Havocマルウェアは簡単に目に見えない場所に隠れる可能性がある
サイバー攻撃者は、常に新しい方法で検出を回避し、無防備なユーザーを悪用しています。そのような脅威の 1 つが Havoc です。これはオープンソースのコマンド アンド コントロール (C2) フレームワークで、高度なフィッシング キャンペーンで利用されています。従来のマルウェアとは異なり、Havoc は高度な技術を使用して存在を隠し、正当なサービスを装って悪意のあるアクティビティを実行します。
Table of Contents
Havoc マルウェアとは何ですか?
Havoc は、サイバーセキュリティ専門家がネットワーク防御をテストするために設計されたエクスプロイト後のフレームワークです。しかし、多くの正当なセキュリティツールと同様に、脅威アクターによって悪意のある目的で利用されています。この場合、攻撃者は Havoc の「Demon」エージェントを改変して検出を回避し、秘密裏に活動できるようにしています。
このマルウェアは、 ClickFixと呼ばれる手法を利用したフィッシング キャンペーンを通じて配信されます。攻撃は、「Documents.html」というタイトルの HTML 添付ファイルが付いた電子メールから始まります。このファイルを開くと、PowerShell コマンドをコピーして実行するようにユーザーに指示するエラー メッセージが表示されます。この一見単純な手順によって感染プロセスが開始され、攻撃者は被害者のシステムを制御できるようになります。
Havoc はどのように機能しますか?
悪意のある PowerShell スクリプトが実行されると、攻撃者が管理する SharePoint サーバーにアクセスし、追加のスクリプトをダウンロードして実行します。攻撃はいくつかの段階で展開されます。
- 環境検出:スクリプトはまず、サンドボックス環境または仮想化環境で実行されているかどうかを確認します。これは、サイバーセキュリティ分析ツールを回避するための一般的な手法です。
- Python の展開:サンドボックスが検出されない場合、システムにまだインストールされていない場合は Python インタープリターのダウンロードに進みます。
- シェルコードの実行:ダウンロードされた Python スクリプトは、Havoc Demon エージェントを起動するシェルコードを読み込みます。
- コマンド アンド コントロール通信:マルウェアは、広く信頼されているサービスであるMicrosoft Graph APIを使用してオペレーターとの通信を確立します。この方法により、攻撃者は悪意のあるトラフィックを正当なものとして偽装できるため、検出が著しく困難になります。
Havoc マルウェアの目的は何ですか?
侵害されたシステムにインストールされると、Havoc は攻撃者にコマンドの実行、ユーザー権限の操作、機密データの盗難、さらには Kerberos 攻撃の実行などを行うツール スイートを提供します。その機能には次のようなものがあります。
- システムとユーザー情報の収集
- データのアップロードやダウンロードなどのファイル操作を実行する
- 任意のコマンドとペイロードの実行
- ユーザートークンを操作して権限を昇格する
- ネットワーク偵察と認証情報の盗難
Havocマルウェアの影響
サイバー攻撃における Havoc の使用は、個人と組織の両方にとって深刻なセキュリティ上の問題となります。よく知られているハッキング インフラストラクチャに依存する他のマルウェアとは異なり、Havoc は SharePoint や Microsoft Graph API などの広く信頼されているサービスを利用して検出を回避します。このアプローチにより、攻撃者は自身の活動を正当なネットワーク トラフィックと融合させることができるため、従来のセキュリティ ツールでは悪意のある操作を特定してブロックすることが難しくなります。
フィッシング キャンペーンは偽の Microsoft OneDrive エラー メッセージでユーザーをターゲットにするため、コラボレーションやデータ ストレージに Microsoft サービスを利用していた組織は特に脆弱です。疑いを持たない従業員が詐欺メールの指示に従うと、意図せず大規模なシステム侵害を引き起こす可能性があります。
Havocマルウェアから身を守る方法
Havoc が採用している高度な技術を考慮すると、誰もがサイバーセキュリティに対して積極的なアプローチを採用する必要があります。リスクを軽減するための主な対策は次のとおりです。
- ユーザーの意識向上とトレーニング: ClickFix やその他のソーシャル エンジニアリング手法を含むフィッシングの手口について従業員とユーザーを教育します。添付ファイルやコマンド実行の指示を含む迷惑メールに対して疑念を抱くように促します。
- 電子メールのセキュリティ対策:悪意のある添付ファイルがユーザーに届く前に捕捉してブロックする高度な電子メール フィルタリング ソリューションを実装します。
- エンドポイント保護: Havoc や同様のマルウェアに関連する異常な動作を識別して阻止できるエンドポイント検出および応答 (EDR) ソリューションを導入します。
- PowerShell の使用制限:実行ポリシーを適用し、署名されたスクリプトのみの実行を許可することで、PowerShell スクリプトの使用を制限します。
- ネットワーク監視:ネットワーク トラフィックを監視して、異常なアクティビティ、特に外部の SharePoint サーバーへの接続や異常な Microsoft Graph API のやり取りを検出します。
- 定期的な更新とパッチ適用:攻撃者が悪用できる脆弱性を減らすために、すべてのソフトウェアとシステムが最新であることを確認します。
最後に
Havoc マルウェアは、オープンソースのセキュリティ ツールが悪意のある活動に転用される傾向が高まっています。Microsoft Graph API や SharePoint などの信頼できるサービスを活用することで、攻撃者は効果的に操作を隠すことができ、検出がますます困難になります。サイバー脅威が高度化するにつれて、ユーザーは警戒を怠らず、進化する攻撃から身を守るために強力なセキュリティ対策を講じる必要があります。
Havoc がどのように動作するかを理解し、そのリスクを軽減するための積極的な措置を講じることで、個人や企業はこの新たなサイバーセキュリティの脅威から身を守ることができます。
