サイトではない。「https://www.chiark.greenend.org.uk/~sgtatham/putty/index.html」が公式サイトとされる。今回の攻撃者もこの勘違いをしていたとみられ、上記の偽サイトはputty.orgを模倣していたことがわかっている。

マルウェアを配布するPuTTYの偽サイト　引用：Rapid7

○ランサムウェア配布の流れ

これら偽サイトからダウンロードしたファイルをインストールすると、DLL(Dynamic Link Library)のサイドローディング技術を使用して悪意のある「python311.dll」が実行される。python311.dllは暗号化されたPythonスクリプトを抽出し、実行する。

Pythonスクリプトは、攻撃者が利用できるように設定されたセキュリティテストツール「Silver C2」をインストールする。その後、攻撃者はSilver C2を使用して「Cobalt Strike」のインストールや、「BlackCat/ALPHV」に類似したランサムウェアの展開を試みる。

今回のキャンペーンにおける侵害経路 　引用：Rapid7

○対策

近年、偽広告を使用するマルバタイジング攻撃が増加傾向にある。これは比較的容易に結果が得られるためとみられており、多くの人気のソフトウェアが悪用されている。

そのため、検索サイトを使用してソフトウェアをダウンロードする場合は、ダウンロード前にアクセスしているドメイン名に間違いがないか確認することが推奨されている。また、既知の悪意のあるWebサイトへのアクセスを防止するため、ブラウザーの保護機能を持つセキュリティソリューションの導入も望まれている。