大学総長を装うフィッシング攻撃、正規のZoho Assistを悪用して遠隔アクセスを確保

大学総長や学長を装いZoho Assistのインストールを誘導

最近確認されたフィッシング攻撃では、大学の総長や学長を装ったメールを送り、成績に関する不正行為が確認されたとする偽の警告を受信者に通知する手口が用いられている。攻撃者は大学関係者から送信された正規の通知であるかのように見せかけ、受信者を誘導してリモートアクセスツール「Zoho Assist」をインストールさせようとする。

Zoho Assistは正規のリモートサポートツールだが、今回の攻撃では実際には存在しない不正行為への対応を名目にインストールを促し、攻撃者が対象のシステムへアクセスするために悪用されている。さらに、確保したリモートアクセスを利用して追加のマルウェアを展開するなど、感染を進めるための手段として使用される。

この攻撃では、大学や教育病院などの教育・医療関連組織が主な標的となっており、組織内で信頼されやすい大学幹部を装うことで受信者を誘導する点が特徴となっている。

正規のZoho Assistを遠隔アクセスに悪用

今回の攻撃では、正規のリモートサポートツール「Zoho Assist」が悪用されている。攻撃者はフィッシングメールからGoogle Driveのリンクへ受信者を誘導し、Zoho Assistをダウンロード・実行するよう促す。これにより対象端末へのリモートアクセスを確保し、画面操作やファイル転送などの正規機能を悪用して、機密情報への不正アクセスや追加のマルウェア展開につなげる。

Zoho Assistによるリモートアクセスを確保した攻撃者は、感染端末を遠隔操作できるほか、追加のペイロードを転送・実行することも可能となる。こうしたアクセスは、ランサムウェアを含む別のマルウェアを展開する経路として悪用される可能性もある。また、Google Driveなどの正規サービスを配布経路に利用することで、悪意のある通信やファイルとして識別されにくくなる場合がある。

フィッシングメールでは実在する大学のドメインや署名を偽装し、正規の大学関係者から送信された通知であるかのように見せかけている。AIを利用したポリモーフィックフィッシングの可能性も指摘されているが、攻撃への具体的な利用については慎重な確認が必要となる。攻撃自体は比較的単純な構成ながら、正規サービスや実在する組織の情報を組み合わせることで、一部のメールセキュリティによる検知を回避する可能性がある。

新規登録ドメインとクラウドサービスを攻撃に利用

攻撃者は新規登録ドメインを攻撃インフラとして利用するほか、Google Driveなどの正規クラウドサービスをマルウェアの配布経路として悪用している。こうしたサービスからの通信やダウンロードは正規のトラフィックと区別しにくい場合があり、URLやドメインだけに依存した検知では攻撃を見逃す可能性がある。

対策としては、新規登録ドメインへのアクセスやGoogle Driveなどのクラウドサービスを経由した不審なファイルのダウンロードを監視し、その後に実行されるプロセスや外部通信と組み合わせて確認することが検知の手掛かりとなる。また、Zoho Assistなどのリモートアクセスツールが組織内で許可なく導入・実行されていないかを確認することも、同様の攻撃を特定する上で有効となる。