今週のまとめでは、CTIが、北米およびアジアの組織を標的としている「Auto-color」という新しいLinux向けマルウェアについて検証しています。 続いて、CTIは、脆弱性のあるWindowsドライバーを悪用して「 Gh0st RAT」マルウェアを配布する、現在進行中の攻撃キャンペーンについて調査しています。 最後に、CTIは、「Lotus Blossom」として知られる脅威アクターに関連する、いくつかのスパイ活動を調査しています。
色を自動で変更するLinuxマルウェアが、完全なリモートアクセスを可能にします
パロアルトの （新しいタブで開きます） の研究者らが、「Auto-color」と名付けられた新しいLinux向けマルウェアを発見しました。
北米およびアジア各地の組織を標的としていることが確認されたこのマルウェアは、攻撃者に感染したマシンへの完全なリモートアクセス権限を与えます。
このマルウェアは、とりわけ無害に見えるファイル名を使用し、リモート C2 接続を隠蔽し、独自の暗号化アルゴリズムを用いて、さらに検知を回避しています。
「Auto-color」というLinuxマルウェアは、どのような対象を標的としているのでしょうか？
Palo Altoは、このマルウェアのサンプルを最初に 2024年11月で確認し、最新のサンプルは 2024年12月で確認されました。 パロアルトでは、大学や政府機関を標的とするこのマルウェアファミリーを確認しています。
このマルウェアがどのようにして被害者に感染するのかについては、研究者たちはまだ解明できていません。 しかし、Palo Alto社は、このファイルがLinuxマシン上で の被害者が明示的に実行するように設計されていると判断しました。 （新しいタブで開きます）。
「Auto-color」マルウェアはどのように動作するのでしょうか？
このマルウェアは、展開先のターゲットごとに異なるファイル名を使用します。 前述の通り、このマルウェアは「door」や「egg」といった、一見無害に見えるファイル名を使用しています。 Auto-colorの作成者が「暗号化された C2 設定ペイロードを各マルウェアサンプルに静的にコンパイルする」ことを選択したため、ハッシュはファイルごとに異なります。
このマルウェアがマシン上で実行されると、その実行ファイルが実際に「Auto-color」であるかどうかを確認します。 ファイル名が「Auto-color」でない場合、「実行ファイル自体内に配置された回避型ライブラリの埋め込み」に対するインストールフェーズが実行されます。
このマルウェアは、必要なルート権限を持っている場合にのみ処理を実行し、その場合は、正規のCユーティリティライブラリを模倣した悪意のあるライブラリをインストールします。
auto-colorは、ライブラリインプラントをインストールし、Linuxシステムの標準ファイルに「ld.preload」という名前で悪意のあるライブラリファイルを書き込む前に、自身をコピーして「/var/log/cross/auto-color」という名前にリネームします。
Palo Alto氏が指摘しているように、「ld.preload」に指定されたライブラリが最初に読み込まれるため、その後読み込まれる悪意のあるライブラリによって、これらのコアライブラリの一部が上書きされてしまう可能性があります。
マルウェアの主要な実行フェーズに入る前に、マルウェアはペイロードを復号化し、どのリモート攻撃者のサーバーに接続すべきかを特定する必要があります。 このペイロードを取得するには、特定のファイルを読み込むか、あるいはその方法がうまくいかなかった場合は、そのファイルの.dataセクションから取得します。
ペイロードの暗号化は、ストリーム暗号の一種です。 パロアルト社はペイロードを分析した結果、それが主に3つの構成要素から成っていることを突き止めました：
- 暗号化されたブロックのサイズ
- 暗号文
- 鍵そのもの
最終的なペイロードは、復号化されると、マルウェアが接続すべき真のターゲットが含まれています。
マルウェアが攻撃者と接続すると、ハンドシェイクを開始し、コマンドの実行を待機します。 ペイロードは、コマンドIDに基づいて、関連する特定のAPIコマンドごとに固有の構造を持っています。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
「Auto-color」の最新の事例は、 2024年12月 で確認されました。 その結果、これが依然として検知されずに潜伏している脅威なのか、それとも本当に収束したのかは不明です。
