間違った「PDF」ファイルを開くと、攻撃者があなたのPCにリモートアクセスできるようになります。 Malwarebytes

DEAD#VAXと呼ばれるキャンペーンの背後にいるサイバー犯罪者たちは、通常のPDF文書を装った仮想ハードディスク内にマルウェアを送り込むことで、フィッシングをさらに一歩進めている。間違った「請求書」や「発注書」を開いても、文書は何も表示されない。代わりに、 Windows 仮想ドライブをマウントし、そこにAsyncRATというバックドア型トロイの木馬を密かにインストールします。これにより、攻撃者はコンピュータを遠隔で監視および制御できるようになります。

これはリモートアクセスツールであり、攻撃者がキーボード操作を遠隔で制御できることを意味します。一方、従来のファイルベースの防御策では、ディスク上に不審な痕跡がほとんど検出されません。

高水準の視点から見ると、感染の連鎖は長いものの、各ステップは単独では十分に正当に見えるため、大まかなチェックをすり抜ける。

被害者は、日常的な業務連絡を装ったフィッシングメールを受け取ります。多くの場合、発注書や請求書に言及し、時には実在する企業を装っています。メールには直接文書が添付されていません。代わりに、IPFS（InterPlanetary File System）上にホストされたファイルへのリンクが記載されています。IPFSは分散型ストレージネットワークであり、コンテンツの削除が困難で通常のウェブゲートウェイ経由でアクセス可能なため、フィッシングキャンペーンで悪用されるケースが増加しています。

リンクされたファイルはPDFという名前でPDFアイコンが付いていますが、実際には仮想ハードディスク（VHD）ファイルです。ユーザーがそれをダブルクリックすると、 Windows ドキュメントビューアを開く代わりに、新しいドライブ（例えば、ドライブE:）としてマウントします。VHDのマウントは全く正当な行為です。 Windows この行動は、このステップが警鐘を鳴らす可能性を低くする。

マウントされたドライブの中には、予想通りの文書のように見えるものがありますが、実際はWindows スクリプトファイル（WSF）。ユーザーがそれを開くと、 Windows PDFを表示する代わりに、ファイル内のコードを実行します。

分析や検出を回避するためのいくつかのチェックの後、スクリプトはペイロード（AsyncRATシェルコード）を、信頼されたMicrosoft署名付きプロセス（例： RuntimeBroker.exe, OneDrive.exe, taskhostw.exeあるいは sihost.exeマルウェアは実際の実行可能ファイルをディスクに書き込むことは決してない。正当なプロセス内部のメモリ上でのみ存在し動作するため、検出が困難となり、最終的にはフォレンジック調査もはるかに難しくなる。また、注目を集める可能性のある活動量やメモリ使用量の急激な増加も回避する。

個人ユーザーがこのフィッシングメールに騙されると、以下の結果を招く可能性があります：

Theft メール、銀行取引、ソーシャルメディアなど、保存済みおよび入力済みのパスワード。
システムから直接取得した機密文書、写真、その他の機微なファイルの漏洩。
定期的なスクリーンショットによる監視、または設定されている場合はウェブカメラによるキャプチャ。
当該マシンを足掛かりとして、同一の家庭内またはオフィスネットワーク上の他のデバイスを攻撃すること。

安全に過ごすには

検出が困難な場合があるため、ユーザーが特定の確認を適用することが極めて重要です：

信頼できる情報源で正当性を確認するまで、メールの添付ファイルを開かないでください。
実際のものが確認できることを確認してくださいファイル拡張子。残念ながら、 Windows ユーザーがそれらを非表示にできるようにします。したがって、実際にはファイルは次のように呼ばれます invoice.pdf.vhd ユーザーには表示されない invoice.pdfその方法については、以下を参照してください。
メモリ内に潜伏するマルウェアを検出できる、最新のリアルタイムマルウェア対策ソリューションを使用してください。