CVE-2023-38831 - WinRARファイル拡張子スプーフィングの脆弱性
説明
サイバー犯罪者は、ファイル拡張子をスプーフィングできる脆弱性を悪用しています。これは、.jpg や .txt などの一般的なファイルタイプを装ったアーカイブ内に、悪意のあるスクリプトの起動を隠すことができることを意味します。この脆弱性はRARLABとMITRE Corporationの両方に報告され、後者が識別子CVE-2023-38831を割り当てました。特筆すべきは、サイバー犯罪者がZIPアーカイブを使用して、DarkMe、GuLoader、Remcos RATなどのさまざまなマルウェアファミリーを配信していることです。
影響:
- トレーダー向けの専門フォーラムを通じて配布され、現在130台のトレーダーのデバイスが感染していることが判明しています。
- 感染したデバイスの総数は依然として不明ですが、サイバー犯罪者はブローカー口座から資金を引き出し続けています。
- サイバー犯罪者は、NSFOCUSが説明するDarkCasinoキャンペーンで以前使用されたツールを配布するために、この脆弱性を悪用しています。
Microsoft Defender for Endpoint (MDE) 向けKQLクエリ
このKQLクエリは、Microsoft Defender for Endpoint (MDE)での使用に特化して設計されています。クエリで使用される主要なテーブルは DeviceFileEvents です。
KQL検索結果の解釈
- Timestamp: イベントが発生した日時。
- DeviceName: イベントが記録されたデバイスの名前。
- Filename with extension: ファイルの実際の名前。
- Shown File Name: ユーザーに表示されるファイル名（スプーフィングされた可能性のある名前）。
- FolderPath: ファイルのパス。
- SHA256: ファイルのハッシュ。
- Known Hash?: ファイルのハッシュが既知の悪意のあるハッシュと一致するかどうかを示します。
- User Account: プロセスを開始したアカウント。
情報源と謝辞
注意事項
- このKQLクエリは基本的なものであり、悪意のある活動の包括的な検出を保証するものではありません。進化する脅威に基づいて検索条件を継続的に改善および拡張することが重要です。
- クエリで使用されるハッシュ値は特定のサイト (https://www.group-ib.com/blog/cve-2023-38831-winrar-zero-day/) から取得されており、完全なアーカイブに関連することがよくあります。したがって、「Known Hash?」列は注意して扱う必要があります。
- このクエリの結果が侵害を保証するものではないことを理解することが重要です。同様の結果を生み出す可能性のある正当なビジネス利用事例が存在するかもしれません。常に、ご自身の環境のコンテキストで調査結果を調査し、解釈してください。
免責事項
提供されるすべての情報は、いかなる保証もなく「現状のまま」提供されます。この情報および提供されたクエリの使用は、すべて自己の責任において行ってください。
pascalasch/cve-2023-38831-kql
