偽DocuSignと偽Gitcodeサイト、マルチステージPowerShell攻撃でNetSupport RATを拡散

記事本文（要約）

新たな脅威キャンペーンが発見され、トリックウェブサイトを利用してユーザーに悪意のあるPowerShellスクリプトを実行させ、NetSupport RATマルウェアに感染させる手口が明らかになりました。DomainTools Investigations (DTI) チームによると、GitcodeやDocuSignを装った疑わしいサイト上に「悪意のあるマルチステージダウンローダーPowerShellスクリプト」がホストされています。これらのサイトはユーザーを騙して、Windowsの実行コマンドにPowerShellスクリプトをコピーし実行させ、最終的にはNetSupport RATをインストールするようになっています。誘導はメールやソーシャルメディアを通じて行われている可能性があります。また、これらのスクリプトはCAPTCHA認証を欺いて実行される手法も使用されています。複数段階のスクリプトを使うことで、検出やセキュリティ調査から逃れようとしていると考えられています。現在、このキャンペーンの背後にいる人物やグループは特定されていないものの、SOCGholishキャンペーンと類似の手口が確認されました。NetSupport Managerは正当な管理ツールですが、複数の脅威グループにRATとして悪用されています。

※この要約はChatGPTを使用して生成されました。

公開日: Tue, 03 Jun 2025 20:30:00 +0530

Original URL: https://thehackernews.com/2025/06/fake-docusign-gitcode-sites-spread.html

詳細な技術情報

この文章は脅威のキャンペーンについての詳細を説明しており、詐欺的なWebサイトを利用して、ユーザーに悪意のあるPowerShellスクリプトを実行させ、最終的にNetSupport RAT（Remote Access Trojan）マルウェアを感染させる手口を解説しています。以下に、この脅威に関連するセキュリティの詳細をまとめます。

CVE番号

直接的なCVE番号はこの説明には含まれていませんが、関連する脆弱性については、最新のCVEデータベースを確認することをお勧めします。

脆弱性の仕組み

誤誘導の仕組み：ユーザーを偽のWebサイトに誘導して、悪意のあるPowerShellスクリプトを実行させます。
多段階ダウンローダ：最初のPowerShellスクリプトは、更に別のスクリプトをダウンロードし、それが追加のペイロードを取得して実行します。
偽装Webサイト：これらはGitcodeやDocuSignの偽サイトを装っており、CAPTCHAを用いたクリックジャックでユーザーを騙します。

攻撃手法

ソーシャルエンジニアリング：ユーザーを騙して偽サイトに案内し、CAPTCHA確認を通じてPowerShellスクリプトを実行させる。
クリップボードポイズニング：CAPTCHAを通過した際、ユーザーのクリップボードに悪意のあるスクリプトをコピーさせ、WindowsのRunコマンドで実行させます。
多段階インストール：初期スクリプトが中間スクリプトをダウンロードし、最終的にNetSupport RATをインストールします。