1729210625
2024-10-17 21:00:00
新しい ClickFix キャンペーンは、Windows および macOS オペレーティング システムに情報を盗むマルウェアを配信する偽の接続エラーを表示する、不正な Google Meet カンファレンス ページにユーザーを誘導しています。
ClickFix は 5 月に出現したソーシャル エンジニアリング戦術で、Google Chrome、Microsoft Word、OneDrive のエラーを偽装するメッセージを使用する攻撃者 (TA571) によるもので、サイバーセキュリティ会社 Proofpoint によって最初に報告されました。
このエラーにより、被害者は、Windows コマンド プロンプトで実行することで問題を解決する PowerShell コードをクリップボードにコピーするよう求められました。
したがって、被害者は、DarkGate、Matanbuchus、NetSupport、Amadey Loader、XMRig、クリップボード ハイジャッカー、Lumma Stealer などのさまざまなマルウェアでシステムを感染させることになります。
7月には、 マカフィーが報告した 特に米国と日本では、ClickFix キャンペーンが頻繁に行われるようになってきました。
SaaS サイバーセキュリティ プロバイダーである Sekoia の新しいレポートによると、ClickFix キャンペーンは大幅に進化しており、現在では Google Meet のルアー、運送会社や物流会社をターゲットにしたフィッシング メール、偽の Facebook ページ、および欺瞞的な GitHub の問題が使用されています。
ClickFix の進化のタイムライン
出典: セコイア
フランスのサイバーセキュリティ会社によると、最近のキャンペーンの一部は、仮想通貨詐欺集団マルコ・ポーロとクリプトラブのサブチームとみられるスラブ・ネイション・エンパイア（SNE）とスカムクェルテオという2つの脅威グループによって実施されているという。
最近のキャンペーンで使用されたさまざまな餌
出典: セコイア
Google Meetの罠
攻撃者は、Google Workspace スイートのビデオ通信サービスの一部である Google Meet の偽ページを使用しています。Google Meet は、企業環境で仮想会議、ウェビナー、オンライン コラボレーションに人気があります。
URL は実際の Google Meet リンクによく似ています。
- 会う[.]グーグル[.]私たち参加[.]コム
- 会う[.]グーグル[.]ウェブ参加[.]コム
- 会う[.]グーギー[.]コムジョイン[.]私たち
- 会う[.]グーグル[.]cdm-結合[.]私たち
被害者が偽のページにアクセスすると、マイクやヘッドセットの問題などの技術的な問題を知らせるポップアップ メッセージが表示されます。
クローン Google Meet ページの偽のエラー メッセージ
出典: セコイア
[Try Fix]をクリックすると、標準の ClickFix 感染プロセスが開始され、Web サイトによってコピーされて Windows プロンプトに貼り付けられた PowerShell コードがコンピュータをマルウェアに感染させ、「googiedrivers」からペイロードを取得します。[.]com」ドメイン。
最後のペイロードは、Windows 上の情報窃取マルウェア Stealc または Rhadamanthys です。 macOS マシン上では、脅威アクターは AMOS Stealer を「Launcher_v194」という名前の .DMG (Apple ディスク イメージ) ファイルとして投下します。
Sekoia は、Google Meet 以外にも、Zoom、PDF リーダー、偽のビデオ ゲーム (Lunacy、Calipso、Battleforge、Ragon)、Web3 ブラウザとプロジェクト (NGT Studio)、メッセンジャー アプリ (Nortex) など、他のマルウェア配布クラスターをいくつか特定しました。
#偽の #Google #Meet #会議エラーが情報を盗むマルウェアをプッシュする