Quick Heal Labsは、2016年からこのサイバー諜報活動を追跡しています。この攻撃はm_project作戦として特定されています。過去1年間で、このようなAPT活動が急増していることを確認しています。攻撃者の手口は長年にわたって変わっていません。攻撃者は、悪意のあるOffice文書を添付したスピアフィッシングメールを送信します。この文書は、Officeの脆弱性を悪用するか、VBAマクロを使用します。悪用が成功すると、MSILベースのRATのダウンロードにつながります。このRATはデータ窃盗活動を行い、C2サーバーに送信します。
最近のキャンペーンでは、次の 2 つの異なる亜種が見つかりました。
バリアント1：
観察された文書ファイルでは、攻撃者が「第 72 回インド陸軍記念日」という軍事イベントを餌として使い、受信者に訓練やその他の詳細へのリンクを開くように求めていることがわかります。
被害者がそのリンクをクリックすると、実際の悪意のあるマクロ コードが含まれる別の doc または Xls ファイルがダウンロードされて開きます。
マクロコードを含むファイルは文字列をデコードし、マシン上のPK（zipアーカイブ）ファイルとしてディスクに書き込みます。マクロコードはPK（zip）ファイルの解凍先を定義し、オペレーティングシステムのバージョンを判別した後に解凍し、PEファイルを実行します。
ペイロードは.NETアセンブリであり、Crimson Ratファミリーに属するファイルで、実行されると攻撃者が制御するCnCサーバーに接続します。
被害者ホストがCnCサーバーに接続すると、被害者マシンにコマンドを送信し、OS情報とユーザー情報を取得します。つまり、CnCがダウンしている場合、ペイロードは何も実行しません。
私たちが確認したモジュールの中には、現在のマシンのスクリーンショットを撮ったり、すべての重要なデータやメールデータを盗み出したり、CnC サーバーにファイルを送信するなど、さまざまな機能を実行するものがいくつかあります。興味深いことに、特定のモジュールは被害者のサーバーからファイルを削除することもできます。
以下はCnCコマンド通信です。
バリアント2：
我々は、バックドアを実行するために異なる手法を用いるTransparent Tribeの別の亜種を確認した。おとり文書の内容は、一部の政府職員をおびき寄せるために使用される。このキャンペーンにおけるおとり文書の使用方法は以下のとおりである。
攻撃者は相対データを利用してユーザーを誘導し、ドキュメントを開かせ、マクロコードを実行します。マクロを有効にすると、悪意のあるアクティビティが開始されます。まず、zipファイル、VBSスクリプト、CSファイルをそれぞれ64つずつ、'%programdata%\systemidlepref'にドロップします。以前の亜種ではマクロコード自体が単一のzipコンポーネントをディスクにドロップして解凍していましたが、この亜種では.vbsコードを使用してファイルをディスクに解凍します。windproc.scrが実行されると、Realtime.csファイルからコンパイルされたRealtime.scrファイルが呼び出されます。Realtime.scrファイルの主な目的は、CnCサーバーから最終的なペイロードをダウンロードすることです。ダウンロードされたファイル名はxXNUMX.scrで、これも.NETファイルです。
X64.scrは、%programdata%\SppExtComTelフォルダ内に、フォルダ名「SppExtComTel.scr」と同じ名前のコンポーネントをドロップします。.LNKファイルも「SppExtComTel」と同じ名前で起動時にドロップされ、システム内に永続的に保存されます。
実際に悪意のあるアクティビティを実行する SppExtComTel.scr が実行されると、実行中のプロセス情報やその PID などのシステム情報を収集し、それを CnC サーバーに送信し始めます。
まず、「C:\Windows\system32」に「rundll32.exe」が存在するかどうかを確認します。存在する場合は、最初の無限whileループに入り、「whatcostus()」関数から何らかの値が返された時点で終了します。
以下は 'whatcostus()' のコードです
実行中のプロセス情報（プロセス名、プロセスID、メインウィンドウタイトルなど）を列挙し、ローカル配列に保存します。収集された情報は、「HTTP POST」メソッドを使用してCnCサーバーに送信されます。
URL 情報を含む変数アドレスは実行時に難読化が解除されます。
hxxp://awsyscloud[.]com//E@t!aBbU0le8hiInks/cred!tors[.]php
サーバーにデータを送信した後、リクエストが有効な場合のみ、制御ワードが返されます。この制御ワードはテキスト変数に代入され、無限ループを終了させることができます。応答がNULLの場合は、whatcostus()に従ってループが再び実行されます。
その後、コードの分析に応じて、別のファイルをダウンロードし、そのファイルを実行してさらなるアクティビティを実行する可能性があります。
MITRE ATT&CKの対象範囲:
APT Transparent Tribe で観察された次の ATT&CK 手法。
| 初期アクセス | 実行 | 固執 | 防御回避 | プーケットの魅力 | 収集 | コマンドおよび制御 | exfiltration |
| スピアフィッシング添付ファイル | コマンドラインインターフェイス | レジストリ実行キー / スタートアップ フォルダー | 納品後のコンパイル | プロセスディスカバリー | スクリーンキャプチャ | カスタムコマンドアンドコントロールプロトコル | コマンド＆コントロールチャネル経由の流出 |
| スピアフィッシングリンク | モジュールロードによる実行 | スクリプト記述 | クエリレジストリ | リモートファイルコピー | |||
| スクリプト記述 | セキュリティソフトウェアの検出 |
添付ファイル名:
- DHCP オファーリストの csoi.xls
- 1562850317-円形1.xls
- 特別特典.doc
- 陸軍将校の基準.doc
- 7-全選択リスト.xls
- すべての防衛職員への勧告 .doc
IOCの:
| 6099E910FC0D4C9F3D884E8DB70BB407 | XLS |
| 4B103160DAB1837CF64EBA8E9FA4C2EC | XLS |
| 1f8076bad6a2d7963a813f2f81fe0647 | ドク |
| 2fbc14f02a8325c9f40da4640349e95c | ドク |
| A3a0750d74705d235b60556f1331ae9b | PE |
| D333BAE2C45FE431BEFD7A88F1D7A540 | PE |
参照-
https://blogs.quickheal.com/beware-email-attachments-can-make-victim-spear-phishing-attacks/
https://blogs.quickheal.com/quick-heal-labs-report-on-targeted-attack-named-m_project/
https://blogs.quickheal.com/wp-content/uploads/2016/03/Report.pdf
結論-
どちらの亜種も標的型攻撃に利用されるため、囮文書マクロ、ペイロード配信メカニズム、.NETアセンブリといった類似点が見られます。政治的および地理的な関心から、このようなスパイ活動は今後もインドの機密性の高い組織を標的とし続けるでしょう。
主題専門家：
アニルッダ・ドラス
プラシャント・ティレカー
パワン・チャウダリ
