今週のまとめでは、CTIが、脅威アクターが古い概念実証（PoC）コードを流用し、新たな脆弱性に対する偽のPoCを作成している実態について検証しています。 続いて、CTIでは、スナッチ（Snatch）ランサムウェアに関する、連邦捜査局（FBI）とサイバーセキュリティ・インフラセキュリティ庁（CISA）による共同サイバーセキュリティ勧告について取り上げます。 最後に、CTIは、「Earth Lusca」として知られる中国のスパイ活動を行う脅威アクターについて調査を行っています。このアクターは、「SprySOCKS」と呼ばれる新しいLinux用バックドアを用いて、複数の国の政府機関を標的にしています。
1. 攻撃者は、偽の脆弱性のPoCにおいて、古いコードを流用しています
パロアルトは研究者に向けた警告の中で、この脆弱性が公表された直後に、ある脅威アクターが の偽のPoCスクリプト （新しいタブで開きます） をGitHubリポジトリにアップロードし、その結果、Venom RATがダウンロードされてしまった経緯を明らかにしました。
8月17日において、Zero Day Initiativeは、WinRARに存在するリモートコード実行（RCE）の脆弱性について公表しました。この脆弱性は CVE-2023-40477として追跡されています。 そのわずか4日後、「whalersplonk」という偽名を使うある開発者が、GitHubのリポジトリに偽のPoCスクリプトをコミットしました。 この偽のPoCは、SQLインジェクションの脆弱性を悪用した、一般に公開されているPoCスクリプトに基づいています。
この偽のPoCスクリプトは、本来の脆弱性を悪用するものではなく、GeoServerの脆弱性に関する公開されているPoCコードを基に作成されたものです。 PoCコードが通常行うと思われるWinRARの脆弱性を悪用するのではなく、VenomRATのインストールにつながる感染チェーンを起動させます。
この偽のPoCは、 CVE-2023-40477-main.zipという名前のZIPアーカイブとしてVirusTotalにアップロードされたPythonスクリプト、具体的にはpoc.pyです。
ソーシャルエンジニアリングの要素
ZIPアーカイブ内のREADME.mdファイルは、脆弱性の概要と、いわゆるPoCスクリプトの使用方法を記載することで、ユーザーを騙して自身のシステムを侵害させようとしています。 この説明には、動画へのリンクも掲載されています。 ただし、そのURLには、有効期限が切れるように設定されていたため、現在その動画はホストされていません。
研究者らは、READMEファイルで言及されていた動画の再生回数が 100 回を超えていることを突き止めました。 彼らは、動画の一部を表示するためのサムネイルとして使用されていたスクリーンショットを2枚入手することができました。
- 最初の画像は、ユーザーが再生ボタンをクリックする前に表示され、脅威アクターのデスクトップとタスクマネージャーが映っており、その中には「Windows.Gaming.Preview」という名前のプロセスも含まれています。 これは、VenomRATのペイロードと同じ実行ファイル名です。
- 2枚目のスクリーンショットは、動画の途中あたりでキャプチャされたものとみられ、Burp Suiteのアーカイブ、メモ帳に表示されたパスワード、およびPuTTYクライアントが写っています。 また、Windowsの時計の日付と時刻も表示されており、時系列を把握するのに役立ちました。
偽のPoC
アーカイブ内に含まれていた偽のPoC Pythonスクリプトは「poc.py」という名前で、オープンソースの「 CVE-2023-25157 PoC」を基に、一部変更が加えられたものでした。
変更点は以下の通りです：
- CVE-2023-25157 の脆弱性の詳細に関するコメントの削除
- PROXY や PROXY_ENABLED という名前の変数の設定など、ネットワーク関連の脆弱性を示唆するようなコード行を削除しました。
- Geoserverの文字列を改変して、エクスプロイトに利用しました
- 「依存関係を確認」というコメントが付いたバッチスクリプトをダウンロードして実行する追加のコードが含まれています
