目次
- イントロダクション
- 感染連鎖
- テクニカル分析
- 結論
- Seqrite カバレッジ
- 侵害の兆候（IOC）
- MITRE ATT&CK マッピング
イントロダクション
その Seqrite 脅威調査チームは、正規のビジネス請求書を装った標的型スピアフィッシング攻撃を特定しました。このフィッシングメールは、航空宇宙および航空システムに関連するロシアの正規の研究機関になりすまし、その組織を模倣するように設計された偽装ドメインを使用して配信されます。悪意のあるメールにはパスワードで保護された添付ファイルが含まれており、最終的に被害者のシステムに追加のペイロードを展開します。分析によると、攻撃者の主な目的は、密かに構成することで永続的なリモートアクセスを確立することです。 AnyDesk 無人アクセスの場合、AnyDeskの設定データを攻撃者が管理するメールアカウントに流出させ、侵害されたホストを長期的に制御するための永続化メカニズムを実装します。
航空宇宙をテーマにしたルアーの使用と、観察されたツールや作戦手法を組み合わせると、以前に記録されたキャンペーンと非常によく一致する。 希少な狼男（別名：司書グール）組織を標的にすることが知られている脅威アクター ロシア、ベラルーシ、カザフスタン特に、工業企業、製造会社、工学機関、航空宇宙関連組織、ロケット・宇宙研究機関、石油化学施設、その他戦略的に重要な分野で活動する企業が標的となっている。入手可能な証拠に基づくと、この活動はレア・ウェアウルフ・キャンペーンに関連していると疑われる。
珍しい人狼グループは主に 自給自足生活（LotL） 正規のソフトウェアを悪用して通常のシステムアクティビティに紛れ込む手法。最初のアクセスは通常、パスワードで保護されたアーカイブを含む請求書または文書を装ったスピアフィッシングメールによって行われ、自己解凍インストーラーとコマンドスクリプトが展開されます。後続の段階では、次のような信頼できるユーティリティが利用されます。 AnyDesk, ブラット (NAIST) と WinRARの追加のユーティリティとしては、 トレイミニマイザー は、ユーザーの可視性を下げるために使用されています。公開レポートでは、 XMRig暗号通貨マイナー 侵害後の活動中。しかし、 今回の分析では、このサンプルにおいてクリプトジャッキング活動は確認されませんでした。暗号通貨マイニングが採用された場合、 妥協後の目標 攻撃者は、被害者の環境への永続的なリモートアクセスを確立した後、これらのツールを展開する可能性がある。
感染連鎖
上記の図は、フィッシングメールから始まり、永続的なリモートアクセスを実現するAnyDeskの導入に至るまでの、分析中に確認された感染経路全体を示しています。この攻撃は、複数の正規ユーティリティを利用して永続的なアクセスを確立し、データを外部に持ち出し、侵害されたシステム上での自身の存在を隠蔽します。
テクニカル分析
分析の結果、最初のアクセスはロシアの航空宇宙および電子機器業界を標的としたスピアフィッシングメールから始まることが判明しました。このメールはФБУ “ВНИИР”（連邦予算機関「VNIIR」）を装い、sales@vniir-avia.spaceから「счет на оплату (или договор поставки, если требуется)」（「支払い請求書（または必要に応じて供給契約書）」）という件名で送信されています。 vniir-avia.space ドメインは最近登録されたばかりです。脅威アクターはキャンペーンのために使い捨ての類似ドメインを登録します。本物のVNIIR研究所は、真新しい「。空間" ドメイン。メールは、 「非公開の受領者」「宛先」欄が非表示になっていることから、これは一斉送信メールであることがわかります。正規のB2B請求書は特定の個人宛てに送付されます。このメールは多数の受信者に同時に一括配信されました。
受信者を誘い込んで添付ファイルを開かせるために、メールにはパスワードで保護されたアーカイブが含まれています。 счет на оплату.rar。 パスワード (dsa9568-4444) このメールは、被害者が開封できるように本文に埋め込まれており、スキャナーによる内容の検査を防いでいます。これは、メールのセキュリティ対策を回避し、ユーザーの実行確率を高めるためによく用いられる手法です。また、このメッセージにはロシア産業貿易省のロゴが表示されており、正当性を高めています。
抽出された実行ファイルはDelphiを使用してコンパイルされ、使用されているプログラミング言語はPascalです。最も興味深い発見の1つは、インストーラーがSmart Install Maker (5.04)であることです。これは、実行ファイルが単なるアプリケーションではなく、Smart Install Makerで構築されたインストーラーパッケージであることを示しています。つまり、実行中に複数のファイルをドロップしたり、フォルダーを作成したり、埋め込まれた実行ファイルを実行したり、レジストリキーを書き込んだり、サービスを作成したり、コマンドを実行したりする可能性があります。
実行されると、ドロッパーは偽のPDFファイルを開き、C:\temp\ChromioumTemp*フォルダの下に複数のファイルを書き込みます。
以下に示す一連のコマンドを実行します。
興味深い発見の一つは、システム上にファイルを書き込む方法です。攻撃者は「echo>>” 新しい一時ファイルを作成する 「mat-debug-*.txt」 次に、コマンドを追加し、最後に下の画像に示すように「.cmd」ファイルとして名前を変更します。
拡張子がcmdのファイルがいくつか見られますが、これらは単にバッチコマンドであり、一つずつ実行されることを想定しています。
“xml_「xml_file1.cmd」はC2サーバーに接続して悪意のあるrarファイルをダウンロードしようとします。その後、rarファイルは「xml_file1.cmd」に記載されているパスワードを使用して解凍されます。 – 以下に示す（コマンドラインアーカイバであるdriver.exeを使用）。
RARファイルは、ポータブルAnyDeskインスタンス、Blat SMTPユーティリティ（blat.exe)、トレイミニマイザー、およびバッチスクリプト (wctF522.bat).
