DocuSignフィッシング攻撃の増大する脅威（2024年）

Blog/Cloud/2024年4月12日DocuSignフィッシング攻撃の増大する脅威Cado Security Labs（現Darktrace傘下）は、テクノロジー業界のエグゼクティブを標的としたDocuSignの標的型フィッシングキャンペーンを特定しました。攻撃者は侵害された日本のビジネスメールと、認証情報窃盗サイトにリダイレクトする悪意のあるリンクを利用しています。このキャンペーンは、難読化されたJavaScriptを使用して正規のログインページを模倣し、BEC詐欺などのさらなる攻撃のための認証情報を盗むことを目的としています。 Tara Gould（マルウェアリサーチリード）執筆Inside the SOCDarktraceのサイバーアナリストは、脅威インテリジェンス、脅威ハンティング、インシデント対応における世界クラスのエキスパートであり、世界中の数千のDarktrace顧客に24時間365日のSOCサポートを提供しています。Inside the SOCは、これらのエキスパートのみが執筆し、現場での実体験に基づいたサイバーインシデントおよび脅威トレンドの分析を提供しています。 Tara Gould（マルウェアリサーチリード）執筆共有12Apr 2024はじめに：DocuSignフィッシング攻撃Cado Security Labs（現Darktrace傘下）の研究者たちは、テクノロジー業界のエグゼクティブを標的とした最近のDocuSignの標的型フィッシングメールキャンペーンを特定しました。DocuSignメールフィッシングとは、悪意のある攻撃者が正規のDocuSign通信を模倣した不正なメールを送信し、受信者を騙して、通常は不正なサイトに認証情報を入力させるタイプのメールフィッシングです。これらのメールは、DocuSignのブランディングやレイアウトを使用して、正規のDocuSignメールのように見せかけることがよくあります。通常、メールはドキュメントが受信者の署名を待っていると主張し、それにアクセスするためのリンクを含んでいます。しかし、そのリンクはユーザーをログイン認証情報を盗むように設計されたウェブサイトにリダイレクトします。これらの認証情報が盗まれたら、さらなる攻撃に利用される可能性が高いです。多くの場合、DocuSignフィッシングキャンペーンでは、Domain Messaging Authentication Record and Conformance（DMARC）チェックを通過させるために、正規の侵害されたメールアカウントを使用してフィッシングメールを送信します。このキャンペーンおよび以前のDocuSignキャンペーン全体で、侵害された正規の日本のビジネスメールがフィッシングメールの送信に使用されています。日本のメールアカウントの使用は、日本のドメインがより高い評価を持っており、.ngや.ruとは対照的に、スパムフィルターにフラグが立てられる可能性が低いことに起因する可能性があります。[1] 技術分析最初のメールは、件名「BIYH-QPVSW-3617 is ready for your review」で、「@anabuki-enter.co.jp」から送信され、メール本文には「Review Document Button」が含まれていました。このボタンは、「app.getresponse.com」という正規のマーケティングサービスでホストされているリンクにリダイレクトします。このリンクは分析時にはダウンしていましたが、ユーザーがメールを開いたかどうかを追跡したり、別のフィッシングサイトにリダイレクトしたりするために使用された可能性があります。さらに、ユーザーはDocuSign.comにアクセスし、ドキュメントにアクセスするためにセキュリティコードを入力するように求められます。 図1：ユーザーはDocuSign.comへのログインを促されます 別のメールは、「@jaog.or.jp」アドレスから、「Please Docusign this document: Share transfer & Subscription Agreement_062024.docx Copy.docx_PM5235627.pdf」という件名で送信されました。興味深いことに、メール本文には複数の企業間の正規のメールスレッドが含まれており、フィッシングメールをより正規に見せかけようとしているようです。メール本文には、難読化されたJavaScriptスクリプト「NdoGg8EElI」を含む悪意のあるウェブサイトへのリンクが含まれています。「NdoGg8EElI」は、base64でエンコードされた一連の条件文を含む難読化されたJavaScriptスクリプトです。 図2スクリプトは、「https://xx[.]yperbole9[.]com/BrfMyTrgSAvPiJtOFWxtG0clXO/」が「nomatch」と等しいかどうかをチェックするif文で始まりますが、明らかにそうではありません。これは単なるジャンクコードである可能性があり、それに続くdocument.write()も同様です。document.write()のブロブの後には、今回は!==を使用した同じif文があります。 図3今回は条件が真になり、後続のコードが実行されます。 図4Const「AraaqOIGqY」は現在のURLホスト名を取得します。