バッチスクリプトは、エンコードされたPowerShellスクリプトを実行し、別のPowerShellスクリプトをダウンロードします。ダウンロードされたスクリプトは、%TEMP%\c.ps1 に保存されます。 このダウンロードしたスクリプトは、別の実行ファイル（Windows.Gaming.Preview.exe）をダウンロードして実行した後、その実行ファイルを3分ごとに実行するようにスケジュールされたタスクを作成します。
Windows.Gaming.Preview.exe は、VenomRAT の亜種です。 この亜種は、 C2との通信を開始する前に、キーストロークを記録するためのキーロガー機能を起動します。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
「この攻撃の動機は興味深いものです。標的選定はどちらかといえばその場しのぎ的なもののように見えますが、それでもセキュリティ研究者を主な標的としているようです。」
「この活動は、攻撃者が常に新たな攻撃経路を模索しており、標的の関心を巧みに利用するものであるという事実を浮き彫りにしています。」 また、特にPoCコードをダウンロードする際には、信頼できる情報源を利用することの重要性を改めて認識させてくれます。」
2。 FBIとCISAは、「Snatch RaaS」に関する共同勧告を発表しました。
FBIとCISAは、「 Snatch」ランサムウェアに関連する最新のIOCおよびTTPを周知するため、共同のサイバーセキュリティ勧告を発表しました。 (新しいタブで開きます)
Snatchランサムウェアは 2018年に初めて登場し、ランサムウェア・アズ・ア・サービス（RaaS）モデルとして運用されていました。 このグループは、当初、主要メンバーの愛称にちなんで「チーム・トゥルニガー」と呼ばれていました。 攻撃者は、デバイスをセーフモードで再起動させるという特徴を持つ、カスタマイズされたランサムウェアの亜種を使用しました。これにより、実行中のサービスが少なくなった状態で、ランサムウェアは検知を回避し、ファイルを暗号化することが可能になりました。
攻撃者たちは、他のランサムウェアの亜種によって盗まれたデータを購入し、それらの被害者をさらに悪用していることが知られています。 以前にも指摘した通り、Snatchランサムウェアグループは、教育機関に対する複数の攻撃（ ）の犯行を自認しており、その結果、学生や教職員の個人情報（PII）がダークウェブ上に流出しました（ ）。 2021年半ば以降、「Snatch」ランサムウェアの攻撃者たちは、変化し続ける脅威情勢を巧みに利用するため、TTPを絶えず進化させています。 これまで、攻撃者は、防衛産業基盤（DIB）、食品・農業、情報技術（IT）分野など、幅広い重要インフラ分野を標的としてきました。
Snatchランサムウェアの攻撃者は、データの持ち出しや二重恐喝を伴う活動を行っています。 彼らはしばしば被害者と直接連絡を取り、身代金を要求したり、盗んだデータを恐喝ブログに掲載すると脅したりします。
初期アクセスと持続性
Snatchの攻撃者は、システムへのアクセス権を取得し、持続性を維持するために、いくつかの手法を用いています。 攻撃者は、RDPの脆弱性を悪用して総当たり攻撃を行い、ネットワークへの管理者認証情報を取得しようとする傾向があります。 場合によっては、アフィリエイトが、サイバー犯罪者の闇市場フォーラムから、不正に入手された認証情報を購入していることがあります。
攻撃者は、管理者アカウントを乗っ取り、ポート 443 を介してC2 サーバーへの接続を確立することで、システムへの持続的な侵入を実現します。 C2 サーバーは、ロシアのセキュリティ対策が万全なホスティングサービス上に設置されています。
データの発見と横方向の移動
攻撃者は、データを特定し、横方向の移動を行い、持ち出し対象となるデータを探すために、さまざまなTTPを用いています。 Sc.exe は、Windows のコマンドラインを使用して、システムサービスの設定、状態の確認、停止、開始、削除、および追加を行うために使用されます。 また、攻撃者はMetasploitやCobalt Strikeも使用しました。
