BlueVoyant の一部門である Threat Fusion Center (TFC) は、法律事務所からの偽の請求書を使った「NaurLegal」フィッシング キャンペーンを発見しました。攻撃者は、マルウェアに感染した PDF ドキュメント、OneNote、または Excel ファイルを利用します。
攻撃者は法律事務所を装い、被害者が法律サービスプロバイダーに寄せている信頼を悪用します。このキャンペーンは「NaurLegal」と呼ばれ、攻撃はサイバー犯罪グループ Narwhal Spider (Storm-0302、TA544 としても知られる) によって組織化されたものと考えられています。
攻撃者は、悪意のある PDF ファイルを信頼できる法律事務所からの本物に見える請求書に偽装し、さまざまな業界で被害者をおびき寄せることを目的とした戦術です。 NaurLegal キャンペーンは、「Invoice_[番号]_from_[法律事務所名].pdf」のような、正当に見えるファイル名を持つ PDF ファイルを作成して送信することで、正当性を装います。この戦略は、日常のビジネス生活において法的文書を日常的に受け取るという受信者の期待を利用しています。このアプローチでは、受信者がマルウェアに感染したファイルを開いてしまう可能性が高くなります。
使用されたマルウェアの技術的な詳細
NaurLegal キャンペーン インフラストラクチャには WikiLoader に関連付けられたドメインが含まれており、その追跡活動はこのマルウェア ファミリとの関連を示唆しています。 WikiLoader は、次のような高度な難読化技術で知られています。 B. サンドボックス環境をバイパスするために、特定の文字列に対する Wikipedia の回答をチェックする。 Narwhal Spider は過去に WikiLoader を使用しており、このキャンペーンへの同グループの関与は、将来的に追加の破壊的なマルウェア ペイロードが展開される可能性があることを示唆しています。
Virus Total のレポートによると、IcedID がこのキャンペーンに関連するペイロードである可能性があります。さらに、このキャンペーンの C2 インフラストラクチャは、侵害された WordPress サイトのみに依存しているようです。これは、Narwhal Spider が使用するよく知られた戦術です。知的財産、企業戦略、個人情報など、攻撃対象の組織が管理するデータの機密性を考慮すると、侵入が成功するかどうかのリスクは特に高くなります。
脅威アクターはその範囲を拡大しています
過去には、Narwhal Spider の WikiLoader キャンペーンは主にイタリアの組織に焦点を当て、Microsoft Excel、OneNote、PDF ファイルなどのさまざまな電子メール添付ファイルを介してマルウェアを配布しました。しかし、NaurLegal キャンペーンは、こうした地理的に焦点を当てた攻撃とは一線を画し、代わりに訴訟に対処する可能性が高いより広範囲の組織をターゲットにしています。この戦略の変更は、Narwhal Spider の適応性と、さまざまな脆弱性やソーシャル エンジニアリング戦術を悪用する取り組みを浮き彫りにしています。
BlueVoyant の 2023 年のサプライ チェーン防御状況レポートによると、サプライ チェーンと信頼できるパートナー関係に対する攻撃は世界中で増加し続けています。 Narhwal Spider などの脅威アクターの活動の拡大により、この傾向はさらに強化されています。
推奨される保護措置
正規の法律事務所からの請求書を装ったマルウェアに感染した PDF ファイルの使用は、このキャンペーンの一環として実行された攻撃の重要な兆候です。セキュリティ チームは、異常に大量の PDF 形式の請求書、特に外部ソースから送信され、「Invoice_[番号]_from_[法律事務所名].pdf」というパターンで名前が付けられている請求書に注意する必要があります。 PDF 添付ファイルの悪意のあるコンテンツを分析できる最新の電子メール セキュリティ ソリューションを使用すると、これらの脅威を検出して封じ込めることができます。
受信メールのチェックに加えて、ネットワーク接続の監視も、このような攻撃を識別するための重要な方法です。このキャンペーンは、C2 通信に侵害された WordPress Web サイトに依存しており、異常なトラフィック パターンや WordPress Web サイトとの間のトラフィックの急増は感染の可能性を示している可能性があります。
詳細については、bluevoyant.com をご覧ください
ブルーヴォヤントについて
BlueVoyant は、内部および外部のサイバー防御機能を結果指向のクラウドベースのサイバーセキュリティ ソリューションに統合し、ネットワーク、エンドポイント、攻撃対象領域、サプライ チェーンに加え、クリア、ディープ、ダーク ウェブの脅威を継続的に監視します。包括的なサイバー防御製品とサービスは、脅威を迅速に特定、調査、修復して組織を保護します。