今週のまとめでは、CTIが「ToddyCat」として知られる脅威アクターについて取り上げています。このアクターは、被害者の環境への同時接続を活用して持続性を維持し、産業規模でデータを窃取していることが確認されています。 次に、CTIは、Kimsukyと何らかのつながりがある可能性のある北朝鮮の脅威アクターについて調査を行っています。 最後に、CTIは、ロシアの「 APT28 」が、古いWindowsプリントスプーラーの脆弱性を悪用して、「GooseEgg」と呼ばれるこれまで知られていなかったハッキングツールを展開している仕組みについて解説しています。
1. ToddyCatは、産業規模のデータ窃取を行うために高度なツールを導入しています
ToddyCatとして知られる脅威アクターが、最近、被害者の環境への同時接続を利用して、持続性を維持し、データを盗み出していることが確認されました。
このキャンペーンでは、いくつかの異なるツールが活用されていますが、その多くは「 」のToddyCatアクターにとって初めて使用されるものです。 研究者たちは、この最新のキャンペーンにおいて攻撃者が使用したツールのリストを分析しました。
ToddyCatのトラフィック・トンネリング・ツール
ToddyCatは、感染したインフラへの複数のトンネルを持っており、それぞれが異なるツールによって実装されていたため、たとえ1つのトンネルが遮断されても、環境内に潜伏し続けることが可能でした。 このインフラへの継続的なアクセスにより、当該アクターは積極的な偵察活動を行うことが可能となりました。
- リバースSSHトンネル： ToddyCatが、リバースSSHトンネルを使用してリモートサービスにアクセスしていることが確認されました。
- SoftEther VPN： ToddyCatも、トンネル通信のためにSoftEther VPNパッケージに含まれるサーバーユーティリティを使用しました。 ほとんどの場合、攻撃者は、システム上でのその目的を隠すために、デジタル署名されたVPNサーバーの実行ファイルの名前を変更していました。
- NgrokエージェントとKrong： 場合によっては、攻撃者は正規のクラウドプロバイダーを経由してトンネルを構築し、リモートインフラストラクチャにアクセスしていました。 カスペルスキーによると、Ngrokは「エンドポイントからクラウドインフラストラクチャへ、あるいはその逆方向にトラフィックをリダイレクトできる軽量なエージェント」とのことです。 Ngrokは複数のホストにインストールされ、クラウドインフラストラクチャからの C2 トラフィックを、これらのホスト上の指定されたポートにリダイレクトするために使用されました。 指定されたポートは、Krong という別のツールがリスニングしているポートと同じものでした。 Krongは、AVG TuneUpによってデジタル署名されたDLLサイドロードファイルです。
- FRPクライアント： 上記の方法で複数のトンネルを確立した後、脅威アクターはFRPクライアントをインストールしました。 このクライアントは、NATやファイアウォールの内側にあるローカルサーバーへ、インターネットからアクセスできるようにするリバースプロキシです。
データ収集ツール
また、ToddyCatは、それぞれ異なる目的を持つさまざまなデータ収集ツールを使用していることも確認されています。
- Cuthead： 文書を検索するために使用される新しいツールです。 その名称は、SecureListによって特定されたサンプルのファイル説明フィールドに基づいて決定されました。 このツールは.NETでコンパイルされており、ファイルを検索してアーカイブ内に保存します。 このツールでは、特定のファイル拡張子や特定の単語を検索することができます。
- WAExp： は、WhatsApp のデータを盗み出すマルウェアです。 これは.NETで記述されており、WhatsAppのウェブ版からデータを盗み出すことを目的としています。 Web版では、プロフィール情報、チャット履歴、チャット相手の電話番号、現在のセッションデータなど、ユーザーに関するデータが保存されています。
- TomBerBil: また、この攻撃者は「TomBerBil」と呼ばれるツールを使用して、ブラウザからパスワードを盗み出していることが確認されました。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
ToddyCatは、ある環境内で存続するための最善の方法を熟考したようで、万が一1つのトンネルが発見されて遮断された場合に備え、複数のトンネルを利用するという方法にたどり着きました。
