今週のまとめでは、CTIが、TargetCompanyというランサムウェア組織が、新しいLinux亜種を用いてESXiサーバーを脅かしている実態について解説しています。 続いて、CTIは、これまで記録されていなかったスパイ活動主体について調査を行っています。この主体は現在「LilacSquid」として追跡されており、米国、欧州、アジア各地で発生した複数の攻撃との関連が指摘されています。 最後に、CTIでは、DarkGateの脅威アクターが、AutoItスクリプトから離れ始め、最終的なペイロードを実行するためにAutoHotkeyへと移行しつつある状況を分析しています。
1. TargetCompanyのLinux亜種が、新たな手口でESXi環境を脅かしています
「TargetCompany」ランサムウェアの攻撃グループは現在、 に掲載された新しいLinux向け亜種を用いて、ESXiサーバーを標的にしています。 （新しいタブで開きます）。
この最新の亜種は、カスタムシェルスクリプトを使用してペイロードを配信・実行し、バックアップの目的で、攻撃者が管理する2つの異なるサーバーへデータを流出させます。
TargetCompanyとは何ですか？
「TargetCompany」ランサムウェアグループは 2021 年に初めて発見され、「Mallox」という名称でデータ流出サイトを運営しています。
多くのランサムウェア攻撃と同様に、TargetCompanyもその戦術、手法、手順（TTP）を進化させ続けており、アンチマルウェアスキャンインターフェース（AMSI）を回避するためのPowerShellスクリプトの導入や、完全に検出不能（FUD）な難読化パッカーの悪用などを行っています。
トレンドマイクロは、脅威ハンティングの取り組みの中で、この攻撃キャンペーンのLinux版を発見しました。
TargetCompanyのLinux版
Linux版では、実行ファイルに管理者権限があるかどうかを確認します。 管理権限がある場合にのみ、処理が実行されます。
実行されると、「TargetInfo.txt」という名前の、被害者の情報が記載されたファイルが作成されます。 このファイルの内容は、「ap.php」というファイル名で C2 サーバーにも送信されます。 この動作は、TargetCompanyのWindows版と類似しています。
ESXi環境を対象としています
TargetCompanyは現在、さらなる被害と混乱を引き起こすため、仮想化サーバーを標的にしています。
このバリアントは、マシンが VMware ESXi 環境で実行されているかどうかを判別することができます。 システムがVMwareのESXiハイパーバイザー上で動作している場合、以下の拡張子を持つファイルが暗号化されます：vmdk、vmem、vswp、vmsn、vmx、およびnvram。 この亜種は、暗号化されたファイルの拡張子を「.locked」に変更し、身代金要求メッセージを残します。
シェルスクリプトの実行
トレンドマイクロによるペイロードの調査 (新しいタブで開きます) によると、シェルスクリプトがランサムウェアのペイロードのダウンロードと実行の両方に使用されていることが判明しました。 このスクリプトは、この亜種を実行するために特別に作成されたものです。 このスクリプトは、データをサーバーへ流出させることも可能です。
前述の通り、この亜種は盗み出したデータを2つの異なるサーバーに送信しますが、研究者らは、これは冗長性を確保するためのものだと考えています。 その後、スクリプトは「TargetCompany」のペイロードを削除します。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
TargetCompanyは、ターゲット候補の数を増やすため、 のLinux環境を標的にしているようです。 （新しいタブで開きます） 同時に、TargetCompanyは成功の可能性を高めるため、2つの異なるサーバーへデータを流出させています。おそらく、いずれかのサーバーが侵害されたり利用できなくなったりした場合に備えて、バックアップサーバーを確保するためでしょう。 これは、ここ数ヶ月間にわたって増加している法執行機関による摘発活動への対応である可能性があります。
2。 LilacSquidは複数の分野をターゲットとしています
これまで未確認だったスパイ活動を行う主体が、現在は「 」として追跡されており、LilacSquid （新しいタブで開きます）、米国、欧州、アジア各地で発生した複数の攻撃に関与している疑いが持たれています。
のLilacSquidキャンペーン（ （新しいタブで開きます）、、 ）は、関心のあるデータを盗み出すことを目的として、長期的なアクセス権の確立を図っています。 これらの攻撃では、脆弱性のあるアプリケーションサーバーを乗っ取るか、または不正に入手したRDP認証情報を利用した後、オープンソースのリモート管理ツールと、カスタマイズされたQuasarRATを併用しています。
LilacSquidとは何ですか？
このスパイ活動を主目的とする脅威アクターは、少なくとも 2021 年頃から活動しているとみられ、データ窃取のために長期的なアクセス権を確保するなど、長期的な戦略を採る傾向があります。
- Cisco Talosは、この脅威アクターによる少なくとも3件の侵害成功事例を報告しています。
- 初期アクセスを行う際、この攻撃者は脆弱性を悪用するか、または乗っ取られたRDPの認証情報を使用します。
- アクセス権を取得した後、攻撃者は、オープンソースのリモート管理アプリケーション「MeshAgent」と、「PurpleInk」として追跡されているカスタム版のQuasarRATを使用します。
LilacSquidの感染経路
