今週、Taniumのサイバー脅威インテリジェンス（CTI）チームは、ランサムウェアグループ「BlackSuit」が関与する新たな攻撃キャンペーンについて調査を行っています。 次に、チームはAsyncRATが複雑なフォークの網の目へと進化していった経緯について検証します。 最後に、これまで未報告だったWindows向けバックドア「HazyBeacon」の概要をご紹介して、締めくくりたいと思います。
BlackSuitランサムウェアの活動の実態：暗号化とデータ窃取という二重の脅威
Cybereasonの最近のブログ記事（ ）では、BlackSuitランサムウェアグループによって行われたランサムウェア攻撃キャンペーン（ ）について、詳細な分析が掲載されています。
BlackSuitランサムウェアとは何ですか？
BlackSuitは、悪名高いContiギャングの分派であるRoyalグループのブランド変更版であると考えられている洗練されたランサムウェア組織であり、その運営の成熟度と脅威能力の高さを示しています。
BlackSuitの攻撃キャンペーンでは、データの窃取とファイルの暗号化を組み合わせており、被害者に対する支配力を最大限に高めています。
[ランサムウェア犯との交渉方法：トップ交渉担当者からの教訓]
BlackSuitは、どのようにネットワークに侵入し、ネットワーク内を移動するのでしょうか？
Cybereasonは、BlackSuitが、 のPsExec、、 のCobalt Strike、、 のRDP、、および のrclone、 といったツールを使用して、初期アクセスを得たり、横方向の移動を行ったり、持続性を維持したりしていることを確認しました。
確認されたある攻撃では、PsExec を使用して Cobalt Strike Beacons をリモートで展開し、 の RPC（ ）を利用してリモートサービスを作成していました。 これはあまり一般的ではありませんが、注目すべき戦術です。
BlackSuitのコマンド＆コントロール（C2）の手法とはどのようなものですか？
Cybereasonが指摘しているように、攻撃者は、 のPowerShellコマンド（ ）を多用して、自身のC2 インフラストラクチャに接続しています。 攻撃者は、外部および侵害された内部IPの両方から、Cobalt Strike Beaconやランサムウェアのバイナリを含むペイロードをダウンロードするため、検知が困難になります。
この二重の情報源による手法は、検知を困難にする一方で、同グループの適応力の強さを浮き彫りにしています。
BlackSuitは、アクセスを獲得した後、どのように攻撃をエスカレートさせるのでしょうか？
ネットワークに侵入すると、BlackSuitは Rundll32.exe を使用して、Cobalt Strike Beaconsを読み込み、悪意のあるドメインに接続します。 その後、 LSASS を通じて認証情報をダンプし、名前を変更した rclone バイナリ（vmware.exe）を使用してデータを外部へ流出させ、復元を防ぐために シャドウコピー を削除します。
このグループは、システムに不可欠なファイルや自身の身代金要求メッセージが暗号化されないよう除外パスを設定しており、そのステルス性と戦略的なアプローチをさらに強めています。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
BlackSuitがrcloneやCobalt Strikeといった正規のツールを使用していることからも明らかなように、脅威アクターは、レッドチームの戦術や正当な活動と現実世界のサイバー犯罪との境界線をますます曖昧にしています。
このグループの興味深い点は、その系譜にあり、それはコンティからロイヤル、そしてブラックスーツへとつながっています。 このようなブランド変更や適応は、脅威アクターグループの間でよく見られる傾向であり、犯行の特定を特に困難なものにしています。
オープンソースのマルウェアにおけるAsyncRATのフォークの台頭
ESETのによると、オープンソースのリモートアクセストロイの木馬「AsyncRAT」は、それぞれ独自の機能を備えたフォークが複雑に絡み合うネットワークへと進化しています。
研究者たちは、その系譜とプラグインの多様性を追跡することで、AsyncRATの適応力と、サイバーセキュリティに対する継続的な脅威を浮き彫りにしています。
AsyncRATとは何でしょうか。また、なぜこれほど広くフォークされているのでしょうか。
オリジナルのAsyncRATは、 2019年にGitHubで公開されました。 このソフトウェアには、キーロギング、画面キャプチャ、認証情報の窃取などの機能が搭載されています。