興味深いことに、このマルウェアはターゲットごとにファイル名を異なり、ハッシュ値も異なる別のファイルを使用しているため、これらの指標のみに基づいて検出を行うことは、あまり役に立ちません。 これらの指標のみに頼るだけでは不十分であり、特定の戦術に対する検知機能を備えるほうが、より効果的である可能性があることを改めてご留意ください。
[関連記事：百聞は一見に如かず：企業がサイバーセキュリティの強化にAIをどのように活用しているか] (新しいタブで開きます)
攻撃者が新たなマルウェアキャンペーンで「Truesight.sys」を悪用しています
チェック・ポイントは最近、 （新しいタブで開きます） において、脆弱性のあるWindowsドライバー「Truesight.sys」を悪用して「 Gh0st RAT」マルウェアを配布する、現在進行中のマルウェアキャンペーンを特定しました。
この調査により、EDR／AV対策回避モジュールを展開していた、数千もの第一段階の悪意のあるサンプルが発見されました。
背景と主な調査結果
チェック・ポイントは、脆弱性が確認されていないドライバーの悪用を特定することを目的として、この調査を開始しました。ご想像の通り、これは脆弱性が確認されているドライバーを探し出すよりも、はるかに困難な作業です。 この調査の結果、大規模かつ現在も継続中のマルウェア攻撃キャンペーンが発見されました。
[関連記事：脅威ハンティングとは？ 【実例を交えた概要】 （新しいタブで開きます）
一見したところ、サンプルの1つは、「Truesight.sys」という名前の、 で既知の脆弱性があるドライバー（ （新しいタブで開きます） ）をドロップしているようでした。 研究者たちは、これが単なるもう一人のTruesightの脆弱なドライバーではないことに気づきました。 調査の結果、これらのサンプルはいずれも、脆弱性のあるTruesightドライバーの同一バージョンをドロップしていたものの、ハッシュ値は異なっていたことが判明しました。 このことから、攻撃者はファイルのハッシュ値を変更できる程度にのみドライバを改変し、デジタル署名を変更するほどには改変しなかった可能性が高いことが示唆されました。
研究者らが明らかにしたことは以下の通りです：
- これらの事業者は、パブリッククラウドの中国リージョンにあるインフラストラクチャを利用しています。 このインフラストラクチャは、ペイロードと C2 台のサーバーをホストしています。
- 被害者の約 75％は中国にいると見られています。
- ダウンローダーとして機能するサンプルは、有名なアプリケーションに偽装していることが確認されており、 、 （新しいタブで開きます）、、といったフィッシングサイトを通じて配布されていました。
技術的な詳細
このキャンペーンにおいて、最初に検出された初期段階のサンプルは、 2024年6月 からのもので、 の脆弱なバージョンのオリジナルレガシードライバー (新しいタブで開きます) を悪用していました。 その直後、これらの初期段階のサンプルは、元のドライバーの代わりに、その派生版を利用するようになりました。
チェック・ポイントは、初期感染を以下の3つの段階に分類しました。
- 第2ステージおよび暗号化されたペイロードのダウンロード
- ペイロードの読み込み、およびステージ3とその暗号化されたペイロードのダウンロード
- ステージ3のペイロードを読み込み、EDR/AVキラーモジュールをメモリ内に展開します
最終的には、 Gh0st RATの配備と実行をもって幕を閉じます。
チェック・ポイントのレポートでは、従来のTruesightドライバーについて詳しく解説しています。 さらに、チェック・ポイントが調査したすべてのサンプルにおいて、 Gh0st というRAT――具体的には「HiddenGh0st」として知られる亜種――が展開されていました。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
チェック・ポイントの調査によると、脅威アクターが脆弱性のあるドライバーを悪用するケースが増加していることが明らかになっています。 既知の脆弱性を持つドライバーのインスタンスを探すことは、多くの場合簡単ですが、Truesightドライバーを悪用したこの特定の攻撃は、既知のハッシュ値に依存する検知手法をはじめ、その他の手法をも回避していたと考えられます。
チェック・ポイントが指摘しているように、「ハッシュ値だけでなく、その他の属性に基づいてドライバーをブロックする」というアプローチへの移行は、「検知と保護の向上にとって極めて重要です」。
[関連記事：GenAIの脆弱なコードを本当に「無視」してよいのでしょうか？ あるセキュリティの専門家は「はい」と答えています（ある意味では）] (新しいタブで開きます)
「ロータス・ブロッサム」が複数の産業に脅威を与えています