このアプローチは、いくつかのデータ収集ツールの活用と相まって、より多くのメンテナンスと管理負担を必要とします。 しかし、特に新しいツールやカスタムツールを組み合わせた場合、かなり効果的であることがわかるでしょう。
2。 ハッカーはeScanのアップデートを利用して、GuptiMinerマルウェアを拡散させています
に属する北朝鮮の脅威アクター は、（Kimsuky APT グループ）と何らかのつながりがある可能性があり、eScanアンチウイルスの更新メカニズムを悪用していることが確認されました。
攻撃者は、 の「 （AitM）」の立場を利用して、正規のeScanアップデートパッケージを乗っ取り、置き換えました。 この攻撃は、GuptiMinerというマルウェアを介してバックドアを仕込み、仮想通貨マイナーを配布することを目的としています。
感染の連鎖
この感染の連鎖は、eScanがアップデートサーバーにアップデートの要求を送った時点で始まります。 その際、中間者攻撃を行う者が更新パッケージを傍受してダウンロードし、それを悪意のあるパッケージとすり替えています。 その後、eScanはこのパッケージを解凍して読み込み、残りの一連の処理を可能にするDLLがサイドロードされます。
- Stage 0 – インストール手順： このキャンペーンの犯人グループは、中間者攻撃を行い、正規のeScanアップデートではなく、感染したインストーラーを被害者の端末にダウンロードさせました。 現時点では、攻撃者が攻撃のMitM段階をどのように実行したかについて、入手できる詳細は限られています。
- Stage 0.9 – インストール手順の改善： インストール手順は時間の経過とともに改良が重ねられ、現在では当初のものとは大きく異なっています。 現在、この脅威アクターは、スケジュールされたタスクやWMIイベント、さまざまな次の段階の手法、Windows Defenderの無効化、およびWindowsへの証明書のインストールを利用しています。
- ステージ1 – PNGローダー： ステージ 0 で実行されたPEファイルは、このステージおよびその後のステージにおいて、脅威アクターの悪意のあるDNSサーバーに接続することで、ドロッパーとして機能します。 取得された応答には、マルウェアが追加のPNG画像ペイロードをリクエストする元となる、実際の C2 サーバーへの暗号化されたURLが含まれています。 このPNGペイロードには、後で追加の機能を提供するシェルコードが含まれています。
- ステージ 2 – Gzip ローダー： これは、Gzip ローダーが Gzip 経由で別のシェルコードを解凍し、別のスレッドで実行する、最も短いステージです。 このスレッドでは、ステージ 3を読み込みます。 GuptiMinerのさまざまな活動を通じて、Gzipローダーに変更は加えられていません。
- ステージ 3 – パペティアー： このステージは、仮想通貨のマイニングやバックドアの展開など、マルウェアの主要な機能を統括する役割を担っています。 Puppeteerは 5 秒ごとにシステム上で実行中のプロセスを監視し、taskmgr、Autoruns、Wireshark、Wireshark-gtp、TCPViewなどのツールを強制終了します。 このマルウェアは、DNSサーバーのレジストリキーを確認し、そのマシンがWindowsサーバーであるかどうかを判断します。 その後、ドメインに参加しているコンピュータの数を取得し、追加のPNGファイルのペイロードをダウンロードしようとします。
- Stage 4 – バックドア： GuptiMiner によって、2 種類のバックドアが展開されます。 1つ目は、PuTTYのカスタムビルドをベースにしており、横方向の移動を可能にするために、ローカルSMBスキャンに関する機能強化が施されています。 2つ目のバックドアはモジュール式のバックドアであり、まずローカルに保存されている秘密鍵や暗号資産ウォレットの有無をスキャンし、その後、シェルコードの形でモジュール式のバックドアを注入します。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
この脅威アクターは、最終的なペイロードの配布に至るまで、さまざまな段階、機能、ツールを駆使しており、高度な手口を示しています。
この攻撃は、XMRigの配布で終わりますが、Avastが指摘しているように、XMRigは容易に検出されるため、「これほど綿密に計画された攻撃としては、少々意外な結果」と言えます。
悪名高い「Kimsuky」という攻撃者との間で、インフラやTTPに共通点が見られることは、確かにこの脅威の深刻度を高めています。
3. APT28 は、Windowsのプリントスプーラーの脆弱性を悪用しています
