Windows「スマートフォン連携」を狙うマルウェア発見。OTP窃取につながる可能性
🤖 AI Summary
Cisco Talosは、Windows 10および11の「スマートフォン連携(Phone Link)」機能を狙ったマルウェア「CloudZ」のプラグイン「Pheno」による攻撃を発見しました。攻撃者は正体不明ですが、少なくとも2026年1月から活動していたことが確認されています。
攻撃の流れは以下の通りです:
1. 偽の「ScreenConnect」アプリのアップデート実行ファイルを通じて最初に侵入し、.NETローダーとして機能します。
2. テキストファイルに偽装されてシステム内にプログラムをドロップし、タスクスケジューラーを使用して永続化させます。
3. セキュリティツールや仮想マシン環境などをチェックし、分析を避けてからCloudZを実行します。
4. C2サーバーと接続するためのデータをダウンロード後、Phenoというプラグインをダウンロードして組み込みます。
Phenoはスマートフォン連携が動作しているかどうかを監視し、結果をC2サーバーに送信することが目的だったと考えられています。しかし、SMSやワンタイムパスワード(OTP)の窃取については確認されておらず、可能性としては存在するものとされています。
攻撃の流れは以下の通りです:
1. 偽の「ScreenConnect」アプリのアップデート実行ファイルを通じて最初に侵入し、.NETローダーとして機能します。
2. テキストファイルに偽装されてシステム内にプログラムをドロップし、タスクスケジューラーを使用して永続化させます。
3. セキュリティツールや仮想マシン環境などをチェックし、分析を避けてからCloudZを実行します。
4. C2サーバーと接続するためのデータをダウンロード後、Phenoというプラグインをダウンロードして組み込みます。
Phenoはスマートフォン連携が動作しているかどうかを監視し、結果をC2サーバーに送信することが目的だったと考えられています。しかし、SMSやワンタイムパスワード(OTP)の窃取については確認されておらず、可能性としては存在するものとされています。