今週、Taniumのサイバー脅威インテリジェンス（CTI）チームは、最近登場し、現在実環境で確認されている、新たなマルウェア・アズ・ア・サービス型情報窃取型マルウェア「SantaStealer」について調査を行っています。 次に、チームは、大手ブランドを標的とする高度なフィッシングキット「BlackForce」について検証します。 最後に、中国と関連のあるサイバー諜報グループ「Ink Dragon」の概要をご紹介して、締めくくります。
「SantaStealer」は、Telegramやアンダーグラウンドのフォーラムを通じて拡散しています
Rapid7 は、 にて、モジュール式のプラグインやメモリ常駐型の手法を用いて、認証情報、ブラウザデータ、ウォレットなどを盗み出すように設計された、新たなマルウェア・アズ・ア・サービス（MaaS）型情報窃取型マルウェア「SantaStealer」の詳細を公開しています。 Rapid7によると、SantaStealerは現在、実運用可能な状態となっており、実環境で拡散しているとのことです。
「極めてステルス性が高い」と謳われていますが、 Rapid7 社は、現在のサンプルでは難読化や運用上のセキュリティが不十分であり、その大げさな主張にもかかわらず、検出されやすくなっていると考えています。
発見
Rapid7 は当初、アンダーグラウンドのフォーラムで「SantaStealer」というマルウェアが宣伝されていることを発見しました。
Rapid7 の研究者たちは、汎用的な情報窃取型マルウェアのルールに一致したWindows実行ファイルを分析しました。 彼らの分析により、 500 個以上のエクスポートシンボルと、認証情報の窃取に関連する多数の暗号化されていない文字列を含むDLLが発見されました。 DLL内のシンボルの一部から、JSON形式でエンコードされた設定を含む文字列が判明しました。 この設定自体には、「SANTA STEALER」と書かれたバナーと、関連するTelegramチャンネルへのリンクが含まれていました。
さらに一歩踏み込んで、 Rapid7 は「SantaStealer」のTelegramチャンネルを調査しました。 研究者たちは、そのアフィリエイト・ウェブパネルを発見し、マルウェアについてさらに詳しく調べるためにアカウントを作成しました。 ウェブパネルには、アフィリエイトがベーシックプランかプレミアムプランのどちらを利用しているかによって利用可能な機能の一覧が記載されています。
Rapid7 によって分析されたSantaStealerのサンプルは、運営者らが宣伝している主張の多くとは異なるようです。 このことから、研究者たちは、このマルウェアは依然として開発中である可能性が高く、初期のサンプルが誤って流出してしまったのではないかと考えています。
技術的な詳細
Rapid7 は、実行可能ファイルのサンプルの一つについて、より詳細な技術的な分析を行いました。 研究者たちは、このプログラムがDLLのビルドを実行しようと試みるものの、最終的には問題が発生することを突き止めました。
同報告書では、「マルウェアの設定と C2 サーバーのIPアドレスの両方が、実行ファイル内に平文で埋め込まれているため、これらのペイロードの検出と追跡は容易である」と述べています。 もし「SantaStealer」の宣伝されている機能の多くが実装されれば、状況は変わるかもしれません。
まず、このマルウェアは、 、anti_cis、 、、exec_delay_seconds、 に対して入力された値を確認し、それに応じて動作します。 続いて、サンプルごとに動作が異なるアンチVM機能について説明します。 Rapid7 の調査によると、ブラックリストに登録されたプロセスやコンピュータ名を検索するサンプルもあれば、単に実行中のプロセスの数、システムの稼働時間、およびVirtualBoxの存在の有無を確認するだけのサンプルもあったことが判明しました。
このペイロードは、最終的にブラウザから認証情報を盗み出そうとします。 Rapid7 はにアクセスし、 のレポートでこれに関するより技術的な詳細を解説しています。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
SantaStealerは、モジュール式の機能を備え、その手口がますます巧妙化している、最先端のMaaS型脅威です。 しかし、その時期尚早な情報漏洩と技術的な単純さにより、防御側には検知や分析を行うための重要な機会がもたらされます。
この情報窃取型マルウェアは、参入障壁を低くするMaaSエコシステムの台頭や、主要な攻撃ベクトルとしての認証情報およびセッションの乗っ取りなど、現在脅威の状況を形作っているいくつかの広範な傾向と一致しています。
当初は運用上のセキュリティが不十分だった多くのMaaSサービスも、収益が伸びるにつれて、時間の経過とともにセキュリティが強化されていきます。 もしSantaStealerがこの傾向に従うならば、進化してさらに巧妙になる可能性が高いでしょう。
「BlackForce」フィッシングキットが大手ブランドを標的にしています