トレイユーティリティも他の実行と同時に実行されます。
Traysフォルダを調べてみると、正規のソフトウェアに関連付けられた複数の実行ファイル、DLL、ドキュメント、およびサポートファイルが含まれていることがわかります。 4tトレイミニマイザー アプリケーション。ディレクトリにはプライマリ実行可能ファイルが含まれています (トレイ.exe) ライブラリのサポート (トレイ.dll, ShellEh6055.dll, ShellEh6055x64.dll）、インストーラー/アンインストーラーのコンポーネント、およびさまざまなアプリケーション リソースが含まれており、完全なアプリケーションがスタンドアロンの実行ファイルではなく、アーカイブ内にバンドルされていることを示しています。
cmd ファイルは、以下に示すようにバッチ ファイルも実行します。
バッチスクリプト（wctF522.bat）を実行した結果、以下のことが判明しました。
- まず、約1分間の実行遅延を導入します。 ping -n 60 127.0.0.1これは、抽出が確実に完了し、自動化されたサンドボックス環境を回避するためである可能性が高い。
- 事前定義されたパスワードを指定することで、無人アクセスによるAnyDeskへのアクセスを設定します。 クワーティー1234566 –set-password オプションを使用して AnyDesk コマンドラインインターフェイスにアクセスします。これにより、ポータブル AnyDesk パッケージが %ProgramData%\AnyDesk に展開され、ユーザーの操作を必要とせずにリモート接続が可能になります。また、展開後に展開された AnyDesk 実行ファイルが起動されます。
- パスワード付きのアーカイブ AnyDesk.rar を作成します limpid2903392 設定ファイル、クライアント識別子、接続設定、ログ、証明書などが含まれます。
- その後、アーカイブはSMTPを使用して外部に持ち出されます。 ブラット。
- 「Auto apdate」という名前のスケジュールされたタスクを作成し、ユーザーのログオン時に最高実行レベルで Trays.exe -tray を実行して永続性を確立します。
- 一時コマンドを削除します（.cmd)、テキスト (.txt)、アーカイブ (.rar)、実行可能ファイル (一時作業ディレクトリから .exe) ファイルや PDF (*.pdf) ファイルを削除して、痕跡を除去し、フォレンジック分析を妨げないようにします。
Blat.exeは正規のコマンドラインSMTPクライアントですが、攻撃者によってデータ漏洩のために悪用されることがよくあります。Blatはメール送信、SMTP認証、ファイル添付、コマンドライン自動化をサポートしていますが、私たちの分析によると、アーカイブされたAnyDeskデータを攻撃者が管理するインフラストラクチャに漏洩させるためにのみ使用されています。
Wiresharkのネットワークキャプチャ画像によると、アーカイブ(AnyDesk.rar)はその後SMTPを使用して外部に持ち出されます。 ブラットサーバーを活用する mail.versio.nl 送信元 out@okbm-bus.nl 〜へ in@okbm-bus.nlメールの件名は次のようにフォーマットされています。 AnyDesk %COMPUTERNAME%/%USERNAME% 侵害されたホストを一意に識別するため。
これらは、感染したホスト上にAnyDeskのローカル設定を保存するAnyDeskのservice.confファイルとsystem.confファイルの内容です。観測された活動は、このキャンペーンが確立および維持するように設計されていることを示しています。 秘密裏のリモートアクセス 被害者の環境へ。AnyDeskの展開および構成データを含むパスワードで保護されたAnyDesk.rarアーカイブの流出により、オペレーターは、 リモートアクセスを展開しました 例えば、無人アクセス構成、スケジュールされたタスクの永続化、AnyDeskインターフェースの隠蔽といった機能と組み合わせることで、攻撃者は侵害したシステムへの長期的なアクセスを維持し、運用上の目的に応じて再接続することが可能になります。
最後に、このスクリプトはステージングディレクトリから一時アーカイブ、実行ファイル、およびPDFファイルを削除し、フォレンジック証拠を減らし、侵害後の調査を妨害します。
結論