このマルウェアはオープンソースであるため、脅威アクターの間で広く普及しており、いくつかのフォークが生み出されています。 これらの分岐は、マルウェアで使用されている独自の暗号化クラスによって結びつけられています。
ESETによると、AsyncRATはQuasar RATと暗号化コンポーネントを共有しているものの（例えば、同一の Aes256 および Sha256 クラスなど）、直接的なフォークではなく、完全に書き直されたものであるとのことです。 そのモジュール式のアーキテクチャとステルス機能の強化により、回避能力が高まり、検知されにくくなっているため、脅威アクターの間で人気を集めています。
ESETは、実環境におけるAsyncRATのフォークをどのように特定しているのでしょうか？
ESETは、サンプルを特定し分類するために、さまざまな手法を用いました。 これらのフォークを特定する最も簡単な方法は、マルウェアの設定を確認することでした。
ESETの調査によると、ほとんどのサンプルにおいて、設定内の「バージョン」フィールドが有用であることが判明しました。このフィールドには、フォーク名そのもの、あるいはマルウェアの作成者の名前が含まれていました。 場合によっては、その欄が空白になっており、研究者たちは暗号化用の「Salt」値などの手がかりを他の場所から探さなければなりませんでした。
ESETはまた、 C2 サーバーの認証に使用された証明書を調査することで情報を収集しましたが、その証明書は場合によっては以前のフォークにまで遡ることができました。
DcRATやVenomRATといったAsyncRATの亜種は、どのように関連しているのでしょうか？
ESETによると、最も広く使用されているAsyncRATの亜種は、 のDcRAT（ ）およびのVenomRAT（）です。
DcRAT（ ）はAsyncRATを基盤として構築され、追加の機能や性能が導入されています。一方、のVenomRAT（ ）は、DcRATに着想を得たものと見られています。
これら以外にも、あまり知られていないフォークが数多く出回っており、ESETではそれらについてさらに詳しく解説しています。
あまり知られていないAsyncRATの亜種が注目に値する理由は何でしょうか？
ESETは、標準的なRATの動作を超える機能を備えた、あまり知られていないAsyncRATのフォークをいくつか特定しました。その機能には、以下のものが含まれます：
SantaRATBoraRATNonEuclid RATScreamer.dllPiano.dllService.dllMaps.dllWormUsb.dll
SantaRATやBoraRATなど、一部のものは冗談のような亜種であるように見えますが、Screamer.dllやWormUsb.dllなど、他のものにはUSB経由の拡散機能やユニークなペイロードといった特徴的なプラグインが搭載されています。
これらの例は、AsyncRATのオープンソース・フレームワークの柔軟性と、そのユーザー層の創造性、時にはユーモアさえも示しています。
より詳細な技術的な分析にご興味のある方は、ESETの完全版レポートをぜひご一読ください。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
ESETの調査結果は、実に目から鱗が落ちるようなものです。 亜種が他のマルウェアから派生する仕組みについてはこれまで多くのことが語られてきましたが、たった1つのAsyncRATトロイの木馬からこれほど多くの派生版が存在することを目の当たりにすると、その実態が改めてよく理解できます。
AsyncRATのフォークがこれほど多数存在することは、防御側にとって課題となっています。なぜなら、シグネチャベースの検知では、刻々と変化する状況に追いつくのが困難になる場合があるからです。 また、この研究は、オープンソースソフトウェアがコラボレーションには非常に役立つ一方で、悪意のある者がツールを容易に悪用できるという、その両刃の剣的な性質を浮き彫りにしています。
AsyncRATを取り上げたその他のCTIまとめ記事
AsyncRATは、Taniumのサイバー脅威インテリジェンスチームが追跡している複数の脅威キャンペーンで確認されています。 このマルウェアが、他のマルウェアやインフラの悪用と組み合わせてどのように展開されているかについての詳しい背景については、以下のブログ記事をご覧ください：
- AsyncRAT、PikaBotマルウェア、およびMS SQLサーバーが攻撃を受けています （掲載日： 1月18日、 2024）： のフィッシングページ および難読化されたJavaScriptローダーを介してAsyncRATを配布する新たなキャンペーンに加え、PikaBotの拡散やMS SQLサーバーへの攻撃についても取り上げています
