Bumblebee SEOポイズニングの痕跡をDNSから探し出す

オンライン広告が全て同じように作られているわけではありません。中には偽装したマルウェアもあります。Bumblebeeの場合は、ソフトウェアのインストーラーを装う毒入り広告でした。¹ 

Secureworksが先般、BumblebeeのSEOポイズニング攻撃に関する調査結果とともに31のIoCを公表しました。WhoisXML APIのリサーチチームはそのIoCリストをもとに分析を深め、さらに多くの潜在的な脅威ベクトルを洗い出しました。この分析の結果、以下が明らかになりました。

• IoCと同じIPホストを使用していた18個のドメイン名。そのうち2個は悪意あるドメイン名と確認
• IoCとして特定されたドメイン名の一つと同様のappciscoという文字列と、脅威アクターが悪用したソフトウェアの名前を表すcisco、chatgpt、zoom、citrixという文字列を含む1,900超のドメイン名。そのうち3つはマルウェアホストであることが判明

脅威リサーチ資料のサンプルをこのページでダウンロードできます。調査資料一式をご希望のお客様は、こちらまでお気軽にお問い合わせください。

—

• [1] https://www.secureworks.com/blog/bumblebee-malware-distributed-via-trojanized-installer-downloads