1718720985
2024-06-18 14:00:00
サイバーセキュリティプロバイダーのRecorded Futureの脅威インテリジェンスサービスであるInsikt Groupは、仮想通貨ユーザーを標的とし、偽の仮想会議ソフトウェアであるVortaxを巻き込んだ悪意のあるキャンペーンが広まっていることを確認した。
Vortax はソーシャル メディアに存在し、他のビデオ チャット サービスに代わるクロス プラットフォームでブラウザー内のエンタープライズ向けサービスとして販売されています。同社の「MeetingGPT」製品は、人工知能を活用して会議の概要やアクション項目を生成し、質問やコメントを提案します。
Mediumブログ（medium[.]com/@vortax) には、2023年12月7日から16日の間に公開された約22件のAI生成の疑いのある記事が掲載されています。X (旧Twitter) では、Vortaxアカウントに金色のチェックマークが付いており、「検証済み組織」として指定されています。
しかし、Vortax は一度インストールされると、暗号通貨の盗難を目的とした大規模なキャンペーンで、クロスプラットフォーム攻撃 (Rhadamanthys、Stealc、Atomic macOS Stealer (AMOS)) で 3 つの情報窃盗プログラム (インフォスティーラー) を配信します。
3 番目のインフォスティーラーである AMOS は、macOS インフォスティーラーとしては珍しい存在であり、Windows インフォスティーラーほど一般的ではないため、研究者にとって特に重要です。
macOS インフォスティーラーの増加
Vortax アプリケーション、その関連アカウントのネットワーク、およびそれが展開したマルウェアをさらに調査した結果、Insikt Group は、正規のアプリケーションを装った悪意のある macOS アプリケーションを 23 個特定しました。そのほとんどは、仮想会議ソフトウェアと暗号通貨のユーザーをターゲットにしていました。
Insikt Group の研究者は、Vortax キャンペーンと、Web3 ゲーム プロジェクトを標的とした以前のインフォスティーラー キャンペーンとの関連性も特定しました。
「これらの調査結果に基づき、2つのキャンペーンは、以前Insikt GroupによってAMOSユーザーID「markopolo」を使用していると特定された同じ脅威アクターと関係があると確信しています」と研究者らは書いている。
「この大規模なキャンペーンは、広範囲にわたる認証情報収集活動を示している可能性が高く、これは、markopolo がロシアン マーケットや 2easy Shop などのダーク ウェブ ショップで初期アクセス ブローカー (IAB) または「ログ ベンダー」として活動していることを示唆している可能性があります。ただし、この記事の執筆時点では、その評価を行うための証拠はありません。」
前回のレポートでは、Insikt Group は、macOS マルウェアとエクスプロイト キットの言及が 2022 年から 2023 年の間に 79% 増加したことも観察しました。この傾向は、AMOS インフォスティーラーの使用増加によって加速された可能性があります。
「AMOSの緊密なコミュニティを考えると、他のAMOSオペレーターは、マルコポロの成功をモデルにした将来のキャンペーンを行う可能性が高いと私たちは評価しています。これにより、AMOSがさらに広く拡散し、個々の脅威アクターに起因する多様で広範囲なキャンペーンが伴い、macOSユーザーにとって安全性の低い環境の長期的な脅威が悪化する可能性があります」と研究者は結論付けています。
緩和策の推奨事項
新しい インサイトグループレポートRecorded Future は、Vortax キャンペーンと関連する脅威を軽減するのに役立つ対策のリストを共有しました。これには次のものが含まれます。
- 感染を防ぐために、AMOSの検出システムを定期的に更新するようにしてください。
- 特にソーシャルメディアや検索エンジンから承認されていないソフトウェアをダウンロードするリスクについてユーザーを教育する
- ライセンスのないソフトウェアのダウンロードを防止するために厳格なセキュリティ管理を実施する
- ソーシャルメディアやその他のプラットフォームで遭遇した不審な活動を報告するようユーザーに促す
#偽の会議ソフトウェアがmacOSのInfostealerを拡散