Zscalerが最近公開した記事「 」では、主要ブランドを標的とし、リアルなログインページや「マン・イン・ザ・ブラウザ」の手法を用いて認証情報を盗み出し、の多要素認証（MFA）を迂回する高度なフィッシングキット「BlackForce」について解説しています。。
Zscalerによると、BlackForceは高度な回避戦術やTelegramを介したリアルタイムのデータ流出を行い、難読化やハイブリッド型のクライアント・サーバーロジックを用いて進化し続けているとのことです。
BlackForceの発見とコード解析
Zscalerは、「 」を標的としたフィッシングキャンペーンを調査していた際、、ある明確なパターンを発見しました。 その傾向は、「ドメインが、ファイル名にキャッシュ破棄用のハッシュを含むJavaScriptファイルを一貫して使用していた」というものでした。
このパターンにより、BlackForceフィッシングキットの侵入経路を特定することができました。それは、プラットフォームを読み込むページのHTML内に含まれる、たった1行のコードでした。 Zscalerの調査によると、悪意のあるJavaScriptファイルの内容の 99％以上が、ReactおよびReact Routerの本番用ビルドを含んでおり、これがこのキットを正当なものに見せかける一因となっていました。
BlackForceの攻撃チェーン
BlackForceによる攻撃は、被害者がフィッシングリンクをクリックして、攻撃者のフィッシングページにアクセスした時点で始まります。 サーバー側のISP／ベンダーによるブロックリストを使用し、研究者やスキャナーからの当該ページへのトラフィックが一切発生しないようにしています。 この検証が完了すると、フィッシングページが被害者に表示され、認証情報の入力が求められます。
この時点で、攻撃者には、認証情報が自身の C2 およびTelegramチャンネルに送信されたことを知らせる通知が届きます。 その後、攻撃者は盗んだ認証情報を使ってログインを試みます。
多くの場合、これにより多要素認証（MFA）が作動し、攻撃者はBlackForceを介して被害者に偽のMFA認証ページを送信しなければならなくなります。 被害者がこの偽のページに騙されて多要素認証（MFA）コードを入力してしまうと、攻撃者はそのアカウントへのアクセス権を不正に取得することになります。 攻撃の最終段階で、被害者は正規のウェブサイトにリダイレクトされます。
情報流出
Zscalerは、BlackForceが通信の管理にAxiosを使用していると特定しました。 クライアント側には2つのAxiosインスタンスが存在します。1つ目は C2 との通信用で、もう1つは攻撃者のTelegramチャンネルへデータを流出させるためのものです。
分析への抵抗
多くのフィッシングキットと同様に、BlackForceもさまざまな解析回避手法を採用しています。 Zscalerは、サンドボックスやボットがフィッシングページにアクセスできないようにする、予防的なクライアントサイドフィルターを使用してこれを検知しました。
バージョン 4 では、これをさらに一歩進め、すべてのデスクトップユーザーエージェントを拒否する「モバイル専用」ポリシーを採用しています。 また、このキットには、標的とされた被害者のみがフィッシングページに誘導されるよう、許可された国のリストも含まれています。
ステートフル性
BlackForceの後のバージョンは、ステートレスな攻撃モデルからステートフルな攻撃モデルへと移行した点で、以前のバージョンとは一線を画していました。 バージョン 4 および5では、このキットはブラウザの sessionStorage を利用してステートフルなセッションを作成し、攻撃の全期間を通じて認証情報を記憶できるようにしています。
コミュニケーションC2
「 C2 」パネルは、被害者がフィッシングページにアクセスしてから、データが盗まれるまでの間の動作を制御するために使用されます。 パネルにはいくつかの機能があり、訪問者の特定、被害者のデータの窃取、フィッシングセッションの流れの管理、および攻撃の管理を行う機能が含まれています。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
BlackForceキットは、フィッシングがバージョン管理、機能アップグレード、顧客サポートを完備した、高度に専門化されたサービスモデルへと進化してきたことを示しています。
この事例は、攻撃者が現在、自動検知や研究者による分析に対して積極的に対策を講じている様子も示しており、 の脅威インテリジェンス や自動防御システムのハードルが高まっていることを示しています。
インクドラゴンが新たな攻撃を繰り出します
Check Point Research（ ）は、中国と関連のあるサイバー諜報グループ「Ink Dragon」による新たな攻撃の波に関する分析結果を公表しています。このグループは、IISやSharePointの脆弱性を悪用して一般公開サーバーを侵害し、その後、横方向の移動を行って認証情報を収集し、権限を昇格させています。
