今週、CTIは、AsyncRATを配信していることが確認された新たなキャンペーンについて調査を行っています。 続いて、CTIは、「Water Curupira」として知られる脅威アクターが、スパムキャンペーンを通じてPikaBotローダーマルウェアを積極的に拡散している実態について解説しています。 CTIの締めくくりとして、世界中のセキュリティ対策が不十分なMicrosoft SQLサーバーを標的とした、金銭目的のキャンペーン「RE#TURGENCE」についてご紹介します。
1. AsyncRATが新たな攻撃キャンペーンで確認されました
AT&T Alien Labsは、被害者に 、AsyncRAT、 （新しいタブで開きます）、、 を配信する新たなキャンペーンを発見しました。 このキャンペーンの背後にいる攻撃者は、 11 か月間にわたり、フィッシングページに埋め込まれた最初のJavaScriptファイルを介してマルウェアを配信し続けてきました。 研究者らは、この攻撃者の執拗さを示す 300 件以上のサンプルと100 件以上のドメインを特定しました。
AsyncRATとは何ですか？
AsyncRATは、少なくとも 2019 年にオープンソースのリモートアクセスツールとしてリリースされて以来、存在しています。 このツールは現在もGitHubで公開されており、脅威アクターの間で非常に広く利用されているRATとなっています。 このマルウェアは、キーロギングや情報漏洩の手法、そして最終的なペイロードを配信するための初期アクセス段階の構築で知られています。
2023年9月において、AT&Tは、特定の個人を標的とした「 」フィッシングメール（ ）の急増を確認しました。 そのフィッシングメールには、SVGファイルへと誘導するGIFファイルが添付されていました。 このSVGファイルは、さらに高度に難読化されたJavaScriptファイルのダウンロードを引き起こし、続いて難読化されたPowerShellスクリプトがダウンロードされ、最終的にAsyncRATクライアントが実行されました。
コード内のパターンに着目したことで、AT&Tの研究者たちはこのキャンペーンにおけるさらなるサンプルを特定することができ、 2023年2月にまで遡るサンプルを発見しました。 ドメインの登録およびAsyncRATのサンプルの発見は現在も続いています。
テクニカル分析
- AsyncRATのローダーは複数の段階から構成されており、メインのAsyncRATペイロードを展開する前に、マルウェアがサンドボックス環境で実行されているかどうかを確認する「 C2 サーバー」によって、さらに難読化されています。
- このキャンペーンを通じて、悪意のあるフィッシングWebページを介して、JavaScriptファイルが被害者に配信されます。 これらのファイルには、コメントアウトされた長い文字列が含まれており、そのテキストは「Melville」、「church」、「chapter」、「Scottish」といった単語がランダムな順序で配置されたものです。
- このスクリプト自体は高度に難読化されており、検出可能なコマンドや文字列を移動させるための機能がいくつか備わっています。 このマルウェアは、 C2 とURLを頻繁に変更するため、検知が難しくなっています。 さらに、この攻撃者は、被害者ごとにローダーの新しいバージョンを作成しようとしているようです。 新しいファイルには、新たにランダム化された変数名が付けられており、これもまた検出を困難にしています。
- C2 が不正な応答を受け取り、かつマルウェアがサンドボックス内で動作している場合、そのリクエストをGoogleにリダイレクトするか、temp[.]shにホストされているペイロードにアクセスするスクリプトを返します。 このドメインでは、ファイルを約3日間ホストし、新たにアップロードされるファイルごとに、ランダムなURLパスを生成します。 一部のウイルス対策ソフトによる検出結果から判断すると、このファイルは一見、AsyncRATのクライアントであるように見えます。 しかし、逆コンパイルしてみると、このRATは、実際にはこのキャンペーンを調査している可能性のある人々を惑わすためのものなのです。 このサンプルは、RATに似せて作成されたおとりファイルですが、 C2 サーバーは含まれておらず、「LOL」などの文字列が含まれています。
