製品概要
Quick Heal Security Labsは、インドの製造業および輸出産業を標的とした新たなマルスパムキャンペーンを確認しました。このキャンペーンでは、マルウェア攻撃者は複数の高度な手法を用いて防御機構を回避しています。当社の分析では、このキャンペーンで複数のリモートアクセスツール（RAT）が使用されていることが確認されました。その一部を以下に示します。
- Agent Tesla
- Remcos RAT
- ナノコア RAT
攻撃は フィッシング詐欺 悪意のあるVBAマクロを含むMS Office PowerPointファイルを含むメール。実行されると、悪意のあるマクロは既存の正規ソフトウェアを使用してPastebinから悪意のあるペイロードをダウンロードし、その後攻撃が続行されます。
技術仕様
このキャンペーンでは、次のような複数の回避手法が使用されています。
- LoLBinまたはLiving-Off-The-Landバイナリの使用
- 正規のファイルホスティングサービスPastebinでペイロードをホスティングする
- AMSI（マルウェア対策スキャンインターフェース）をバイパスする
- メモリ内ペイロード実行 – ファイルレス技術
Living-off-the-landバイナリはオペレーティングシステムに組み込まれたツールであり、通常は正当な目的で使用されます。攻撃者はこれらのツールを悪意のある目的で悪用し、アプリケーション制御やホワイトリストのバイパスを実現します。また、悪意のあるカスタムバイナリの使用を最小限に抑えることができます。ペイロードホスティングにPastebinを使用することで、ネットワークセキュリティ制御をバイパスできます。AMSIバイパス技術は、メモリ内セキュリティ制御をバイパスするために使用されます。 PowerShellの ペイロードの検出。最終的なペイロードはダウンロードされ、ファイルレス技術を活用してWindowsネイティブバイナリを使用して挿入されます。
初期攻撃ベクトル
以下は、マルスパム キャンペーンの典型的な電子メールの例です。
ステージ1 VBAマクロ
被害者が添付ファイルを開くと、VBAマクロが有効になって実行されます（下の図は悪意のあるマクロを示しています）。さらに、パラメータhXXp[:]//j[.]mp/asdxasffgdasodkasodkaosを指定してmshta.exeを実行し、ペイロードの第2段階をダウンロードします。
ステージ2 MSHTA
短縮リンク hXXp[:]//j[.]mp/asdxasffgdasodkasodkaos は hXXps://pastebin.com/raw/p0L3ZEdv にリダイレクトされます。このリンクにはhtaファイルがホストされています。下の図3はデコードされたVBSコードです。このコードはmshta.exeによってダウンロードされ、実行されます。
上記のVBScriptに示されているように、コードは複数の手法で難読化されています。StrReverse関数は、一部の文字列の難読化を解除するために使用されます。この関数は、VBScriptコードの次の段階をmshtaで実行したり、複数のmshtaの自動実行レジストリエントリを追加したり、80分間隔でmshtaを作成するスケジュールタスクを作成したりするなど、複数の悪意のあるアクティビティを実行します。
上記の VBScript コードは、以下の 4 つの異なる Pastebin リンクを参照します。
- hXXp://pastebin[.]com/raw/9R26f905:
- mshta の助けを借りて、ステージ 3 の VBScript を実行します。これについてはステージ 3 で説明します。
- hXXp://pastebin[.]com/raw/veYin3zL:
- WMI経由でPowerShell.exeを起動し、hXXp:\\pastebin[.]com \raw\pJndi7zCにホストされている別のバイナリを実行します。このペーストは分析時に削除されました。
- hXXp://pastebin[.]com/raw/EfCVqG1K
- このVBScriptは、レジストリエントリ「HKCU\Software\mogale」の内容を実行するためのpowershell.exeの自動実行レジストリエントリを作成します。このレジストリにはビットコインハイジャッカーのコードが含まれており、そのコードの一部を以下に示します。
- hXXp://pastebin[.]com/raw/P2EtwdW6:
- このコードは PowerShell を実行して hXXp://pastebin[.]com /raw/eyGv9x4B からコンテンツを読み込み、メモリ内で実行しますが、この貼り付けは分析時に削除されました。