我々の分析によると、正規ソフトウェアを悪用して永続的なリモートアクセスを確立しつつ、フォレンジック上の痕跡を最小限に抑える多段階フィッシングキャンペーンが明らかになった。攻撃者は高度なカスタムマルウェアに頼るのではなく、AnyDesk、Blat、改変されたWinRAR実行ファイル（driver.exe）、Tray Minimizerといった信頼できるユーティリティを活用し、永続的なアクセスを確立し、展開データを抜き出し、リモートアクセス活動を隠蔽し、実行痕跡を削除する。このように既存のシステムを巧みに利用することで、キャンペーンは正規のシステム活動に溶け込み、検出される可能性を低減させている。
入手可能な証拠品だけでは決定的な犯人特定はできませんが、観察された手口は、公に記録されているレア・ウェアウルフ（ライブラリアン・グール）の活動と非常に類似しています。感染経路、ツール、標的、および活動方法は、2025年に記録された活動を含め、過去に報告された活動と大きく重複しています。
分析対象としたサンプルに加え、過去数か月にわたり、同様の運用ワークフローを示す複数の関連サンプルが確認されました。フィッシングの誘い文句、ファイル名、ペイロードハッシュは異なっていましたが、同じユーティリティと実行手法が一貫して使用されていることから、攻撃者は個々のアーティファクトを更新しながらも、その基本的な手法を維持している継続的なキャンペーンを示唆しています。この一貫性は、今回の活動が単発的な事件ではなく、より広範かつ継続的な作戦の一部である可能性が高いという我々の評価を裏付けるものです。
Seqrite 適用範囲：
- トロイの木馬Anydesk.S39566972
- Script.Trojan.Dropper.50878.GC
- スクリプトトロイの木馬ドロッパー50879
- Curlとコマンドシェルを介した複数段階ペイロードのダウンロードと実行
- リモートアクセスツールのステージングとSMTPデータの漏洩
侵害の兆候（IOC）
- 47854deb456cb08c651b7f9ae2f9d87c72d0719de6af233340632efb3c1980f4
- 12648cd9d425f78db2dbc6e03c14f11e6ac6aadf8b3975c23cce9519e2b58d33
- F57e010541fb4ccbf23aefc4a827f753a6ff3f8792d9c04c3eea83f6963c6bae
- 0dc0fa727f900ed5033f46f8ba6cf2d97d20ab95fd334cabc0f216da6e0622b0
- 198.54.120[。]13
- 194.87.57[。]81
- 2.23.88[。]201
- 109.106.178.14
- aviatronika[.]online
- vniir-avia[.]space
- fgub-vniir[.]space
- vniir-info[.]space
- ノヴァストリーム[.]サイト
参照リンク
https://x.com/askardyuss/status/2070084108118556868
MITRE ATT&CKマッピング
| 戦略 | 技名 | テクニックID |
| 初期アクセス | フィッシング：標的型フィッシング添付ファイル | T1566.001 |
| 実行 | ユーザーの実行：悪意のあるファイル | T1204.002 |
| 実行 | コマンドおよびスクリプトインタープリター：Windowsコマンドシェル | T1059.003 |
| 実行 | コマンドおよびスクリプト インタープリター: PowerShell | T1059.001 |
| 固執 | スケジュールされたタスク/ジョブ：スケジュールされたタスク | T1053.005 |
| 固執 | ブートまたはログオン時の自動起動実行 （ログオン時のスケジュールされたタスク経由） | T1547 |
| 防衛回避 | 仮装 | T1036 |
| 防衛回避 | 難読化されたファイルまたは情報 （パスワードで保護されたアーカイブ） | T1027 |
| 防衛回避 | アーティファクトを隠す: 隠しウィンドウ （AnyDeskを隠すトレイミニマイザー） | T1564.003 |
| 防衛回避 | ホストでのインジケーターの削除：ファイルの削除 | T1070.004 |
| コマンドおよび制御 | アプリケーション層プロトコル：Webプロトコル (C2からcurlでダウンロード) | T1071.001 |
| コマンドおよび制御 | リモートアクセスソフトウェア | T1219 |
| 収集 | 収集したデータのアーカイブ | T1560 |
| 収集 | ローカルシステムからのデータ （AnyDeskの設定ファイルが収集されました） | T1005 |
| exfiltration | 代替プロトコルを介した漏洩: 電子メールを介した漏洩 | T1020 |
著者：
アンジャリ・ラウト
シュルティルパ・バナージー
