「PavinLoader」、ClickFixや偽のソフトウェアサイトからAmatera Stealerなどを配布
PavinLoader、ClickFixや偽のソフトウェアサイトを通じて拡散
PavinLoaderは、RenPyを悪用したキャンペーンで最初に確認された多段階型のマルウェアローダーで、最近では複数の悪意あるキャンペーンで活動が確認されている。主にClickFix攻撃や偽のソフトウェアダウンロードサイトを通じて配布され、.NET DLL、MSBuild、.csproj、.batファイルなどを組み合わせた攻撃チェーンを利用して、感染端末に追加のマルウェアを展開する。
PavinLoaderは、強く難読化された.NET DLLに加え、ブロックチェーンを利用してC2情報を隠蔽する「EtherHiding」手法を採用している。複数のステージを経て後続のペイロードをダウンロードすることで、初期段階の活動や最終的なペイロードの検知を困難にする。感染に成功すると、「Amatera Stealer」などの情報窃取型マルウェアを展開するケースが確認されている。
攻撃チェーンでは、改変された.NET関連ファイルとWindowsの正規ツールを組み合わせてコードを実行する手法も使用される。こうした構成により、PavinLoaderは自身が情報を窃取するのではなく、侵害したシステムにインフォスティーラーなどの追加ペイロードを送り込むローダーとして機能する。
EtherHidingと正規ツールを組み合わせて検知を回避
PavinLoaderは、MSBuildや.csproj、.batファイルなどを組み合わせた攻撃チェーンを継続的に利用している。C2通信では「EtherHiding」手法を採用し、ブロックチェーン上のデータからC2ドメインの情報を取得することで、攻撃インフラの特定や遮断を困難にする。取得したC2情報を利用して後続のペイロードをダウンロードし、感染したシステムで追加の悪意ある活動を実行する。
PavinLoaderの主な配布経路としては、ClickFixを利用したソーシャルエンジニアリングや、正規ソフトウェアを装った偽のダウンロードサイトが確認されている。攻撃者はユーザー自身に不審なファイルやコマンドを実行させるほか、PowerShellスクリプトやMSIインストーラなどを利用してローダーDLLをシステム上で実行する。
また、キャンペーンではPowerShellスクリプトや難読化されたコードなどが継続的に変更されており、攻撃チェーンの構成にも変化が確認されている。そのため、特定のファイルやIOCだけに依存するのではなく、PowerShellやMSBuildの不審な実行、ClickFixに関連するコマンド実行、通常とは異なるブロックチェーン経由の通信など、一連の挙動を監視することが重要となる。
Loader-as-a-Serviceとして提供されている可能性も
PavinLoaderは複数のキャンペーンで共通して使用されていることから、Loader-as-a-Service（LaaS）として複数の攻撃者に提供されている可能性が指摘されている。VirusTotalではPavinLoaderに関連する200件以上のファイルが確認されているほか、攻撃に使用されたPowerShellスクリプトには利用者向けとみられるコメントも残されており、複数の攻撃者による利用を想定して開発された可能性を示す要素となっている。ただし、現時点ではPavinLoaderが実際にサービスとして販売・提供されていることを示す具体的な流通経路や販売方法は確認されていない。
PavinLoaderを利用するキャンペーンでは、ClickFixや偽のソフトウェアダウンロードサイトによる誘導に加え、PowerShellやMSBuildなどWindowsの正規機能を利用した実行、EtherHidingによるC2情報の取得など、複数の手法が組み合わされている。対策では既知のIoCだけでなく、不審なPowerShellやMSBuildの実行、通常とは異なるネットワーク通信、追加ペイロードのダウンロードといった一連の挙動を監視することが重要となる。
