BundleBot が Google チャットボットになりすます

BundleBot と呼ばれる新しい種類の悪意のあるソフトウェアが秘密裏に活動し、.NET の単一ファイル展開技術を悪用して、侵害されたホストから秘密裏に機密情報を取得しています。

Check Point が今週発表したレポートによると、BundleBot はドットネット バンドル (単一ファイル) 自己完結型形式を利用しているため、静的分析による検出は最小限、またはまったく行われません。このマルウェアは通常、Facebook 広告や侵害されたアカウントを通じて配布され、通常のプログラム ユーティリティ、AI ツール、またはゲームを装っています。

被害者を欺くように設計された詐欺 Web サイトの一部は、Google の会話型生成人工知能チャットボットである Google Bard をシミュレートしています。これらのサイトは被害者を誘い込み、Dropbox などの正規のクラウド ストレージ サービスでホストされている「Google_AI.rar」という名前の偽の RAR アーカイブをダウンロードさせます。

操作方法

解凍されると、アーカイブ ファイルには、.NET の単一ファイルの自己完結型アプリケーションである実行可能ファイル (「GoogleAI.exe」) が含まれています。この実行可能ファイルには、パスワードで保護された ZIP アーカイブを Google ドライブから取得する DLL ファイル (「GoogleAI.dll」) が含まれています。

ZIP ファイルの抽出されたコンテンツ (「ADSNEW-1.0.0.3.zip」) は、BundleBot ペイロード (「RiotClientServices.dll」) とコマンド アンド コントロール (C2) パケット データ シリアライザー (「LirarySharing.dll」) を組み込んだ別の .NET 単一ファイルの自己完結型アプリケーション (「RiotClientServices.exe」) です。

イスラエルのサイバーセキュリティ会社は、「RiotClientServices.dll」アセンブリはカスタムの新しいスティーラー/ボットであり、「LirarySharing.dll」ライブラリを利用して、ボット通信の一部としてC2サーバーに送信されるパケットデータを処理およびシリアル化すると説明しました。

分析を阻止するために、バイナリ アーティファクトはカスタムメイドの難読化コードとジャンク コードを使用します。これらは、Web ブラウザからデータを抽出し、スクリーンショットをキャプチャし、Discord トークンを取得し、Telegram から情報を抽出し、Facebook アカウントの詳細を収集する機能を備えています。

Check Point はまた、情報を ZIP アーカイブの形式でリモート サーバーに流出させるために HTTPS を使用する点を除いて、すべての点でほぼ同一である 2 番目の BundleBot サンプルも特定しました。

Check Point によると、攻撃者はこれまで Facebook 広告や侵害されたアカウントを利用してマルウェアを配信してきましたが、これと Facebook アカウント情報を盗むマルウェアを組み合わせることで「自立したルーチン」が生まれる可能性があるとのことです。