マイクロソフトは、 Russian APT28（ ）が、Windowsのプリントスプーラーの古い脆弱性を悪用し、「GooseEgg」と呼ばれるこれまで知られていなかったハッキングツールを展開していると警告しています。
APT28 は、少なくとも2020年半ばから GooseEgg を利用していたとみられ、最近では CVE-2022-38028 を悪用していたようです。 このマルウェアは、コマンドライン上で特定のアプリケーションを管理者権限で起動するために使用され、これにより攻撃者はシステムへの侵入後にさまざまな活動を実行できるようになります。
APT28：復習
APT28 （マイクロソフトでは「Forest Blizzard」としても追跡されています）は、攻撃において公開されているエクスプロイトを頻繁に利用しています。
このAPTは、ロシア軍参謀本部情報総局（GRU）と関連があるとされており、その性質上、戦略的な情報収集を主目的とした攻撃を行っています。 この俳優による「GooseEgg」マルウェアの使用は、新たに判明した事実です。
APT28 がGooseEggをどのように活用しているか
- APT28 は、GooseEggを利用して特権アクセスを取得し、標的となったシステムから情報を盗み出します。
- このツールは、デバイスへの初期アクセスを取得した後に使用されます。
- GooseEggは、「execute.bat」または「doit.bat」という名前のバッチスクリプトとともに展開されていることが確認されています。
- このスクリプトは、レジストリハイブを保存・圧縮するためのコマンドを含むファイルを作成します。 このファイルは、GooseEggの実行ファイルを起動し、スケジュールされたタスクを通じて永続化を設定します。
GooseEggのバイナリを詳しく見てみましょう
GooseEggのバイナリは、さまざまな攻撃において、「justice.exe」や「DefragmentSrv.exe」など、いくつかの名称で呼ばれてきました。
このバイナリは、それぞれ実行パスが異なる4つのコマンドのいずれかを受け付けることができます。
- 最初のコマンドは、カスタムのリターンコードを返し、終了します。
- 次の2つのコマンドは、エクスプロイトを起動し、昇格された権限でDLLまたは実行ファイルを起動します。
- 最後のコマンドでエクスプロイトをテストし、「whoami」コマンドを使用して成功したことを確認します。
マイクロソフトによると、埋め込まれた悪意のあるDLLファイルの名称には、しばしば「wayzgoose」という語句が含まれているとのことです。 このDLLは、C:\ProgramData 配下のいくつかのインストール用サブディレクトリ（Microsoft、Adobe、Comms、Intel、Kaspersky Lab、Bitdefender、ESET、NVIDIA、UbiSoft、Steamなど）のいずれかに配置されます。
また、ランダムに生成された文字列を名前とするサブディレクトリも作成され、これがインストールディレクトリとして機能します。 この作成されたディレクトリの例としては、「C[:]\ProgramData\Adobe\v2.116.4405」などがあります。 その後、新しいCLSIDを登録するためにレジストリキーが作成されます。
このエクスプロイトは、オブジェクトマネージャー内のC:ドライブへのリンクを置き換え、以前に作成されたディレクトリを指すようにします。 したがって、PrintSpoolerが特定のコンポーネントを読み込もうとすると、作成されたディレクトリにリダイレクトされます。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
APT28に対する最善の防御策は、適時にパッチを適用することです。 この俳優は、脆弱性が公表されるとすぐにそれを悪用することで知られています。
ここ数ヶ月、この攻撃者は、Microsoft Outlook（CVE-2023-23397）の脆弱性やWinRAR（CVE-2023-38831）の脆弱性などを悪用している姿が確認されています。 このグループが、公開されているエクスプロイトを攻撃に組み込む能力を持っていることは、同グループが10年以上にわたり活動を続けられてきた理由の一つであることは間違いありません。
これらの記事について、何かご意見やご感想など、共有したいことはありますか？ にアクセスし、Taniumのディスカッションフォーラム（ ）で会話を始めてみてください。
さらに詳しくお読みになりたい方は、当社の最新の「」サイバー脅威インテリジェンスまとめをご覧ください。