LilacSquidの最初の感染経路は、脆弱性のあるWebアプリケーションの悪用から始まりますが、2つ目の感染経路は、乗っ取られたRDPの認証情報の使用から始まります。
いずれの場合も、侵入に成功すると、MeshAgent、SSF、InkLoader、およびQuasarRATを大幅にカスタマイズしたバージョンであるPurpleInkといった、デュアルユースのツールが展開されます。 PurpleInkは 2021 年以降、活発に開発が進められており、独自のマルウェアへと進化し続けています。 このマルウェアは難読化されており、プロセスの列挙や「 C2」へのデータ送信、プロセスの終了、新しいアプリケーションの実行、ドライブ情報の取得、指定されたディレクトリの列挙、「 C2 」で指定されたファイルの読み取りとその内容の外部への流出、および指定されたファイルの内容の置換や追加など、多くのRAT機能を備えています。
また、このマルウェアには、新しいサーバーへの接続、新規または既存のプロキシサーバーへのデータ送信、接続の切断、および接続済みの別のプロキシサーバーからのデータ受信と処理など、プロキシサーバーと通信するためのいくつかの方法があります。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
LilacSquidによるMeshAgentの使用は、ラザルス・グループ内のサブグループである「Andariel」という別の北朝鮮の脅威アクターと共通点が見られます。 このグループとのTTPにおけるその他の共通点は確かに注目に値しますが、決定的な関連性はまだ確認されていません。 しかし、ラザラス・グループは以前にも、 といった大規模なサプライチェーン攻撃 (新しいタブで開きます) や「 3CX 」のような攻撃を実行しており、これらは同グループによる長期にわたる不正アクセスによって可能となったものです。
とはいえ、LilacSquidが長期的なアクセス権を維持するという目的は、スパイ活動にとどまらず、「サプライチェーンを侵害する新たな手段を開く」可能性もあります。
3。 DarkGateマルウェアは、最新の攻撃においてAutoItをAutoHotkeyに置き換えています
Trellixの報告 （新しいタブで開きます） によると、 のDarkGateマルウェア （新しいタブで開きます） を利用した攻撃では、AutoItスクリプトの使用が減少しつつあり、最終的なペイロードを実行するためにAutoHotkeyツールキットへと移行しつつあります。
この新しい手法を用いたキャンペーンをさらに詳しく調査したところ、DarkGateとPikaBotの両方のサンプルが確認されたサーバーもいくつか見つかりました。これは、作者が一方をもう一方のバックアップとして活用している可能性があることを示唆しています。
DarkGate MaaSの開発者であるRastaFarEyeは、同サービスに関する苦情が相次いだため、 2023 年の終わり頃、いくつかのアンダーグラウンド・フォーラムから追放されました。 それにもかかわらず、DarkGateマルウェアは依然として拡散され続けており、実環境でも確認されています。 RastaFarEyeは、新製品とともに自社製品の販売を継続するために、他の別名を採用したとみられています。
DarkGateの実行チェーン
DarkGateのキャンペーンは、刻々と変化する脅威の状況に対応するため、頻繁に変更されています。 例えば、このマルウェアは以前、 AutoIt3 やDLLのサイドローディングを利用して、最終的なペイロードを展開していました。 最近の攻撃キャンペーンでは、このマルウェアはスクリプトインタプリタであるAutoHotkeyを利用して、3段階に分けてマルウェアを起動しています：
- 攻撃の第一段階は、各作戦によって異なります。 最近のキャンペーンでは、 において、この攻撃者は、Excel や HTML の添付ファイルが添付されたフィッシングメール を使用しており、被害者にボタンをクリックさせ、VBScript マクロをダウンロードさせるよう誘導しています。
- 第2段階はVBScriptで、PowerShellコマンドを実行する役割を担う実際のコードはわずか4行しか含まれていません。
- 第3段階はPowerShellスクリプトであり、これによって3つのファイル（正規のAutoHotkeyインタプリタ、AutoHotkeyスクリプト、およびプレーンテキストファイル）がダウンロードされます。 これらのファイルは、DarkGateのペイロードを取得する役割を担っています。
『DarkGate v6』について
DarkGate v6 は、バージョン4以来最大規模のアップデートが行われ、設定、回避手法、および対応コマンドに修正が加えられました。 最大の変更点は、メインコード全体の再構築と、コマンドの処理方法の変更です。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
DarkGateマルウェアは、AutoItからの移行が示すように、進化を続け、変化するトレンドに対応し続けています。
興味深いのは、こうしたキャンペーンでは、文書内のマクロを有効にして感染の連鎖を開始させるために、依然としてユーザーによる手動の操作に依存しているという点です。 つまり、マルウェア自体は進化している可能性がありますが、の背後には、攻撃チェーン――少なくとも初期アクセス――が存在しているようです。
これらの記事について、何かご意見やご感想など、共有したいことはありますか？ 、Taniumのディスカッションフォーラム （新しいタブで開きます）、、 にアクセスして、会話を始めてみてください。
さらに詳しくお読みになりたい方は、当社の最近の「」サイバー脅威インテリジェンスまとめをご覧ください。 （新しいタブで開きます）。