ランサムウェアを展開する前に、攻撃者は最大3か月間、被害者のシステムに潜伏しています。 この間、攻撃者はネットワークを悪用し、RDPを介して横方向に移動しながら、ランサムウェアを可能な限り広範囲に展開しようとします。
防御の回避と実行
攻撃チェーンの初期段階において、Snatchの攻撃者は、ウイルス対策ソフトを無効化しようと試み、safe.exeという名前のファイルとして実行ファイルを実行しようとします。 より最近の事例では、ランサムウェアの実行ファイル名は、ファイルのSHA-256ハッシュ値と一致する16進数の文字列で構成されていました。
ランサムウェアのペイロードが実行されると、レジストリキーの照会や変更を行い、さまざまなWindows標準ツールを使用してシステムの調査やプロセスの検出を行い、Windowsバッチファイルを実行するための無害なプロセスを作成します。 場合によっては、ランサムウェアがボリュームシャドウコピーを削除することがあります。 バッチファイルの実行後、ランサムウェアはシステムからそれらのバッチファイルを削除します。
このランサムウェアの実行ファイルは、暗号化する各ファイル名およびフォルダ名に一連の16進数文字を追加します。 これは感染ごとに異なります。 また、各フォルダに「HOW TO RESTORE YOUR FILES.txt」というファイルが作成されます。 攻撃者は、身代金要求メッセージに残された識別子に応じて、電子メールやToxというコミュニケーションプラットフォームを通じて被害者と連絡を取っています。
一部の被害者からは、Snatchランサムウェアグループの関係者であると名乗る見知らぬ女性からのなりすまし電話を受け、同グループの恐喝サイトへ誘導されたという報告が寄せられています。 場合によっては、被害者のシステムには別のランサムウェアの亜種が仕込まれていたにもかかわらず、Snatchの身代金要求メッセージが届いた事例もありました。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
「このランサムウェアグループの特徴は、時折、被害者に直接かけられるなりすまし電話で、被害者を恐喝サイトへと誘導する点にあります。」 この手口は、すべての「Snatch」ランサムウェア攻撃に見られるわけではありませんが、それでも「なぜそうするのか」という疑問が残りますし、この傾向が他のランサムウェアのファミリーにも広まっていくのかどうかという疑問も生じます。
「共同勧告書の最後の3ページには、FBIおよびCISAによる詳細な対策の提言が記載されています。」 同社が特に推奨している対策には、RDPのセキュリティ確保と綿密な監視、オフラインでのデータバックアップの維持、およびフィッシング攻撃に強い多要素認証（MFA）の有効化と徹底が含まれます。
3。 サイバー諜報攻撃において、攻撃者が新たな「SprySOCKS」Linuxマルウェアを展開しています
、Earth Lusca、 （新しいタブで開きます）、、 として知られる中国のスパイ活動を行う脅威アクターが、現在、「SprySOCKS」と呼ばれる新しいLinux用バックドアを用いて、複数の国の政府機関を標的にしています。 このバックドアは、 のオープンソースWindowsマルウェア「Trochilus」（ （新しいタブで開きます））に由来しており、その機能の多くがLinuxシステムで動作するように移植されています。
最近のアース・ルスカの活動
Earth Luscaは 2023において活動を続けており、外交、技術、通信分野の政府機関を標的とした攻撃を行っております。
Earth Luscaは現在、初期アクセスを得るために、サーバーベースのN-day脆弱性をより頻繁に悪用しています。 その後、Webシェルを展開し、 Cobalt Strikeをインストールして、横方向の移動を行います。。 このグループは、文書や電子メールアカウントの認証情報を持ち出し、ShadowPadやLinux版のWinntiといった、さらに高度なバックドアを展開する予定です。
マンディブルローダーの構成部品
トレンドマイクロは、Earth Luscaの配信サーバー上にホストされていた「libmonitor.so.2 」という名前のファイルを検知しました。 彼らは、そのローダーが一から開発されたものではないことを突き止めました。 その開発者は、「mandibule」と呼ばれる、一般に公開されているLinux用ELFインジェクターを使用しました。
