偽のZoom会議を装ったフィッシング詐欺が多発しています。資金の安全を確保するにはどうすればよいでしょうか？
原題：「百聞は一見に如かず | 偽のZoomミーティングフィッシングの分析」
原文出典：SlowMist Technology
編集者注：最近、暗号資産市場では偽のZoomミーティングリンクを使ったフィッシング事件が再び増加しています。まず、EurekaTradingの創設者であるKuan Sun氏が偽のミーティング招待状を誤って信じ、悪意のあるプラグインをインストールしたことで、1,300万ドル相当のフィッシング攻撃が発生しました。幸いなことに、Venus Protocolは緊急に業務を停止し、複数のセキュリティチームの支援を受けて、資金は無事に回収されました。
9月8日、暗号取引コミュニティFortune Collectiveの創設者であるAlexander Choi氏も、Platform Xのプライベートメッセージを通じて偽のプロジェクトと連絡を取ったことを明らかにした投稿を公開しました。会話中に、会議を装った不正なリンクを誤ってクリックし、約100万ドルの損失を出しました。
偽のZoom会議フィッシング攻撃はなぜそれほど成功しているのでしょうか？投資家はどのようにこれを回避できるのでしょうか？業界で有名なセキュリティ企業SlowMistは、2024年12月27日にこの記事を公開し、すべての人に資金を保護するよう呼びかけています。原文は以下の通りです。
背景
最近、Xの複数のユーザーから、Zoomミーティングリンクを装ったフィッシング攻撃が報告されました。被害者の1人は、悪意のあるZoomミーティングリンクをクリックした後にマルウェアをインストールし、暗号資産が盗まれました。被害額は数百万ドルに達しました。こうした状況を受け、SlowMistセキュリティチームは、このフィッシングインシデントと攻撃手法を分析し、ハッカーの資金の流れを追跡しました。
(https://x.com/lsp8940/status/1871350801270296709)
フィッシングリンク分析
ハッカーは「app[.]us4zoom[.]us」などのドメイン名を使用して、正規のZoomミーティングリンクを装っていました。これらのページは実際のZoomミーティングに酷似していました。ユーザーが「ミーティングを開始」ボタンをクリックすると、ローカルのZoomクライアントが起動する代わりに、悪意のあるインストールパッケージがダウンロードされました。
上記のドメインを調査した結果、ハッカーの監視ログアドレス（https[:]//app[.]us4zoom[.]us/error_log）が判明しました。
復号の結果、これはロシア語で書かれた、Telegram API経由でメッセージを送信しようとするスクリプトのログエントリであることが判明しました。
このサイトは27日前に展開されました。おそらくロシア人であるハッカーは、11月14日から被害者をターゲットにし始め、Telegram APIを監視して、フィッシングページのダウンロードボタンをクリックしたかどうかを確認していました。
マルウェア分析
悪意のあるインストールパッケージの名前は「ZoomApp_v.3.14.dmg」です。以下は、Zoomフィッシングソフトウェアが表示するインターフェースです。このソフトウェアは、ユーザーを騙してターミナルで「ZoomApp.file」という悪意のあるスクリプトを実行させ、ローカルパスワードの入力まで求めます。
以下は、悪意のあるファイルの実行内容です。
上記の内容をデコードしたところ、悪意のあるosascriptスクリプトであることが判明しました。
さらに分析を進めたところ、このスクリプトは「.ZoomApp」という隠し実行ファイルを検索し、ローカルで実行することが判明しました。元のインストールパッケージ「ZoomApp_v.3.14.dmg」のディスク分析により、インストールパッケージには実際に「.ZoomApp」という隠し実行ファイルが含まれていることが明らかになりました。
悪意のある動作の分析
静的分析
分析のためにバイナリ ファイルを脅威インテリジェンス プラットフォームにアップロードしたところ、悪意のあるファイルとしてマークされていたことがわかりました。
(https://www.virustotal.com/gui/file/e4b6285e183dd5e1c4e9eaf30cec886fd15293205e706855a48b30c890cbf5f2)
静的逆アセンブリ解析により、データの復号とスクリプト実行に使用されるバイナリファイルのエントリコードが以下の図に示されています。
次の図は、ほとんどの情報が暗号化されエンコードされているデータ部分を示しています。
データを復号化した後、バイナリ ファイルが最終的に悪意のある osascript スクリプトを実行したことが判明しました (完全な復号化コードは https://pastebin.com/qRYQ44xa で共有されています)。このスクリプトは、ユーザーのデバイスから情報を収集し、バックエンドに送信します。
