今週のまとめの冒頭で、CTIは脅威が米国とカナダの組織を対象に、新しいTruebotマルウェアバリアントをどのように使用しているかを調べます。 次に、CTIは、イラン国家支援の脅威グループ、チャーミング・キトンに関する最近のキャンペーンを調査します。 このキャンペーンでは、脅威が更新したマルウェアの砲弾と新しいTTP、特にMacOSを含む新しいオペレーティングシステムを対象にしていることに注目します。 最後に、CTIは、SmugXと呼ばれる継続的なフィッシングキャンペーンに焦点を当てた最近のレポートの概要をまとめています。
1. CISA: Truebotのアクティビティの増加が米国およびカナダベースのネットワークに感染
サイバーセキュリティおよびインフラストラクチャセキュリティエージェンシー（CISA）、連邦捜査局（FBI）、多州情報共有分析センター（MS-ISAC）、カナダセキュリティサイバーセキュリティセンター（CCCS）は、サイバー脅威アクターが米国およびカナダのさまざまな組織に 新しいTrueBotマルウェアバリアント （新しいタブで開く） をデプロイしたことを受けて、サイバーセキュリティに関する共同アドバイザリーを発行しました。
TrueBotとは？
TrueBot は、サイレンスと呼ばれるロシア語を話すサイバー犯罪ギャングにリンクされているマルウェアダウンローダです。 これは 、TA505 の脅威グループ (新しいタブで開く) ( FIN11 のサイバー犯罪グループともリンク）に属するハッカーによって、CL0Pのランサムウェアを展開するために 使用されています（新しいタブで開く）。 Deploy タブ
共同アドバイザリーから：
Truebot は、 CL0P ランサムウェアギャングなどの悪意のあるサイバーグループによって、標的の被害者から情報を収集して流出させるために使用されたボットネットです... 以前の Truebot マルウェアは、主に 悪意のあるフィッシングメールの添付ファイルを介してサイバー脅威アクターによって配信されました。しかし、新しいバージョンでは、サイバー脅威アクターは悪用 CVE-2022-31199 (新しいタブで開く) — ( Netwrix Auditorアプリケーションリモートコード実行脆弱性) を使用して、侵害された環境内にマルウェアをスケールにデプロイメントできます。
CL0P は最近、大規模なMOVEit ゼロデイサプライチェーン攻撃 (新しいタブで開く） と、アプリケーション下流ユーザを標的にし続け、現在は財務大混乱を狙うその後の恐喝攻撃を担当しました。
アクティビティのサマリ
共同アドバイザリーによると、作成組織は、最近では新しいバージョンのTruebotを展開する脅威アクターの数が増加しています 31 May 2023。
最近のTrueBotバリアントのオープンソースレポートと分析に基づいて、脅威は現在、悪意のあるリダイレクトハイパーリンクを含むフィッシングキャンペーンと CVE-2022-3119の悪用を介してマルウェアの新しいバリアントを配信していると評価しています。
TrueBotフィッシングアクティビティ
共同アドバイザリーは、脅威がTrueBotマルウェアの好ましい配信方法として主にフィッシングメールを利用していると指摘しています。 通常、電子メールは受信者を騙してハイパーリンクをクリックしてマルウェアを実行させようとしますが、研究者は、正当なソフトウェア更新通知を装った電子メールの添付ファイルで実行ファイルを隠蔽している脅威も観察しています。
ユーザが実行可能ファイルとInteractすると、悪意のあるドメインにリダイレクトされ、悪意のあるスクリプトがトリガーされます。 共同アドバイザリーは、Truebotが幅広い正当なファイル形式で非表示にできる点に注目します。
CVE-2022-3119の悪用
共同アドバイザリーで取り上げた2つのTruebot配信方法の中で、フィッシングは依然として最も人気がありますが、研究者は脅威が戦術を変え、Netwrix Auditorのリモートコード実行脆弱性である CVE-2022-3119 を悪用し始めています。
この脆弱性を悪用することで、脅威は侵害された環境内で初期アクセスを達成し、横方向に移動できます。
FlawedGraceとは？
マルウェアがダウンロードされると、Truebot は名前を変更し、 FlawedGrace (新しいタブで開く) リモートアクセストロイの木馬(RAT)を感染したホストにダウンロードします。 FlawedGrace はレジストリと印刷スプーラプログラムを変更して、プリンタのキューへのドキュメントの流れを管理できます。 これらの機能の両方を操作することで、 FlawedGraceは特権をエスカレートし、永続性を達成 できます。
