ラテンアメリカの金融機関を狙うHVNCバックドア、DocuSign通知と偽の税務文書を悪用
HVNCバックドア、ラテンアメリカの金融機関を標的に
ラテンアメリカの金融機関や銀行を標的とするHVNCバックドア攻撃が確認された。攻撃では、偽の税務文書やDocuSignに関連する誘導を利用し、正規のビジネス文書を装って標的にマルウェアを実行させる手口が用いられている。感染後はHVNCバックドアを通じてシステムを継続的に遠隔操作し、機密データへアクセスできる状態を確保する。
多段階の攻撃でHVNCを展開、AV・EDRの検知回避も
この攻撃キャンペーンでは、DocuSignの通知や偽のNFe税務文書を誘導に利用し、複数の段階を経てHVNCバックドアを展開する。初期段階ではユーザーをDocuSignのページへ誘導し、その過程でシステム環境を確認して攻撃対象を選別する。その後、ユーザーがファイルをダウンロードすると、ファイルから隠されたPowerShellスクリプトが実行され、追加の悪意あるペイロードがダウンロード・実行される。
マルウェアはFirefoxのCookieや閲覧履歴を収集するほか、キー入力を監視する機能を備えており、認証情報などの窃取につながる可能性がある。また、HVNC（Hidden Virtual Network Computing）機能を利用して、ユーザーから見えないデスクトップ上で感染端末を遠隔操作し、継続的なアクセスを確保する。
さらに、攻撃コードをWindowsのスタートアップフォルダに登録することで、システムの再起動後も実行されるよう永続化する。20種類以上のAV・EDR関連プロセスを識別し、検出されているセキュリティ製品に応じて動作を調整する機能も備えている。加えて、C2サーバーとの接続が切断された場合には繰り返し再接続を試み、感染端末への継続的なアクセスを維持する。
金融機関では関連する攻撃インフラの監視が重要に
このキャンペーンは金銭的利益を目的としており、ラテンアメリカの金融機関や金融サービス事業者を主な標的としている。攻撃では税務文書や業務上の通知を装った誘導が利用されるため、不審なファイルやURLを隔離された環境で分析し、関連する通信や挙動を確認することが対策となる。
また、個別の不審なファイルやURLだけでなく、キャンペーンに関連するドメインやC2サーバーなどのインフラを脅威インテリジェンスと組み合わせて監視することで、同一の攻撃活動を早期に特定できる可能性がある。フィッシング対策や内部のセキュリティポリシーについても、今回確認された攻撃手法を踏まえて見直すことが求められる。