オリジナルのELFインジェクター・プロジェクトは、自身や他のプロジェクトにペイロードを注入する機能を備えたコマンドラインツールです。 これが、マルウェアローダーの基盤となりました。 開発者は、使用方法画面と他のプロセスへの注入機能を削除し、その代わりに、第2段階をロードして復号化する機能を追加しました。 研究者たちは、開発者がデバッグメッセージを削除せず、ローダーのストリップも行わなかったことから、これはかなりずさんな作業だったと指摘しています。
prctl コマンドにより、プロセスの名前は kworker/0:22 に設定されます。 Kwokerは、通常、カーネルのワーカースレッド用のプレースホルダープロセスです。 この名前は、疑いを招かないようにするために選ばれたものと思われます。 このローダーは、2つのコマンドライン引数を受け付けます。1つは暗号化された第2ステージファイルへのパス、もう1つは自己削除フラグです。 第2段階はAES-ECB暗号で暗号化されており、パスワードはローダーにハードコードされています。 また、ローダーは、自身と暗号化されたセカンドステージを /usr/sbin/ ディレクトリにコピーし、ファイル名を変更することで、永続化を図ります。 その後、ローダーをサービスとして起動し、自身を削除します。
SprySOCKS コンポーネント
研究者らは、復号化された第2ステージを調査した結果、それが中国発の高性能ネットワークフレームワークである「HP-Socket」プロジェクトを通じて静的にコンパイルされていたことが判明しました。 初期化手順の結果、 C2 サーバーとの通信を暗号化するために使用される、ハードコードされた暗号化されたパスワードが判明しました。 C2 のアドレスとポートもハードコーディングされていますが、平文で記述されています。
このマルウェアは、複数のマルウェアが混在しているようです。 SprySOCKS C2 通信プロトコルは、Windows 向けのバックドア「RedLeaves」と類似しています。 対照的に、この対話型シェルの実装は、Derusbiとして知られるLinuxマルウェアに由来しているようです。 このRATは、システム情報の収集、対話型シェルの起動、ネットワーク接続の一覧表示、SOCKSプロキシの作成、ファイルのアップロード／ダウンロードなど、いくつかの標準的なバックドアコマンドを実装しています。
出典
暗号化されたSprySOCKSのペイロードは、 2023年6月年の初めに配信サーバー上にホストされていました。 このサーバーは、脅威アクター「Earth Lusca」によって運用されており、標的に対してCobalt StrikeおよびLinux版のWinntiの実行ファイルを配信していました。 SprySOCKSのペイロードにはバージョン番号「 1.3.6 」が含まれており、特定の「C2 」ドメインを使用しています。 研究者たちは、VirusTotal上でバージョン番号 1.1の別のSprySOCKSペイロードを発見しました。このペイロードは、別の C2 ドメインに接続していました。 この C2 ドメインは、アース・ルスカのC2 であることが知られているドメインと、複数の点で重複していました。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
「現時点では、トレンドマイクロが確認しているのは、Earth LuscaによるSprySOCKSマルウェアの使用のみです。 しかし、中国の脅威アクターが独自に開発したマルウェアを頻繁に共有しているという事実を踏まえると、今後、さらに多くの中国の脅威アクターがSprySOCKSを活用するようになっても、驚くことではないでしょう。」
「現時点では、このマルウェアはそれほど複雑ではないようですが、複数のバージョンが存在することから、依然として開発が進められ、成熟しつつある可能性が高いと考えられます。」
これらの記事について、何かご意見やご感想など、共有したいことはありますか？ または Tanium のディスカッションフォーラム にアクセスして、会話を始めてみてください。
さらに詳しくお読みになりたい方は、当社の最新の「」サイバー脅威インテリジェンスまとめをご覧ください。
