Facebookビジネスアカウントから情報を盗むインフォスティーラー型マルウェア『DUCKTAIL』を発見 - ウィズセキュア

コンピュータ・通信機器

ウィズセキュアは7月26日、Facebookの広告およびビジネスアカウントを利用する個人／企業をターゲットとして進行中の、『DUCKTAIL』と命名されたサイバー攻撃オペレーションを発見したと発表しました。ウィズセキュアでは収集データと分析に基づき、このオペレーションがベトナムのサイバー攻撃者によって行われていると強く確信しています。また、一連の証拠から、攻撃者の動機は金銭的なものであることが濃厚です。

先進的サイバーセキュリティテクノロジーのプロバイダーであるWithSecure (旧社名: F-Secure、本社: フィンランド・ヘルシンキ、CEO: Juhani Hintikka、日本法人: 東京都港区、以下、ウィズセキュア) は7月26日、Facebookの広告およびビジネスアカウントを利用する個人／企業を攻撃対象として進行中の、『DUCKTAIL』と命名されたサイバー攻撃オペレーションを発見したと発表しました。ウィズセキュアでは収集データと分析に基づき、このオペレーションがベトナムのサイバー攻撃者によって行われていると強く確信しています。また、一連の証拠から、攻撃者の動機は金銭的なものであることが濃厚です。

DUCKTAILは、Facebookビジネスアカウントを乗っ取るために特別に設計された機能を含むインフォスティーラー型マルウェアコンポーネントを利用しています。このような機能はウィズセキュアが知る限り初めてであり、DUCKTAILはこれまでのFacebookを主なターゲットとしたマルウェアとは一線を画しています。このマルウェアはブラウザのクッキーを盗み、認証されたFacebookのセッションを利用して、被害者のFacebookアカウントから情報を盗み、最終的には被害者がアクセスできるあらゆるFacebookビジネスアカウントを乗っ取るよう設計されています。DUCKTAILはまずLinkedIn内において、Facebookビジネスアカウントに高位のアクセス権 (特に管理者権限) を持つユーザーを探し、フィッシングを行います。

ウィズセキュアのリサーチ部門であるWithSecure Intelligence (略称: WithIntel) のリサーチャーであるMohammad Kazem Hassan Nejad (モハマッド・カゼム・ハッサン・ネジャッド) は、DUCKTAILの手法に関して次のように語っています。

「DUCKTAILを使用するサイバー攻撃者は、攻撃の成功率を高めるために少数のターゲットを慎重に選択し、気付かれにくくしようとしているようです。当社では、企業で管理職／デジタルマーケティング／デジタルメディア／人事などの役割を担う人々がターゲットになっていることを確認しています。」

発見当初、DUCKTAILは未知のマルウェアとされましたが、ウィズセキュアがDUCKTAILの動向の追跡と分析を行ったところ、攻撃者が2021年後半からDUCKTAILと連携したマルウェアの開発／配布を行っていることが判明しました。DUCKTAILのオペレーションは、その後もマルウェアの更新と配布を続け、実装された他の機能とともに、既存のまたは新しいFacebookのセキュリティ機能をバイパスする能力を向上させようとしています。

ウィズセキュアでは自社のEPP (エンドポイント保護プラットフォーム) やEDR (エンドポイントでの検知と対応) ソリューションにおいて、静的および振る舞い検知シグネチャ、攻撃ライフサイクルの複数のステージに対する検知機能を備えていますが、Mohammad Kazem Hassan Nejadはユーザーが被害者にならないためには強い警戒心を持つことが重要であると述べています。

「多くのスピアフィッシングキャンペーンはLinkedInのユーザーをターゲットとしています。企業のソーシャルメディアアカウントに管理者としてアクセスできる立場にあるならば、ソーシャルメディアプラットフォームで他者と交流する際、特に見知らぬユーザーから添付ファイルやリンクが送られてきた場合には、細心の注意を払って対応することが重要です。」

ソーシャルネットワークやメディアプラットフォームの利用は、引き続き上昇傾向にあります。そうした人気に乗じて、サイバー犯罪者はマルウェアの配布／窃盗／情報操作／詐欺など、これらのプラットフォームを悪用して利益を得る方法を探しています。FacebookのようなSNSを標的としたマルウェアは、SNSのプラットフォームが実装しているセキュリティメカニズムにより、これまではあまり見られないケースでした。しかし、Facebook は、その広範な活動範囲とユーザベースから、攻撃者にとっては格好の攻撃ベクトルとなっています。

ウィズセキュアはDUCKTAILの調査レポートの公開前に、その内容をFacebookの運営会社であるMeta社と共有しています。DUCKTAILに関するレポート (MITREのフレームワークを用いた攻撃の概要を含む) は、以下のページよりご覧いただけます。

https://www.withsecure.com/content/dam/with-secure/ja/resources/20220726_WithSecure_Ducktail_Report_JP.pdf

WithSecure Webサイト:

https://www.withsecure.com/jp-ja/

WithSecureプレスページ:

https://www.withsecure.com/jp-ja/whats-new/pressroom

メディア関係者の方はこちら

新規メディア登録はこちら

メディア専用ログインはこちら

ログインするとメディアの方限定で公開されている
お問い合わせ先や情報がご覧いただけます