Cisco Talosは、 （新しいタブで開きます） において、少なくとも 2012年から活動しているグループ「Lotus Blossom」が関与する複数のスパイ活動を複数発見しました。
Sagerunexバックドアやその他のハッキングツールを配布する最近の攻撃は、 製造業 (新しいタブで開きます)、政府機関、通信業界、メディア業界など、複数の業界を標的としています。 また、この攻撃者は、サードパーティのクラウドサービスを悪用する、自らが開発した代表的なバックドアの新たな亜種を C2個作成しました。 Cisco Talosによると、最近の攻撃キャンペーンは、主にフィリピン、ベトナム、香港、台湾の被害者を標的としており、かなりの成果を上げているようです。
また、研究者たちは、Lotus Blossomの「Sagerunex」バックドアの新たな亜種を発見しました。 C2では、仮想プライベートサーバーに頼る代わりに、これらの新しい亜種は、Dropbox、Twitter、Zimbraなどのサードパーティ製クラウドサービスを利用しています。
「Lotus Blossom」の攻撃チェーンでは、どのようなツールが使用されていますか？
Cisco Talosの調査によると、このグループは、オープンソースツールをはじめ、クッキー窃取ツール、Venomプロキシツール、権限昇格ツール、アーカイブツール、ポートリレーツール、RARツールなど、多岐にわたるツールを使用していることが判明しました。 この報告書では、これらの各ツールについてさらに詳しく解説しています。
[関連記事：セキュリティにおけるアクセス制御とは？ [型とベストプラクティスに関する詳細ガイド] (新しいタブで開きます)
このグループは、Impacketというツールを活用してリモートコマンドを実行している様子が頻繁に確認されました。 ネットワークへの侵入に成功した後、攻撃者は偵察から始まり、複数の段階を経て行動します。 その後、担当者は、その端末がインターネットに接続できることを確認し、接続できない場合は、さまざまなツールを用いて、その端末をインターネットに接続可能なシステムに接続します。 また、この攻撃者は、Sagerunexバックドアをインストールする前に、「public\pictures」サブフォルダ内にバックドアやさまざまなハッキングツールを配置している様子が確認されました。
Sagerunexのインストール方法
Cisco Talosは、ローダーのコードを解析することで、Sagerunexバックドアの複数の亜種を特定しました。 バックドアが実行されると、処理を続行できるかどうかを確認するための検証が行われます。 各バリアントには、直ちに実行すべきか、それとも実行を遅らせるべきかを決定する、独自のタイミングチェックロジックが備わっています。 特定されたすべてのバリアントに共通する特徴は、プロキシ設定です。
Cisco Talosは、ベータ版、Dropbox版、Twitter版、Zimbra版など、いくつかの亜種を特定しました。 このレポートでは、ベータ版、Dropbox版、Twitter版について詳しく解説しています。
Zimbra （新しいタブで開きます）。最新バージョンでは、Zimbra API を使用してサービスに接続し、その接続をキャンペーンの C2 チャンネルとして利用します。 このバージョンでは、ZimbraのURL、ユーザー名、およびパスワードを使用して、適切な認証トークンを取得します。 その後、そのトークンを使用して、フォルダやドキュメントを同期することができます。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
他の多くのアクターと同様、Lotus Blossomも、検知を回避するために、Dropbox、Twitter、Zimbraといった正規のサービスへの依存度を高めています。 これは、攻撃者が意図的に といったサービス (新しいタブで開きます) を悪用し、通常のビジネストラフィックに紛れ込ませようとする、よく見られる傾向です。
Cisco Talosがまとめた、Sagerunexのさまざまな亜種の推移を示すタイムラインによると、この攻撃者は、ここ数年で大規模な急増が見られるようになる前の 2018年時点で、すでに正規のサービスを悪用し始めていたことが示されています。
これらの記事について、何かご意見やご感想など、共有したいことはありますか？ 、Taniumのディスカッションフォーラム （新しいタブで開きます）、、 にアクセスして、会話を始めてみてください。
さらに詳しくお読みになりたい方は、当社の最近の「」サイバー脅威インテリジェンスまとめをご覧ください。 （新しいタブで開きます）。