ステージ3 MSHTA:
ステージ3では、pastebinにホストされたVBScriptがmshta.exeの助けを借りて実行されます。デコードされたVBScriptコードは以下のようになります。
このVBScriptコードは以下のタスクを実行します –
1.AMSIバイパスDLLをメモリにダウンロードして実行する
図6はAMSIバイパスDLLのコードを示しています。AMSIは、マルウェア対策ベンダー向けに提供されるマルウェア対策スキャンインターフェースです。VBS、PowerShell、VBAマクロなどのスクリプトの難読化解除に非常に効果的です。スクリプトの実行中に内容をスキャンします。このインターフェースは、特にPowerShellスクリプトの場合、ファイルレスマルウェアの検出にも役立ちます。この高度な検出を回避するために、以下のコードを使用してamsi.dllのAmsiScanBuffer()関数にパッチを適用します。
2..NETインジェクターDLLをダウンロードして実行する
インジェクターDLLの以下の関数は、指定されたプロセスに最終的なペイロードを注入する役割を担います。この場合、図2に示すように、rOnAlDo::ChRiS('InstallUtil.exe',$Cli5)関数を呼び出すことで、ペイロードバイナリがinstallUtil.exeに注入されます。
3.最終ペイロード実行
最終的なペイロードは、図10に示すように、別のPastebinにホストされています。攻撃者はこの最終ペイロードを変更し続け、Agent Tesla、Remcos、NanoCore RATといった様々なRATを配信していることを確認しています。分析時点ではAgent Teslaのみが見つかりましたが、過去の事例では、このキャンペーンはRemcosとNanoCore RATも配信していました。
エージェント・テスラのペイロードの分析
最終的なAgent Teslaペイロードは、Windowsネイティブプロセスの一つであるInstallUtil.exeに注入されます。下図は、InstallUtil.exeのメモリ内に注入されたAgent Teslaバイナリを示しています。
Agent Tesla は、ブラウザに保存された認証情報や FTP パスワードなどの個人情報を被害者のマシンから盗むために使用される情報窃盗マルウェアです。また、キーロギングや画面キャプチャも実行します。
盗まれた情報はすべて C2 サーバーに送信されます。
結論
このキャンペーンは様々な名前で知られており、「Roma225」、「RG」、「Aggah」などがよく知られている。私たちは2020年XNUMX月からその痕跡を追跡している。このキャンペーンの背後にいる攻撃者は、特定の地域や業種に限定されておらず、同様のキャンペーンはこれまでにも世界中の様々な組織（政府機関を含む）を標的としてきた。
このキャンペーンの背後にいる脅威アクターは、ペイロードをホストするためにPastebin PROアカウントを使用している可能性が高い。j.mp、bit.ly、Pastebinなどの公開システムを使用することで、 脅威 攻撃者は、セキュリティソリューションではブロックされない可能性が高い正規サービスの背後に潜伏しています。確信度は低いものの、セキュリティコミュニティはこの攻撃をパキスタンに拠点を置くGorgon Groupと関連付けています。
迷惑メールの添付ファイルを開いたり、ウェブリンクをクリックしたりしないようお勧めします。組織は、環境全体でマクロを無効にすることを検討してください。
IOC
- 9a6ffcd34b92551d3420a91cfcb653b6
- 9a6ffcd34b92551d3420a91cfcb653b6
- 60FB2ACEB496C3A81C91D37AC58F93D5
- FD9266A2E0F33EE4C26824CDF2743BFC
- 536D03572918F4D37E3830A81D276E82
- A4F41AF9DB1535148CDAEC0B79FCBBC9
- C6552C9750A6217070FCD6EF59A4E6B6
- 0AC712F8D1B974F4204B905E4591BA48
- 47127206546C2C10699BDEBE121959BD
- CD8486E95DC1BE8D7BE340EAFD9DC205
- 513E8704E63139ADE4BAE0E2AF117089
- A5D8A638F68FD463A9A38194F8E1E88E
- 9BCEB4ED215E8950DDDB102789638C41
主題の専門家
- アニルッダ・ドラス
- カルペシュ・マントリ
- パヴァンクマール・チャウダリ
