【ITニュース解説】Phishing Campaign Uses UpCrypter in Fake Voicemail Emails to Deliver RAT Payloads

ITニュース概要

偽のボイスメールや注文書を装う新たなフィッシング攻撃が確認された。メール内のURLから偽サイトに誘導し、「UpCrypter」という不正プログラムをダウンロードさせ、最終的に遠隔操作ウイルス（RAT）に感染させることを目的とする。

ITニュース解説

最近、サイバーセキュリティの研究者によって新たなサイバー攻撃キャンペーンが報告された。この攻撃は、偽のボイスメール通知や注文書を装った電子メールを使い、最終的に攻撃者がコンピュータを遠隔操作できるようにする悪意のあるソフトウェアを送り込むものである。この一連の攻撃で中心的な役割を果たすのが、「UpCrypter」と呼ばれる特殊なプログラムだ。ここでは、この攻撃キャンペーンの仕組みと、その背後にある技術的な要素を、システムエンジニアを目指す人にも理解できるように詳しく解説する。 攻撃の最初のステップは、多くの人が日常的に受け取るような電子メールを装うことから始まる。具体的には、「新しいボイスメールが届いています」といった通知や、業務に関連する「注文書」や「請求書」を偽装したメールが標的の受信箱に送られてくる。これは「フィッシング」と呼ばれる古典的だが非常に効果的な手法であり、人間の心理的な隙や業務上の注意力を逆手に取る「ソーシャルエンジニアリング」の一種である。多くの人は、自分に関係がありそうな件名のメールを無警戒に開いてしまう傾向がある。 メール本文には、詳細を確認するためのリンクが記載されている。受信者がこのリンクをクリックすると、攻撃者があらかじめ用意した偽のウェブサイト（フィッシングページ）に誘導される。このページは、正規のサービス（例えば、ボイスメールの再生ページやファイル共有サービス）と見分けがつかないほど巧妙に作られていることが多い。そして、ページ上では「ボイスメールを再生するには、このファイルをダウンロードしてください」といった指示が表示され、受信者に特定のファイルのダウンロードを促す。今回の攻撃でダウンロードさせられるのは、JavaScript形式のファイルである。JavaScriptは通常、ウェブページに動的な機能を追加するために使われるプログラミング言語だが、実行可能なスクリプトファイルとして単体で動作させることも可能であり、攻撃者はこれを悪用する。 受信者が騙されてJavaScriptファイルをダウンロードし、実行してしまうと、次の段階に進む。このファイルは、それ自体がコンピュータに直接的な大損害を与えるものではない。その代わりに、このファイルは「UpCrypter」と呼ばれる「マルウェアローダー」をコンピュータ内に呼び込み、実行する役割を担う。マルウェアローダーとは、その名の通り、他のマルウェアを「運び込み、設置する」ためのプログラムだ。攻撃者が最終目的のマルウェアを直接メールに添付したり、ダウンロードさせたりすると、アンチウイルスソフトなどのセキュリティ製品に検知されやすくなる。そこで、まず検知されにくい比較的小さなローダーを侵入させ、そのローダーを通じて本体のマルウェアを後から送り込むという、多段階の攻撃手法が取られるのだ。UpCrypterは、自身やこれからダウンロードするマルウェアのコードを暗号化するなどの機能を持っており、セキュリティ製品の監視の目をかいくぐる「検知回避」の能力に長けている。 UpCrypterがコンピュータ内での活動準備を終えると、いよいよ攻撃の最終段階に入る。UpCrypterは攻撃者のサーバーと通信を行い、最終的なペイロード、つまり攻撃の「弾頭」にあたるマルウェアをダウンロードして実行する。今回のキャンペーンでペイロードとして使用されるのは、「RAT（Remote Access Trojan）」、日本語では「リモートアクセス型トロイの木馬」と呼ばれる種類のマルウェアである。RATがコンピュータに感染すると、攻撃者はそのコンピュータに対して、遠隔からほぼ完全な制御権を掌握することができる。具体的には、キーボードの入力内容を盗み見てパスワードを窃取したり、ウェブカメラを起動して盗撮したり、保存されているファイルを盗み出したり、あるいはそのコンピュータを踏み台にして別のシステムへ攻撃を仕掛けたりと、あらゆる悪意のある操作が可能になる。ユーザーが気づかないうちに、自身のコンピュータが完全に乗っ取られてしまうのがRATの最も恐ろしい点だ。 この一連の攻撃の流れは、現代のサイバー攻撃がいかに巧妙で、多段階に構成されているかを示している。単にウイルス付きのメールを送るのではなく、「フィッシングメールによる誘導」「偽サイトでのファイルダウンロード」「検知回避能力を持つローダーの実行」「最終ペイロードの投下」という複数のステップを踏むことで、防御システムを突破しようと試みる。システムエンジニアとしては、このような攻撃の連鎖、いわゆる「サイバーキルチェーン」の各段階を理解し、それぞれに対応する防御策を講じることが極めて重要になる。例えば、メールゲートウェイで不審なリンクや添付ファイルをフィルタリングすること、エンドポイント（PCなどの端末）で不審なスクリプトの実行を監視・ブロックすること、そして万が一侵入された場合にRATの外部通信を検知・遮断するネットワーク監視などが挙げられる。しかし、最も重要なのは、攻撃の起点となる人間の行動である。従業員に対してフィッシングメールの見分け方や不審なファイルを安易に実行しないといったセキュリティ教育を徹底することが、技術的な対策と同じく、あるいはそれ以上に不可欠な防御策となる。攻撃者は常に新しい手口を開発し、システムの脆弱性だけでなく人間の心理的な脆弱性をも突いてくる。将来システムを守る立場になるエンジニアは、特定の技術だけでなく、こうした攻撃者の戦術全体を俯瞰し、多層的な視点で防御を考える能力を養う必要がある。