- C2 が有効な応答を受け取り、かつマルウェアがサンドボックス内で動作していない場合、次のドメインとURLが難読化されたスクリプトを配信し、その後、AsyncRATがダウンロードされます。
ネットワークインフラ
このキャンペーンのコードは絶えず変化しており、高度に難読化されているため、検知が困難になる場合があります。 ネットワークインフラに関して言えば、確認されたサンプルはさまざまなドメインにアクセスしており、そのリストは頻繁に更新されていました。
ドメインは頻繁に変更されましたが、.top という TLD や、8 文字のランダムな英数字といった共通の特徴が見られました。 その他の共通点としては、レジストラがNicenic[.]net, Incであること、国コードが南アフリカであること、そして常に使用されるわずか数日前に作成されていることが挙げられます。
あるスクリプトにより、研究者たちは、以前に確認されたサンプルのように難読化の下にハードコードされたドメインを持たない、新たなドメイン群を発見しました。 その代わりに、これらのサンプルには、現在の日付に基づいてドメインを計算するスクリプトが組み込まれており、これにより、サンプルは時間の経過とともに C2 ドメインを自動的に変更できるようになっていました。
ドメイン生成アルゴリズム（DGA）は、その年の日数を基にシードを生成し、7日ごとに新しいドメインが割り当てられるよう、そのシードに若干の修正を加えました。 このシード値を用いて、「a」から「n」までの 15 文字を選び出し、ドメインを生成します。 これらのパターンにより、研究者は過去のサンプルを特定できるだけでなく、将来のインフラを特定するための検知手法を構築することも可能になります。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
このキャンペーンは、脅威アクターがいかに執拗であるか、また、彼らがどれほど容易に気づかれずに済むかを示す好例です。
多くの場合、開発者は、マルウェアがサンドボックス内にあると判断されると、それ以上の分析が行われないよう、マルウェアの動作を完全に停止させて終了させます。 興味深いことに、このキャンペーンの攻撃者は、アナリストが「本物のマルウェアではない」と気づくまでの間、その時間を無駄にさせることを主目的としたおとり用のRATを作成するために、余分な時間と労力を費やしました。
これは、マルウェアの作成者が、マルウェアの隠蔽性や複雑さを高めるわけでもなく、単にアナリストを苛立たせることだけを目的として、余分な手間をかけているという興味深い事例です。
2。 「Water Curupira」は、PikaBotローダー型マルウェアを拡散させています
「Water Curupira」として知られる脅威アクターが、スパムキャンペーンを通じて、 の PikaBot ローダーマルウェア (新しいタブで開きます) を積極的に拡散しています。
この攻撃者は、主にバックドアを仕込むことを目的としたキャンペーンを展開しており、その多くがランサムウェア攻撃（主に「Black Basta」）につながっています。
のPikaBotローダー (新しいタブで開きます) は、 の悪名高いQBot と多くの共通した挙動を示しており、その人気の高まりはQBotの摘発と時期を同じくしているようです。
初回アクセス
この攻撃は、スレッドハイジャックを介して送信される悪意のある電子メールから始まります。 このメールには、IMGファイルまたはPDFファイルが含まれた、パスワードで保護されたZIPアーカイブファイルが添付されています。 必要に応じて、担当者はメールにファイルのパスワードを記載いたします。
第1段階
このメールに添付されているアーカイブには、ファイルサイズが 100 KBを超える、高度に難読化されたJavaScriptが含まれています。 これが実行されると、スクリプトは一連のコマンドの実行を開始します。 このスクリプトは、cmd を使用して実行を試みます。 これが失敗した場合は、指定された文字列をコンソールに出力し、その同じ文字列を使用して指定されたターゲットへのpingを試みます。 これが失敗した場合は、Curl.exe を使用して、外部サーバーから PikaBot のペイロードをダウンロードします。