暗号化されたペイロードは、 FlawedGrace の実行フェーズ中にレジストリ内に保存されます。 スケジュール済みタスクを作成し、 msiexec.EXE と svchost.EXEにペイロードをインジェクションすることもできます。 これらはそれぞれ、 FlawedGraceがコマンドアンドコントロール(C2)通信チャネル を容易にし、RATが権限のエスカレーションを可能にするDLLを読み込めるようにするのに役立つプロセスです。
共同アドバイザリーによると、侵害後の追加の操作を開始する前に 、TruebotがCobalt Strikeビーコンを最初の数時間休止モードでメモリに 注入するのも観察されています。
検出、防御回避
Truebot の実行プロセスの最初の段階では、 RtlGetVersionを使用して現在のオペレーティングシステムバージョンをチェックし、 GetNativeSystemInfoを使用してプロセッサの属性を分析します。
コモディティマルウェア業界でますます一般的な傾向の一端を担っていると思われるものにおいて、 TrueBotのいくつかの バリアントには、大量のパディングコードが付属しています。 共同アドバイザリが説明するように、分析された Truebot サンプルには、検出 検知 と分析を困難にするために設計された1ギガバイト以上のジャンクコードが組み込まれています。
上記のチェックを完了すると、 Truebot は実行中のすべてのプロセスを列挙し、機密ホストデータを収集し、そのデータをエンコードされたデータ取り込むに送信して、第2段階の実行のステージを設定できます。 本書で説明するアクティビティに関連するIOCの性質を踏まえると、 Truebot はシステム時間に関連するソフトウェアセキュリティプロトコルと指標も検出できると思われます。 これらの機能は、防御回避に役立つことが意図されていると考えられますが、マルウェアが侵害されたシステムの内部クロックと同期できるようにすることで、タスクの正確なスケジュールを簡単に設定できる場合もあります。
共同アドバイザリーから：
次に、 .JSONIP 拡張子（例： IgtyXEQuCEvAM.JSONIP)を使用して、13文字のグローバル一意識別子(GUID)を作成します。これは、 Truebotが収集するデータのラベル付けと整理 に使用する128ビットテキスト文字列です... GUIDを作成した後、 Truebotは実行中のプロセスデータを base64 または一意の16進コード文字列に コンパイルして列挙します。 Truebotの主な目標は、セキュリティデバッガツールの存在を特定することです。 ただし、特定されたデバッガツールの存在によって Truebot の実行プロセスが変更されることはありません。データは、追跡および防御回避の目的で base64 個のエンコードされた文字列にコンパイルされます。
データの収集と抽出
上記のステージがコースを実行すると、 Truebotは侵害されたホストのコンピュータとドメイン名を、新しく生成されたGUIDとともにPOSTリクエストの形式でハードコードされたURL に送信します（ユーザエージェント文字列で観察）。
POST要求は、双方向トラフィックをサポートできる C2 接続を開始および確立します。 この接続が確立されると、マルウェアは、追加のペイロードのダウンロード、環境全体の自己複製、および/またはこの 時点までの操作をサポートしたファイルの削除など、さまざまな目的で2つ目の難読化されたドメインを利用します。
その他の配信方法とツール
次のリストは、 Truebotが関連付けられている追加の配信ベクトルとツールを表 しています。
- Raspberry Robin (マルウェア）： Raspberry Robinは、他の マルウェアファミリーへのリンクと、USBドライブを使用したインストールを含むさまざまな感染方法を含む、 ワーマブルマルウェアです。
Raspberry Robinは、最大のマルウェア配布プラットフォームの1つに進化し、 Truebot、および IcedID やBumblebeeマルウェアなどの侵害後のペイロードをデプロイしています。
- Teleport (Tool)： TalosがTeleportと呼ぶカスタムデータ抽出ツールを使用して、サイバー脅威アクターが観察されています。
Teleportは、バイナリでハードコードされた暗号化キーと、高度な暗号化標準(AES)とハードコードされたキーを使用してデータを暗号化するカスタム通信プロトコルを使用して、データの流出時の検知を回避することが知られています。
Taniumのサイバー脅威インテリジェンスチームからのアナリストコメント
「 CL0P の強要/ランサムウェアグループや、より危険なアフィリエイトの一部などのサイバー犯罪組織との TrueBotの 関連付けを考えると、 TrueBot と上記の活動を重大な脅威に満たないものとして特徴づけることは賢明ではありません。特に、その運用がそのような無差別な方法で組織を標的にしているように見える場合です」
2。 LNKとMacマルウェアへの魅力的なキッテンの進出