[攻撃者をその場で阻止し、ネットワーク全体が侵害される前に横方向の移動を防ぐ方法をご覧ください]
Ink Dragonは、カスタム製のShadowPadモジュールを使用して、被害者のインフラ上に隠蔽された中継ネットワークを構築していることが確認されており、これにより、複数の環境にわたるステルス的なコマンド＆コントロールおよび長期的なアクセスが可能となっています。
初回アクセス
チェック・ポイントによると、この脅威アクターは通常、公開されているマシンキーを利用して、ASP.NETのデシリアライゼーションの脆弱性を悪用しているとのことです。
また、この攻撃者は、初期アクセスを得るためにSharePoint ToolShellの脆弱性を悪用していることが確認されています。
横方向の動き
Ink Dragonは、Webサーバーへの侵入に成功した後、IISの特権認証情報にアクセスし、アクティブな管理者セッションを把握することで、2つの重要な利点を活用します。
IISの認証情報を利用することで、攻撃者はIISのワーカープロセスでの実行権限からシステム全体の制御権へと権限を昇格させ、RDPトンネルやスケジュールされたタスクを通じて永続性を確保し、検出されるリスクを最小限に抑えながら他のサーバーへと横方向の移動を行うことができます。 侵入に成功すると、彼らはネイティブプロトコル（SMBなど）を使用してShadowPadやFinalDraftといったインプラントを展開し、ステルス性を維持するためにサービスを正当な名称で偽装します。
粘り強さ
チェック・ポイントは、永続化の手法に関して2つのパターンを確認しました。その中には、一見無害に見える名前を持つスケジュールされたタスクの使用や、ローダーを起動するために複数のマシンにサービスをインストールすることが含まれます。
権限の昇格
Ink Dragonは、脆弱性の悪用と認証情報の窃取を組み合わせて、横方向の移動を行い、ドメイン全体の制御権を掌握します。 このアクターは、ローカルで権限を昇格させ、LSASSやレジストリハイブをダンプし、 を通じてアイドル状態の管理者RDPセッション を乗っ取り、トークンを再利用していることが確認されています。
アウトバウンド通信の許可
チェック・ポイントが指摘しているように、Ink Dragonは「ホストのファイアウォールルールを改変して広範囲なアウトバウンドトラフィックを許可し、侵害されたホストを事実上、制限のない情報流出／プロキシノードへと変貌させました。」
リレーネットワークの構築
チェック・ポイントは、この脅威アクターが「侵害された組織を、分散型のShadowPad中継ネットワーク内の機能的な通信ノードへと積極的に変換している」ことを突き止めました。
Ink Dragonは、特注のShadowPad IISリスナーモジュールを使用して、侵害されたサーバーを分散型リレーネットワーク内の隠蔽された通信ハブに変えます。 通常のIISトラフィックに溶け込むように隠されたHTTP(S)エンドポイントを動的に登録することで、このインプラントはリクエストを傍受し、ペイロードを復号化し、外部ノードと内部ノードの間でコマンドを中継します。これにより、被害者のインフラストラクチャを用いたマルチホップメッシュが事実上構築され、真の C2 発信元を隠蔽し、ラテラルピボッティングを可能にし、検知を極めて困難にします。
ツールと攻撃後の活動
チェック・ポイントによると、Ink Dragonは以下のようなさまざまな追加ツールを活用しているとのことです：
- ShadowPad Loader
- メモリ常駐型ペイロードの実行のためのCBDLoader
- LSASSダンプの抽出用「LalsDumper」
- ホスト依存型のペイロードローダーとしての032Loader
- FinalDraft which is a long-term espionage and cloud C2
被害者学
Ink Dragonは主に の政府機関 を標的としていますが、その他の分野も標的にしています。
インク・ドラゴンは世界規模で活動しており、東南アジアやアフリカの被害者を標的としており、最近ではヨーロッパにも活動を拡大しています。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
Ink Dragonは、極めて規律正しく、国家と結びついた脅威アクターであり、単にデータを盗むだけでなく、正当な動作を模倣したステルス技術を用いて、企業環境の深部に潜り込んでいます。
被害を受けたサーバーを隠蔽された中継ノードに変え、信頼されているクラウドAPIを悪用することで、検知や封じ込めを極めて困難にしています。つまり、たった一つの侵入経路が、長期にわたるネットワーク横断的な侵害へと発展する可能性があるのです。 この攻撃者は、従来のAPT活動と現代の企業の現実との融合を如実に示しています。
これらの記事について、何かご意見やご感想など、共有したいことはありますか？ へアクセスし、Taniumのディスカッションフォーラム へお進みいただき、会話を始めてみてください。
さらに詳しくお読みになりたい方は、 の最新のサイバー脅威インテリジェンスまとめ記事をご覧ください：。
