Bumblebee マルウェアが再登場：WebDAV サービスを悪用する新たなキャペーンを展開

Bumblebee malware returns in new attacks abusing WebDAV folders

2023/09/18 BleepingComputer — ２ヶ月ぶりに再登場した Bumblebee マルウェア・ローダーだが、4shared WebDAV サービスを悪用するという、新たな配布テクニックを用いている。WebDAV (Web Distributed Authoring and Versioning) とは、HTTP プロトコルの拡張機能であり、クライアントからリモート・オーサリング操作を実行し、Web サーバのコンテンツの作成／更新／削除などを可能にするものだ。Intel471 の研究者たちによると、2023年9月7日に開始された Bumblebee の最新キャンペーンは、4shared WebDAV サービスを悪用してローダーを配布し、攻撃チェーンを取り込むことで、いくつかの感染後アクションを実行していくという。

正規のファイル・ホスティング・サービス・プロバイダーである 4shared プラットフォームを悪用することで、Bumblebee オペレーターはブロック・リストを回避し、高度なインフラの有用性を享受できる。

それに加えて、WebDAV プロトコルが提供するものには、行動検知システムを迂回する複数の方法／合理化された配布／容易なペイロードの切り替えなどの利点がある。

スパムメール

現在の Bumblebee キャンペーンは、スキャンや請求書／通知の偽装で受信者を誘い、悪意の添付ファイルをダウンロードさせるマルスパム・メールに依存している。

ほとんどの添付ファイルは、Windows ショートカットの LNK ファイルだが、LNK ファイルを取り込んだ ZIP アーカイブもあるという。つまり、最も効果的な方法を判断するために、Bumblebee オペレーターによる実験が行われていると示唆される。

それらの LNK ファイルを開くと、被害者のマシン上で一連のコマンドが起動される。まず、4shared ストレージ・アカウントのハードコードされた認証情報を使用して、ネットワーク・ドライブに WebDAV フォルダがマウントされる。

4shared はファイル共有サイトであり、クラウドにファイルを保存し、WebDAV／FTP／SFTP を介してアクセスできる。以前に、このサービスは、著作権で保護されたコンテンツをホスティングしているとして、米国政府の 2016 Notorious Markets レポートに掲載されている。

その時にも Intel471 が、ファイル・コピーのマウント／デプロイに加えて、マウントされたドライブからのファイル実行などのコマンドセットに、いくつかのバリエーションがあることを発見している。ここでも、最適化が試行されたと思われる。

新しい Bumblebee

アナリストたちは、このキャンペーンで使用されている Bumblebee マルウェア・ローダーの、更新版も発見している。そこでは、Command and Control (C2) サーバ通信が、WebSocket プロトコルから TCP に切り替えられている。

さらに、新しいローダーでは、ハードコードされた C2 アドレスが放棄されている。現在では、実行時に DGA (Domain Generation Algorithm) が用いられ、”.life” TLD 空間上に 100個のドメインが生成される。

それらのドメインは、64 Bit の静的シード値を使用して生成され、アクティブな C2 サーバ IPアドレスを解決するものが見つかるまで、Bumblebee は作成されたリストを反復／接続する。

以前にも Bumblebee は、Conti や Akira などのランサムウェア・ペイロードの配布に関連しており、捉えどころのない配布チャネルを、効率よく採用するという心配な状況にある。

また、DGA が採用されたことで、Bumblebee のインフラをマッピングし、そのドメインをブロックして、オペレーションを効果的に妨害することが難しくなっている。つまり、このマルウェア・ローダーに対する予防措置を実施する上で、さらに複雑さが増している。

Wikipedia で WebDAV（Web-based Distributed Authoring and Versioning) を調べてみたら、HTTP を拡張したものであり、Web サーバ上でのファイル管理を目的とした、分散ファイル・システムを実現するプロトコルだと解説されていました。また、このブログ内を検索したところ、2022/07/07 の「QNAP 警告：新しいランサムウェア Checkmate が NAS を標的にしている」にも、ちょっとだけ登場しています。とても便利なプロトコルのようですが、だからこそ Bumblebee が狙うのでしょう。ご利用の方は、ご注意ください。