Proofpoint の最新レポート (新しいタブで開く) は、イランの国が支援する脅威グループであるCharming Kittenが最近実施したキャンペーンを調査したものです。 このキャンペーンでは、脅威が更新したマルウェアの砲弾と新しいTTP、特にMacOSを含む新しいオペレーティングシステムを対象にしていることに注目します。
脅威の概要
2023年5月 Proofpointでは、チャーミング・キッテンがロイヤル・ユナイテッド・サービス・インスティテュート（RUSI）の上級フェローとして偽装した良心的な会話を送っているのを観察。
この無害なメールは、外交に焦点を当てた米国ベースのシンクタンクで、原子力セキュリティ専門家の一般メディアの連絡先に送信されました。 このEメールは、特定のプロジェクトに関するフィードバックを求めており、レビューのためにドラフトを送信するアクセス権限を要求しました。
Charming Kittenは、さまざまなクラウドホスティングプロバイダを使用して、 GorjolEchoと呼ばれる新しく特定された PowerShellバックドア をデプロイする新しい感染チェーンを提供しています。 脅威はまた、マルウェアを移植し、MacOSデバイスに対する感染チェーンを開始しようとしました。 Proofpointは、この感染チェーンとバックドアをNokNokといいます。
無害なメッセージのターゲティング
Charming Kittenは、犠牲者をターゲットにするために無害なメッセージを頻繁に使用します。 JCPOA (Joint Comprehensive Plan of Action)交渉が継続し、テヘランが影響力の領域でますます孤立していると、チャーミング・キッテンは、こうした外交政策を知らせる可能性が高い専門家に対する対象を絞った取り組みの大部分に焦点を当てています。
最近観察されたインシデントの1つで、脅威は、後で複数ペルソナのなりすましを使用して、被害者との信頼関係を確立しようとする追加の専門家をリストする前に、無害なEメールをターゲットに送りました。
Taniumのサイバー脅威インテリジェンスチームからのアナリストコメント
「このキャンペーンで観察されたTTPと新しいバックドアは、Charming Kittenが感染チェーンを適応させてスパイ活動で成功し続ける能力を強調しています。
このキャンペーンで最も注目に値する変化は、MacOSデバイスを対象にマルウェアをポーティングすることで、脅威が広範囲のターゲットを持つことを可能にすることです。」
Proofpointから：
Google Scripts、Dropbox、CleverAppsの使用は、Charming Kittenが脅威ハンターによる混乱を最小限に抑えるための取り組みにおいてマルチクラウドアプローチに引き続き従属していることを示しています。
3。 中国のハッカーがSmugXキャンペーンで欧州政府機関を対象にしている疑い
Check Point Researchが最近 発表した レポートでは、中国の国が支援する脅威とつながりのあるSmugXという継続的なフィッシングキャンペーンが強調されています。
キャンペーンの目標はスパイ活動のようで、PlugXリモートアクセストロイの木馬(RAT)を配信するように設計された2つの異なる感染チェーンを備えています。
キャンペーンの詳細
SmugXキャンペーンは年に開始されたと伝えられています 2022年12月。 この操作戦の犠牲者は、英国、フランス、スウェーデン、ウクライナ、チェコ、ハンガリー、スロバキアなどのヨーロッパ諸国にある外務省と大使館で構成されています。
フィッシングキャンペーンの一環として展開されるルアー文書は、主に欧州の国内外ポリシーをテーマにしています。
キャンペーンを網羅するBleepingComputerの記事から：
調査中にチェックポイントが収集したサンプルのうち、以下を参照してください。
- ブダペストのセルビア大使館からの手紙
- 欧州連合評議会スウェーデン大統領の優先事項を記載した文書
- ハンガリー外務省発行の外交会議への招待
- 2人の中国人権利弁護士に関する記事
SmugXキャンペーンで使用されたルアーは脅威の標的プロファイルを裏切り、スパイ活動がキャンペーンの潜在的目的であることを示します。
チェックポイントの調査によると、SmugXキャンペーンは2つの新しい配信方法（それぞれ低い検知率をもたらす）を活用して、主に中国政府が支援する複数のAPT (Advanced Persistent 脅威）グループに関連するRATであるPlugXの新しいバリアントDeployしています。
2つの攻撃チェーンのうちより目立つのは、サイバー犯罪者や国家主体の間でますます普及している技術であるHTMLの密輸（したがってキャンペーンの名前）です。
HTMLの密輸：再教育
このキャンペーンで観察された2つの攻撃チェーンに入る前に、少し時間を取ってHTMLの密輸について再理解しましょう。チェックポイントは「十分に文書化された手法」と説明しています。 悪意のあるファイルはHTMLドキュメントに埋め込まれており、ネットワークベースの検知手段を回避できます。
