LNKファイルとMSHTAを介してPowerShellベースの攻撃で配信されるファイルレスのRemcos RAT

記事本文（要約）

サイバーセキュリティの研究者は、PowerShellベースのシェルコードローダーを利用してリモートアクセス型トロイの木馬「Remcos RAT」を展開する新たなマルウェアキャンペーンを明らかにしました。攻撃者は、ZIPアーカイブ内に埋め込まれた悪意あるLNKファイルを使用し、mshta.exeを介してHTMLアプリケーションを実行し、最終的にRemcos RATをメモリ内で起動します。このRATはキーストロークの記録、画面キャプチャ、システムメタデータの収集など多様な機能を持ち、C2サーバー「readysteaurants[.]com」とのTLS接続を確立します。

こうした攻撃は従来のセキュリティ対策を回避するため、ファイルレスでメモリ内で実行する点が特徴です。Palo Alto Networksの報告では、ステガノグラフィー技術を利用してマルウェアペイロードを隠蔽する.NETローダーが説明され、KeePassに関連するクレデンシャル盗難の手口や、AIを使ったポリモーフィックフィッシングキャンペーンの増加が報告されています。これにより、攻撃者は伝統的なメールフィルターを回避し、攻撃規模を拡大し、ターゲットメッセージを高度に個別化する能力を得ています。

※この要約はChatGPTを使用して生成されました。

公開日: Fri, 16 May 2025 13:26:00 +0530

Original URL: https://thehackernews.com/2025/05/fileless-remcos-rat-delivered-via-lnk.html

詳細な技術情報

以下は、提供された文章からの重要な情報の分析です。

脆弱性と攻撃手法

CVE番号: 提供された文章には、具体的なCVE番号は言及されていませんが、Remcos RAT自体や関連の手法が過去にCVEで登録されている可能性があります。Remcos RATやその展開に利用される技術に関する詳細を調査する必要があります。
脆弱性の仕組み: 攻撃者は、LNKファイルを含むZIPアーカイブを配布し、標的のユーザーに開かせています。LNKファイルは、正当なmshta.exeを利用してHTAファイルを実行し、これによってPowerShellスクリプトが実行され、さらにシェルコードローダを呼び出してRemcos RATを展開します。この一連の手法は「ファイルレス」マルウェア技術と呼ばれ、ディスク上に痕跡をほとんど残さずにメモリ上で直接動作します。
攻撃手法:
マルウェアキャンペーンは、税関連の誘惑でユーザーを騙して悪意のあるZIPアーカイブを開かせる手口を採用。
mshta.exeを利用したプロキシ実行により、オブスクレートされたHTAファイルを実行。
PowerShellスクリプトを用いたシェルコードローダーのデコードと実行。
TLS接続を利用したC2サーバーへのデータの送信とリモートコントロールの維持。

潜在的な影響

システム制御の奪取: Remcos RATは、システム上でフルコントロールを提供し、サイバー諜報やデータ漏洩を可能にします。
データの窃取と監視: キーロギング、スクリーンショット、クリップボードデータの監視、インストール済みプログラムのリスト取得など、詳細なシステム情報を収集します。
持続性: Windowsレジストリの修正により、システム起動時の自動実行が設定され、持続性を確保します。