メキシコ企業狙うTimbreStealer、DLLサイドローディングで検知回避

CFDIを装うフィッシングで配布、大容量DLLを使い解析を回避

メキシコ企業を標的とするマルウェアTimbreStealerが確認された。研究者のEuler Neto氏とCristóbal Tárraga氏によると、このマルウェアはDLLサイドローディングを悪用して検知を回避しており、msedgeupdate.dllやgoopdate.dllに偽装した異常に大きなDLLファイルを使用する点が特徴とされる。

このキャンペーンでは、メキシコの税務書類であるCFDIを装ったフィッシングメールが使われている。ユーザーはDigitalOceanのIP上でホストされたZIPアーカイブへ誘導され、正規の更新用バイナリとともに、45〜50MB規模の悪意あるDLLをダウンロードさせられる。マルウェアDLLは27のセクションを持ち、逆解析対策も施されているため、分析や検知を困難にする複雑な構造を備えている。

メキシコ環境でのみ動作、ブラウザデータの窃取を試みる

TimbreStealerは実行前にシステム環境を確認し、メキシコに関連する環境であると判断した場合にのみ動作を開始する。この地域確認により、セキュリティ研究者による解析や追跡を困難にしているとみられる。

起動後は、ブラウザに保存されたユーザーデータを標的に情報収集を試みる。主な対象は、Google Chrome、Microsoft Edge、Firefoxのプロファイルやクラウド同期フォルダーであり、SQLクエリを使ってデータを抽出したうえで、送信前にデータベースを再構築する仕組みを備えている。

また、この攻撃は信頼性のあるクラウドホスティング環境や正規のソフトウェア更新を装うことで、検知を回避しようとする点も特徴だ。セキュリティ担当者は、異常に大きなDLLファイル、税務関連の名称を持つファイル、ブラウザデータベースへの不審なアクセスを継続的に監視する必要がある。こうした対策は、金融関連データへの不正アクセスを防ぐうえで重要となる。