大規模障害の混乱に乗じる攻撃者 - 偽マニュアルや偽復旧ツール出回る

CrowdStrike製品が導入されているWindows端末において大規模障害が発生した問題で、マニュアルや関連プログラムを装ってマルウェアを展開する攻撃が横行している。出所が不明瞭な情報に警戒が必要だ。

マイクロソフトの復旧マニュアルを偽装した攻撃では、悪意あるマクロを含んだ「Wordファイル」を使用。Base64でエンコードされたライブラリファイルを含み、最終的にマルウェア「Daolpu」へ感染するしくみだった。

「Daolpu」は、情報を窃取するマルウェア。「Chrome」「Firefox」のログインデータやCookieなどの情報を窃取し、外部のサーバに送信する。

またCrowdStrikeになりすまし、悪意のある「zipファイル」「RARファイル」を送信するフィッシング攻撃も確認された。圧縮ファイル内部にはインストーラが含まれており、情報窃取を行う「Lumma Stealer」が含まれる。

スパムやMicrosoft Teams経由で「ヘルプデスク」オペレーターを装い、音声通話を用いたフィッシング（ビッシング）でマルウェアを拡散する攻撃キャンペーンが6月に確認されたが、同じコマンド＆コントロールサーバを利用しており、関連する攻撃とCrowdStrikeでは分析している。

（Security NEXT - 2024/08/02 ）ツイート