Const「aEKzPLUWtg」はbase64から新しいURLを作成します。これは「https://xx[.]yperbole9[.]com/BrfMyTrgSAvPiJtOFWxtG0clXO/」ドメインです。Const「zbwXTqjqwH」はURLホスト名を「aEKzPLUWtg」と比較し、一致しない場合はデコードされたURLからTLDとSLDを取得します。次に、ホスト名とパス名を比較して、現在のページがbase64ドメイン（https://xx[.]yperbole9[.]com/BrfMyTrgSAvPiJtOFWxtG0clXO/）と同じかどうかを確認します。一致する場合、次のbase64ブロックが実行されます。このブロックには、正規のGoogle Workspaceログインページのように見せるためのCAPTCHAチェックとGmailの背景画像を含むHTMLが含まれています。その後、ユーザーは「blegabouc[.]com」でホストされている別のフィッシングページにリダイレクトされます。このページは分析時にはダウンしていましたが、おそらくユーザーに認証情報の入力を促したでしょう。 図5：ユーザーはGmail認証情報の入力を促されます 次のブロックは、ホスト名とパス名が現在のページと一致しないかどうかを比較します。これが真の場合、404 HTMLページが発生します。 図6最後に、「zbwXTqjqwH」が「AraaqOIGqY」と等しくないかどうかがチェックされます。これは、ホスト名とデコードされたbase64 URLが等しくないことをチェックします。真の場合、同じbase64エンコードされたHTML 404ページが再度発生します。 これらのDocuSignキャンペーンの目標は、BEC詐欺などのさらなる攻撃に使用したり、マーケットプレイスで販売したりできるビジネスからの認証情報を盗むことです。 主なポイントDocuSignフィッシング攻撃は、電子署名プラットフォームの信頼性を悪用して受信者を騙し、認証情報を送信させるため、組織が直面している継続的な問題です。これらの攻撃は、よく知られたブランディング、侵害されたメールアカウント、偽のメールスレッドの埋め込みなどの戦術を利用して、正規に見せかけます。このようなフィッシング試行から保護するためには、特に緊急のアクションを求めるDocuSignメールを受信した場合は、注意することが重要です。ユーザーは常に以下を行うべきです：SPF、DKIM、および/またはDMARCに合格しないメールをスパム/疑わしいとしてマークする。フィッシングメールの見分け方と、それを特定した場合の対処法について従業員を教育する。送信者のメールアドレスを確認し、メールクライアントが使用するエイリアスに依存しない。受信したことのないメールのリンクをクリックしたり、添付ファイルを開いたりしない。すべてのアカウントで2要素認証（2FA）を有効にする。DocuSignアカウントを通じて、DocuSignにログインして「Documents」にアクセスするか、「Access Code」を使用して、ドキュメントが正規のものであるかを確認する。DocuSign Verifyを使用して電子署名を検証できます。 参考文献：[1] https://gsmaragd.github.io/publications/CCS2024/CCS2024.pdf Tara Gould（マルウェアリサーチリード）執筆Inside the SOCDarktraceのサイバーアナリストは、脅威インテリジェンス、脅威ハンティング、インシデント対応における世界クラスのエキスパートであり、世界中の数千のDarktrace顧客に24時間365日のSOCサポートを提供しています。Inside the SOCは、これらのエキスパートのみが執筆し、現場での実体験に基づいたサイバーインシデントおよび脅威トレンドの分析を提供しています。 Tara Gould（マルウェアリサーチリード）執筆この記事を共有する最新ブログプレーンな見た目に隠されたもの：行動検知で多段階ランサムウェア攻撃を解明ネットワーク•2026年7月27日Alexandra Evzona（サイバーアナリスト）Darktrace / EMAILメールとコラボレーションワークフロー全体で行動防御を拡張メール•2026年7月24日Carlos Gray（シニアプロダクトマーケティングマネージャー、Email）NIS2ウェビナーを視聴するニュースレターブログを楽しんでいますか？Darktraceニュースレターの最新ニュースやインサイトを直接受信トレイに配信するためにサインアップしてください。サインアップありがとうございます！最初のニュースレターをお楽しみに。おっと！フォームの送信中にエラーが発生しました。人気のブログ1エンタープライズAIにおけるプロンプトセキュリティ：強み、弱み、一般的なアプローチ2026年5月20日2Darktrace年次脅威レポート2026がセキュリティリーダーにとって意味すること2026年2月26日3脅威の旅：多層AIはDarktrace / EMAILでどのように機能するか2026年5月26日4AIベンダーの評価方法：AI導入のための5つの主要カテゴリ2026年5月27日5Darktraceがメール、Slack、Teams、Zoom全体で人間の行動と脅威検知を統合2026年3月24日このシリーズのその他の項目アイテムが見つかりませんでした。続行