次の図は、さまざまなプラグインの ID パス情報を列挙するコードの一部を示しています。
次の図は、コンピューターの KeyChain 情報を読み取るコードの一部を示しています。悪意のあるコードは、システム情報、ブラウザデータ、暗号化されたウォレットデータ、Telegramデータ、Notesデータ、Cookieデータを収集した後、圧縮してハッカーが管理するサーバー（141.98.9.20）に送信します。この悪意のあるプログラムは実行時にユーザーにパスワードを入力させ、その後に実行される悪意のあるスクリプトによってコンピューターからキーチェーンデータ（コンピューターに保存されている様々なパスワードが含まれている可能性があります）も収集するため、ハッカーはこのデータを復号化し、ユーザーのウォレットニーモニックや秘密鍵などの機密情報を取得して資産を盗もうとします。分析によると、ハッカーのサーバーのIPアドレスはオランダにあり、脅威インテリジェンスプラットフォームによって悪意のあるものとしてフラグ付けされています。
(https://www.virustotal.com/gui/ip-address/141.98.9.20)
動的分析
仮想環境で悪意のあるプログラムを動的に実行し、プロセスを分析します。次の図は、悪意のあるプログラムがローカルデータを収集し、バックグラウンドプロセスにデータを送信している監視情報を示しています。
MistTrack分析
このアドレス（0xb01c）からの送金対象の中から悪意があるとマークされたアドレスをフィルタリングしたところ、2つのフィッシングアドレスが見つかりました。そのうち1つはPink Drainerとマークされていました。これら2つのフィッシングアドレスをさらに分析したところ、資金は主にChangeNOWとMEXCに送金されたことが判明しました。
次に、盗難資金の流出を分析したところ、合計296.45 ETHが新しいアドレス0xdfe7c22a382600dcffdde2c51aaa73d788ebae95に送金されたことがわかりました。
新しいアドレス（0xdfe7）の最初のトランザクション時間は2023年7月で、複数のチェーンが関与しており、現在の残高は32.81 ETHです。
新しいアドレス（0xdfe7）の主なETH出金パスは次のとおりです。
· 200.79 ETH -> 0x19e0…5c98f
· 63.03 ETH -> 0x41a2…9c0b
· 8.44 ETH -> 15,720 USDTに交換
· 14.39 ETH -> Gate.io
上記の拡張アドレスからの後続の出金は、Bybit、Cryptomus.com、Swapspace、Gate.io、MEXCなどの複数のプラットフォームに関連付けられており、Angel Drainerおよびとしてマークされたプラットフォームにも関連付けられています。 MistTrackによる盗難。また、現在、アドレス0x3624169dfeeead9f3234c0ccd38c3b97cecafd01に99.96ETHが保管されています。
新しいアドレス（0xdfe7）には、多数のUSDT取引の痕跡が見られ、USDTはBinance、MEXC、FixedFloatなどのプラットフォームに送金されています。ここで説明されているフィッシング詐欺では、ハッカーが正規のZoomミーティングリンクを装い、ユーザーを騙してマルウェアをダウンロードさせ、実行させます。このマルウェアは通常、システム情報の収集、ブラウザデータの窃盗、暗号通貨ウォレット情報の取得など、複数の破壊的な機能を備えており、ハッカーが管理するサーバーに送信されます。この種の攻撃は、ソーシャルエンジニアリングとトロイの木馬攻撃を組み合わせたものであることが多く、不注意なユーザーが簡単に騙されてしまいます。SlowMistセキュリティチームは、ユーザーがミーティングリンクをクリックする前に慎重に確認すること、不明なソースからのソフトウェアやコマンドの実行を避けること、そしてウイルス対策ソフトウェアをインストールして定期的に更新することを推奨しています。セキュリティに関する詳しい知識については、SlowMistセキュリティチームが作成した「Blockchain Dark Forest Self-Guard Handbook」（https://github.com/slowmist/Blockchain-dark-forest-selfguard-handbook/blob/main/README_CN.md）をお読みになることをお勧めします。BlockBeats の公式コミュニティに参加しよう：
Telegram 公式チャンネル：https://t.me/theblockbeats
Telegram 交流グループ：https://t.me/BlockBeats_App
Twitter 公式アカウント：https://twitter.com/BlockBeatsAsia
関連記事