また、別の攻撃チェーンも確認されました。このケースでは、脅威アクターは悪意のあるスクリプトを使用せず、代わりに、メールのPDF添付ファイルに含まれていたIMGファイルを利用し、そこからさらに2つのファイルを取得していました。 これらの追加ファイルが、PikaBotのペイロードでした。 後者のアプローチは、 2023年の終わり頃に登場しました。
PikaBotのペイロード
トレンドマイクロは、第1段階でアーカイブから抽出されたDLLファイルを分析した結果、これが 1515 個のエクスポートを持つ32ビットDLLファイルのサンプルであることが判明しました。 このDLLは最終的にシェルコードを復号して実行し、そのシェルコードがさらに別のDLLファイルを復号します。 このDLLファイルはメモリに読み込まれ、最終的に実行されます。 復号されたDLLファイルは、サンドボックスを検知するために、誤ったライブラリやその他の無関係な項目を読み込む解析回避ルーチンを実行します。
アンチ分析を実行した後、このマルウェアは、コアモジュールの暗号化された一部を含む一連のPNG画像を読み込みます。 これらを復号した後、PikaBotインジェクターは一時停止状態のプロセスを作成し、その中にコアモジュールを注入すると同時に、間接的なシステムコールを使用してその注入を隠蔽します。
PikaBotでは、必要な3つのAPIのアドレスを取得するために、2つの関数を使用しています。 これらには、GetProcAddress、LoadLibraryA、およびHeapFreeが含まれます。 コアモジュールはシステムの言語を確認し、その言語がロシア語またはウクライナ語であると判明した場合は、実行を停止します。
現在、自身のインスタンスが1つだけ実行されていることを確認した後、システムの詳細情報を取得し、それを C2に送信します。 このマルウェアは、名前付きパイプを作成し、それを利用して収集した追加情報を一時的に保存します。 マルウェアは、必要と判断した情報をすべて収集すると、特定のURLが追加されたIPアドレス宛てにその情報を送信します。
インパクト
Water Curupiraは、Black Bastaランサムウェアを拡散させるキャンペーンを頻繁に展開しています。 これこそが、PikaBotによる攻撃がこれほど大きな脅威となっている理由です。
Trend Micro identified distinct clusters of Cobalt Strike beacons with over 70 C2 domains that lead to Black Basta and that could have been dropped via campaigns carried out by this threat actor.
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
PikaBotによる感染は、Black Bastaランサムウェアの展開につながる傾向があります。 その結果、PikaBotは決して軽視できない脅威となっています。
さらに、多くの研究者が、PikaBotとQBotの間に共通点や潜在的な関連性があることを指摘しています。 PikaBotの人気が高まったのとほぼ同時期にQBotが閉鎖されたというタイミングは、実に不思議なものです。
PikaBotが新たなQBotであるかどうかは定かではありませんが、Black Bastaランサムウェアとの関連性が指摘されていることや、その洗練された多段階の仕組みから、警戒すべき脅威であると言えます。
3。 トルコのハッカーたちが、世界中のMS SQLサーバーを悪用しています
金銭を目的としたこのキャンペーンは、現在「 」（）、「RE#TURGENCE」（）、「」というコードネームで呼ばれており、初期アクセス手段として、世界中のセキュリティ対策が不十分なMicrosoft SQLサーバーに対してブルートフォース攻撃を仕掛けています。 このキャンペーンは、2つのうちのいずれかの方法で終了します。1つ目は、取得したアクセス権を売却すること、2つ目はランサムウェアを配信することです。
攻撃者はまず、セキュリティ対策が不十分なMS SQLサーバーに対してブルートフォース攻撃を行い、SQL Server内部からOSレベルのコマンドを実行できる仕組みを利用して、ホスト上でコマンドを実行します。 コードを実行した後、彼らはsqlservr.exeプロセスから追加のコマンドを実行し始めました。
