jRAT（Javaベースのリモートアクセス型トロイの木馬）マルウェアは目新しいものではありませんが、ここ数ヶ月で活動が活発化しており、様々な組織を標的にしています。Quick Heal Security Labsは、ユーザーを狙った、兵器化されたJARファイルを添付ファイルとして含んだスパムメールを1日に数千件特定しています。これらの悪意のあるJARファイル、つまりjRATマルウェアは、実行されるとユーザーに感染します。それでは、このマルウェアの詳細な分析を見てみましょう。
感染連鎖
感染経路の初期段階として、スパムメールが挙げられます。一見本物のメールのように見えるため、ユーザーは添付ファイルをダウンロードして開きたくなります。
以下は、これらのスパムメールで確認された添付ファイル名のリストです。
- ITD_EFILING_FORM15CB_PR3.2.jar
- MVD_SHPMNT_VSL_0004048_pdf.jar
- 支払いSwiftスキャンコピー682017.pdf.jar
- 発送書類 PDF.jar
- スキャンドキュメント-53862100.jar
- 最終的な出荷書類一式.jar
- PAYMENT_ADVISE_PDF.jar
- PAYMENT_APLICATION_PDF.jar
親JARファイルを抽出すると、複数のJavaパッケージが見つかります。これらのパッケージには、生データとクラスファイルを含む、長くランダムなファイル名が付けられています。マルウェア攻撃者は、様々な難読化パターンを用いて悪意のあるJARファイルを進化させていることが分かっています。そのパターンの例を以下に示します。
よく知られている逆コンパイラは、親JARファイルの逆コンパイルに失敗しました。難読化と暗号化（RSA、AES）の多様性により、静的解析はより複雑になります。マルウェアが実行されるとどのように動作するかを見てみましょう。
親JARファイルを実行すると、2つの「.vbs」ファイル、2つの「.Class」ファイル、1つの「.Reg」ファイル、そして1つの「.dll」ファイルが「%TEMP%」にドロップされます。ドロップされたファイルはそれぞれ感染サイクルにおいて独自の役割を担います。また、親JARファイルは仮想マシンの有無を確認します。 グローバルメモリステータスEx() 使用可能な物理メモリと仮想メモリの合計をチェックする API。
親JARは、%Temp%にランダムな名前のVBSファイルをドロップします。また、拡張子が「.class」のJARファイルを%Temp%にドロップします。親JARはドロップされたJARファイルを実行します。ドロップされたJARファイルはjRATマルウェアです。
以下の画像はドロップされた vbs ファイルを示しています。
その後、jRATマルウェアはVBSファイルを実行します。 cscript.exe。
VBSファイルの1つは、インストールされているさまざまなファイアウォールのリストを列挙します。 WMI (Windows Management Instrumentation) 機能を使用し、もう 1 つは実行時に同じ機能を使用するサードパーティ製のウイルス対策製品の一覧を列挙します。
親JARは、%Temp%に「.Regファイル」をドロップし、「reg.exe」を使用して実行します。「Procexp.exe」、「wireshark.exe」、「dumppcap.exe」などのよく使用される分析ツールや、一部のセキュリティ製品のプロセスのレジストリエントリを「画像ファイルの実行したがって、何らかのプロセスが開始され、そのキーの下にエントリがある場合、そのプロセスは強制終了されます。
いくつかのレジストリ エントリを以下に示します。
親JARはjava.exeを使用して実際のjRat JARファイルを実行します。このjRatファイルはC&Cサーバーと通信し、実行可能なペイロードをダウンロードできます。
永続性を実現するために、システムの再起動時に自身を起動できるように、自動実行レジストリにエントリを作成します。
jRatはCnC IPに接続します。213.183.58[。]42 下の画像は、感染後のTLS暗号化されたSSLトラフィックを示しています。ポート3012のTCPストリームをデコードしたところ、jRAT JARに関連付けられたブラックリストに登録された証明書が見つかりました。
下の画像はSSL証明書の情報を示しており、 SSLブラックリスト:
Seqrite 検出統計
Seqrite メールセキュリティは、このような悪意のある添付ファイルを一般的に検出します。
検出名: JAR.Suspicious.A
jRAT JAR感染チェーン全体を解析した結果、マルウェア作成者はシグネチャベースの検出を回避するために難読化ツールを継続的に変更し、アンチデバッグやアンチVMの技術を用いていることが判明しました。さらに、様々な方法でセキュリティソリューションを検出・無効化していることからも、このマルウェアがどのように進化してきたかが分かります。
妥協の指標
- 213.183.58.42
- 781FB531354D6F291F1CCAB48DA6D39F
- 0B7B52302C8C5DF59D960DD97E3ABDAF
- 938CF1BA5F8BDB516B5617826E0B08A1
- 76985223E94342D0FAB80D8A4DB1707C
主題専門家
プラシャント・カダム、パワン・チャウダリ |クイックヒールセキュリティラボ