SmugXキャンペーンでは、HTMLの密輸によってJavaScriptまたはzipファイルのダウンロードが容易になります。
操作で取り上げられた悪意のあるHTMLドキュメントのいずれかを開くと、次の一連のイベントが発生します。
- まず、ドキュメントのコードに埋め込まれたペイロードはデコードされ、JavaScriptブロックに保存され、適切なファイルタイプ（アプリケーション/zipなど）に指定されます。
- 次に、HTML
<a>要素を使用するのではなく、JavaScriptコードが動的に作成します。 - 上記のJavaScript blobは、createObjectURL機能を使用してURLオブジェクトを作成します。
- ダウンロード属性は、目的のファイル名で設定されます。
- 最後に、コードはクリックアクションを呼び出し、ユーザがリンクをクリックし、ファイルのダウンロードを開始することをシミュレートします。
チェックポイントは、古いバージョンのブラウザでは、コードはmsSaveOrOpenBlobを使用して、BLOBを目的のファイル名で保存します。
2つの異なる攻撃チェーン
SmugXキャンペーンは、2つの主要な感染チェーンで構成されています。どちらもHTMLファイルで始まります。
これは、被害者のダウンロードフォルダに第2ステージを保存するために使用します。 第2段階に関しては、いくつかの違いがあります。 一方は悪意のあるLNKzipファイルファイルを使用し、他方のチェーンはJavaScriptを使用してリモートサーバからMSIファイルをダウンロードします。
- SmugXアーカイブチェーン：上記の2つのシナリオの最初のシナリオでは、HTMLファイルはPowerShellを実行するように設計された悪意のあるLNKファイルを含むZIPアーカイブを密輸します。 PowerShellを使用して、攻撃者はLNKファイルに埋め込まれた圧縮アーカイブを抽出し、%temp%ディレクトリに保存します。
- SmugX JavaScriptチェーン：2つのPlugX感染ベクトルのうちの2つ目は、JavaScriptファイルダウンロードするためにHTML密輸を利用します。
実行時、ファイルは攻撃者のリモートサーバから提供されたMSIファイルをダウンロードして実行します。 MSIによって新しいフォルダが作成され、%appdata%\Localディレクトリに保存され、MSIパッケージから抽出された3つのファイルも保存されます。 これら3つのドロップされたファイルは、ハイジャックされた正当な実行可能ファイル、ローダDLL、および暗号化されたペイロードで構成されています。
このキャンペーンが選択した読み込み方法に関して、以前に観察されたPlugX感染の他の多くのインスタンスとはほとんど違いがありません。マルウェアはDLLサイドロード方法を活用します。
PlugX、改訂
このキャンペーンの最終ペイロードはPlugXです。PlugXは、中国系サイバー脅威が 2008年以来使ってきたインプラントです。 これはモジュール型のマルウェアであり、リモートアクセスツールとして動作しながら、多数のプラグインに対応できます。それぞれに独特の機能があります。 これは、侵害されたシステムに対するさまざまな悪意のあるアクティビティをオペレータが容易にできるようにするものです。 例としては、ファイルの窃盗、画面キャプチャ、キーログ、コマンドの実行などがあります。
永続性に関して、PlugXは正当なプログラムとDLLをコピーし、インプラントによって作成された隠れたディレクトリに保存します。 暗号化されたペイロードは別の非表示フォルダに配置され、PlugXは正当なプログラムを Run レジストリキーに追加することで永続化を実現します。
APTアクティビティの重複
SmugXキャンペーンが中国の脅威の仕事であるというチェックポイントアセスメントは、攻撃者によるPlugXインプラントの使用のみに基づくものではありません。 同社の研究者はまた、キャンペーンが「RedDeltaまたはMustang Pandaのいずれかに他のセキュリティベンダが帰する活動との重大な類似点」を共有しているという事実に基づいています。
Taniumのサイバー脅威インテリジェンスチームからのアナリストコメント
「上記の事実に基づくと、チェックポイントはSmugXキャンペーンを中国の脅威主体と正確にリンクしているように見えます。 キャンペーンの目標は、明らかにインテリジェンスの収集とスパイ活動であり、キャンペーンの目標は中国政府の州権益に沿っています。 CTIは引き続き、このキャンペーンとそれに紐づけられている他のすべての開発を監視します。
共有したいこれらのストーリーに洞察がありますか？ Taniumのディスカッションフォーラムに進み、会話を始めてください。
詳細は、最近の サイバー脅威インテリジェンスのまとめをご覧ください。