- 最初のコマンドは実行ファイルを呼び出し、その結果、攻撃者のリモートサーバーから「 189jt」というファイルがダウンロードされ、 のPowerShell呼び出し式を使用して、そのファイルに含まれるコードが実行されます。 このPowerShellスクリプトは、攻撃の次の段階に必要なファイルをダウンロードし、実行します。
- 次のPowerShellスクリプトには、現在実行中のプロセスに読み込まれる、難読化されたCobalt Strikeのペイロードが含まれています。 この難読化は、DLLのインポートおよびCobalt Strikeのペイロードに重点が置かれており、これらには変数や不要なコメントブロックが合わせて数百行含まれていることが判明しました。 Cobalt Strike Beaconは、WindowsのネイティブプロセスであるSndVol.exeにインジェクションを行うように設定されていました。 その後、攻撃者はマウントされたネットワーク共有からAnyDeskのバイナリファイルをダウンロードしました。
認証情報のアクセス
この攻撃者は、AnyDesk を使用して Mimikatz をシステムにダウンロードしているほか、Mimikatz のコマンドの一部を自動化する別のバッチスクリプトもダウンロードしていることが確認されました。
このスクリプトは、複数の機能を実行する役割を担っています。 まず、既知のレジストリ設定を変更して、平文の認証情報を有効にします。 その後、いくつかの確認を行った上で、適切なサブディレクトリからMimikatzを実行します。 Mimikatzによるダンプの結果は、Mimikatz_dump.txtというファイルに保存されます。
発見と横方向の移動
Mimikatzを使用した後、攻撃者は情報収集活動へと移行しました。 彼らはAnyDeskを使って、Advanced Port Scannerというユーティリティをダウンロードしました。 このユーティリティは、ドメインコントローラーのリモート共有の確認、Hyper-V 仮想マシンのホスト名の取得、ドメインコントローラー上での psexec.exe のテストおよび実行、RDP のテストおよび使用など、さまざまな用途に使用されました。 その数日後、攻撃者はネットワーク内の他の2台のマシンへと横方向の移動に成功しました。 この攻撃者は、Mimikatzのダンプから取得したパスワードを使用して、psexecによりドメインコントローラーへの新しいセッションを開きました。 このアカウントを使って、彼らは他のマシンへ移行することができました。
インパクト
さらにいくつかのマシンに侵入した後、攻撃者はAnyDeskを使用して、ランサムウェアのペイロードを「 red25.exe」としてダウンロードしました。 このペイロードは、自己解凍型アーカイブであり、最終的なランサムウェアのペイロードを解凍して実行します。 このキャンペーンで使用されたランサムウェアは、「Mimic」ランサムウェアです。 Mimicランサムウェアは、正規のアプリを利用して、暗号化対象のファイルを検索・特定します。
暗号化処理が完了すると、ランサムウェアは被害者に暗号化および支払いの通知を表示します。 このランサムウェアは、最終的に攻撃者によって、まずMS SQLサーバー上で手動で実行され、次にドメインコントローラー、そしてドメインに参加している他のホストへと順に実行されました。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
セキュリティ対策が不十分なMS SQLサーバーを標的とする手口は、当分なくなる気配が見られません。その主な理由は、脅威アクターにとって依然として大きな利益をもたらし続けているためです。
それはさておき、この脅威アクターは、攻撃の複数の段階でAnyDeskを多用しています。 これは、脅威アクターが活動において正当なツールを悪用することがいかに一般的になりつつあるかを浮き彫りにしており、したがって、防御側にとって監視がいかに重要であるかを示しています。
これらの記事について、何かご意見やご感想など、共有したいことはありますか？ にアクセスし、Taniumのディスカッションフォーラム（ ）で会話を始めてみてください。
さらに詳しくお読みになりたい方は、の最近のサイバー脅威インテリジェンスまとめ記事をご覧ください。