- 米司法省のサイバー対策部門が国家が関与する脅威を追及 （ 6月27日, 2023 に掲載）：国家主体のアクターに関連するキャンペーンや、有効期限が切れた AWS S3 バケットを含むインフラの悪用において、AsyncRAT が確認された事例について検証しています。
- ESXiArgsランサムウェア攻撃は、VMwareを標的としています （公開日： 2月14日、 2023）：ランサムウェア攻撃前の準備段階におけるAsyncRATの使用状況、およびパッチが適用されていないVMware ESXiサーバーを標的としたキャンペーンにおけるその役割について解説しています
当チームは、脅威環境全体においてAsyncRATおよびその進化し続ける亜種を追跡し続けておりますので、今後のCTIに関する最新情報やキャンペーンの詳細分析にご注目ください。
「HazyBeacon」マルウェアは、AWS Lambdaを悪用して、政府による秘密裏のスパイ活動を行っています
Palo Altoは最近、 という、HazyBeaconと名付けられた新たなWindows向けバックドアを発見しました。これは、攻撃者がクラウドネイティブインフラを悪用して、目立たないC2 作戦を展開するという傾向が強まっていることを如実に示しています。
このマルウェアは、東南アジアの政府機関を標的とし、特に情報収集を目的とした脅威クラスター「 CL-STA-1020 」に関連しています。
AWS LambdaのURLを悪用した隠蔽されたコマンド＆コントロール
HazyBeaconは、 のAWS Lambdaを活用しています。これは、サーバーのプロビジョニングや管理を必要とせずに、イベントに応じてコードを実行するサーバーレスコンピューティングサービスです。 2022では、この機能を拡張するためにLambda URLが導入され、開発者はHTTPエンドポイントを通じてLambda関数を呼び出せるようになりました。 しかし、この利便性は悪意のある攻撃者たちに悪用されており、彼らは現在、Lambda URLを C2 チャネルとして利用しています。
攻撃者は、一見正当に見えるクラウドトラフィックの中にビーコン送信活動を埋め込むことで、悪意のある通信を通常の企業業務に紛れ込ませ、検知を著しく困難にすることができます。
DLLのサイドローディングと永続的なサービスを利用したステルス的な展開
システムに侵入するため、HazyBeaconは のDLLサイドローディング（ ）を利用し、悪意のあるDLLを正規のWindowsライブラリに見せかけて、そのペイロードを実行します。
実行されると、攻撃者が制御するLambdaエンドポイントに接続します。 永続性を確保するため、このマルウェアは「 」という名前のWindowsサービス（msdnetsvc、）をインストールします。
標的を絞ったファイル収集およびクラウドを介した情報流出の試み
主要なペイロードの一つである igfx.exe は、指定された拡張子や時間範囲に基づいて標的となるファイルをZIP形式で圧縮するファイル収集ツールです。 その後、アクターはアーカイブを小さな断片に分割し、持ち出します。 、GoogleGet.exe、 といったツールを使用して、Google ドライブや Dropbox へのアップロードを試みましたが、これらは最終的にブロックされました。
検出を最小限に抑えるための、データ流出後のクリーンアップ
データ収集段階の後、攻撃者はペイロードやアーカイブを消去するためのクリーンアップコマンドを実行し、フォレンジック上の痕跡を最小限に抑えました。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
「 C2 コミュニケーション」におけるAWS Lambda URLの利用は、脅威アクターが信頼されたインフラストラクチャ内での悪意のある活動を隠蔽するために、クラウドサービスをますます活用している実態を浮き彫りにしており、その結果、従来の境界ベースの防御策の有効性が低下しています。
HazyBeaconは、攻撃者が静的なインフラからクラウドインフラへと移行しつつあるという、高度持続的脅威（APT）の戦術における広範な傾向を象徴しています。 この活動は、防御担当者がより行動ベースの検知戦略を採用する必要性を改めて示しています。
これらの記事について、何かご意見やご感想など、共有したいことはありますか？ または Tanium のディスカッションフォーラム にアクセスして、会話を始めてみてください。
さらに詳しくお読みになりたい方は、 の最新のサイバー脅威インテリジェンスまとめ記事をご覧ください：。
