Windowsのfinger悪用、偽Amazonログイン経由でマルウェア配布
Huntressは、Google検索の広告から偽Amazonログインページに誘導し、Windowsのfingerユーティリティを悪用して情報窃取マルウェアを配布するClickFixキャンペーンを確認した。
セキュリティ企業Huntressは、Windowsに標準搭載されているネットワークユーティリティ「finger」を悪用したClickFixキャンペーンを確認したと明らかにした。この攻撃は、情報窃取マルウェアを配布するもので、dailysecu.comが報じた。
ユーザーはGoogleの検索結果から偽のセキュリティ確認ページへ誘導された。「Amazon Business」を検索したユーザーが悪意ある広告をクリックすると、Google Sitesで作成された偽のAmazonログインページに遷移。メールアドレスや電話番号を入力すると、偽の人間確認画面が表示された。
確認画面で実行を促されたコマンドにより、finger.exeが攻撃者のサーバーからデータを取得。感染チェーンではIronPythonや複数段階の難読化されたマルウェア実行ツールが使われた。最終的なペイロードには、Lummaインフォスティーラーの疑いがあるものと、NetSupportリモートコントロールソフトウェアが含まれていた。
Googleは悪意ある広告を削除したが、Huntressは分析時点で攻撃インフラが依然として稼働していたと述べている。また、確認された事例だけでは感染の全体規模や国内での被害状況を判断するには不十分だとしている。
よくある質問
finger.exeとは何ですか？
Windowsに標準搭載されているネットワークユーティリティで、今回の攻撃では攻撃者のサーバーからデータを取得するために悪用されました。
この攻撃で配布されるマルウェアは何ですか？
Lummaインフォスティーラーの疑いがあるマルウェアと、NetSupportリモートコントロールソフトウェアが最終的なペイロードに含まれていました。
Googleはこの問題に対応しましたか？
Googleは悪意ある広告を削除しましたが、Huntressによると分析時点で攻撃インフラは依然として稼働していました。