Sectigo証明書悪用、SmartScreen回避した偽RVTools配布を確認

Sectigo証明書悪用、SmartScreen回避した偽RVTools配布を確認

悪意のあるRVToolsインストーラーが、正規に発行されたSectigoのコード署名証明書を利用してMicrosoft Defender SmartScreenを回避する事例が確認された。攻撃では、「Xiamen Lunwei Huage Network Co., Ltd.」名義で発行された証明書によりデジタル署名された実行ファイルが使用されていた。

分析によると、攻撃者は信頼された発行元を装ったファイルを配布し、被害環境へマルウェアを展開していた。このインストーラーにはトロイの木馬化されたコンポーネントが含まれており、後続のペイロード実行を目的とした構成が確認されている。

また、攻撃チェーンでは、Pythonベースの多段階構造を持つリモートアクセス型トロイの木馬（RAT）が利用されており、VMware環境を含む企業ネットワークを対象とした活動が報告されている。

署名済みインストーラーを利用した配布手法

今回確認されたインストーラーは、有効なコード署名証明書を利用することで、Microsoft SmartScreenや一部EDR製品における初期信頼判定の対象となる構成を採用していた。

分析によると、攻撃者は正規ソフトウェアを装ったインストーラーパッケージを利用し、利用者が署名情報や発行元情報を確認して実行することを想定した配布手法を用いていた。

また、インストール画面では、正規ソフトウェアに類似したライセンス確認ダイアログやパッケージ実行画面が表示される構成が確認されている。これにより、通常のソフトウェア導入プロセスに見える形で実行が行われるケースが報告されている。

VBScriptとPowerShellを利用したペイロード展開

Windows環境で動作する悪性RVToolsインストーラーでは、VBScriptを利用した実行フローが確認されている。分析によると、スクリプトは後続ペイロードの展開を目的として利用されていた。

難読化されたVBScriptはPowerShellを実行し、Dropbox上に保存された約30〜33MBのアーカイブファイルを %AppData% ディレクトリへダウンロードする構成となっている。取得されたファイルは、開発ツールや関連コンポーネントを装った形式で配置されるケースが確認されている。

その後、展開されたPythonスクリプトは、ドメイン情報やユーザー情報などのシステム情報を収集する。また、外部のコマンド＆コントロール（C2）サーバーとの通信に必要な処理を実行する構成も確認されている。

難読化とデータ送信機能を備えた攻撃フロー

分析によると、本件で使用されたスクリプトには、PowerShell実行や追加プロセスの起動を含む複数の処理が組み込まれている。これらは後続ペイロードの実行やシステム情報収集を目的とした構成となっている。

また、収集されたデータは難読化や暗号化処理を経て外部へ送信される仕組みが確認されている。攻撃チェーン全体では、コード署名済みインストーラー、VBScript、PowerShell、Pythonスクリプトなど複数の要素が組み合わせて利用されていた。

今回の事例では、Sectigo発行のコード署名証明書を利用したファイルが配布に使用されていた。分析では、正規の証明書と悪性ペイロードを組み合わせた攻撃手法が確認されている。

また、攻撃対象にはVMware環境を利用する組織も含まれており、RVToolsを装ったインストーラーを利用した配布活動が報告されている。本件は、コード署名証明書を利用したマルウェア配布事例の一つとして分析されている。