Micro0トレンドマイクロは、標的型サイバー攻撃キャンペーン「IXESHE(アイスシ)」を2012年から監視しています。2009年に活動を開始したこのキャンペーンは、東アジア圏の政府機関や企業、ドイツの企業を主に標的にしてきました。今回その手口を変えて、再び米国のユーザを標的にしているようです。C&Cサーバとの通信および暗号化方式といった基本的な活動にも変更が施されています。他にも改良点が徐々に追加されているとはいえ、全般的に見て、以前「IXESHE」で確認されたものと類似しています。米国のユーザを標的とした今回の攻撃では、2009年以降台湾で確認されている「IXESHE」の亜種で「IHEATE(アイヒート)」として検出されるバックドア型不正プログラムが利用されていました。この「IHEATE」は、従来の「IXESHE」とはいくつかの相違点が見られます。C&C通信形式と暗号化方式を利用します。いう文字列が含まれていました。した文字列は、さまざな攻撃キャンペーンを識別するためによく用いられています。この場合、文字列に含まれる112はこの検体のコンパイルされた日付の1月12日を示しています。C&Cサーバのドメインは、2004年に初めて登録されたものですが、2015年12月に変更されています。これは、攻撃者が元の登録者になりすまし、必要に合わせて情報を変更したことを示しています。「IXESHE」は、主に東アジア圏の政府組織、電機メーカ、そしてドイツの電気通信事業会社を標的にした悪名高い標的型サイバー攻撃キャンペーンです。「IXESHE」の標的には主要20カ国・地域(G20)首脳や、ニューヨーク・タイムズ社も含まれています。Override(RLO)」利用した偽装文書ファイルによりユーザを狙うことで知られています。弊社ではこれをバックドア型不正プログラム「BKDR_IHEATE」として検出対応しています。C&Cサーバと通信します。「IHEATE」ファミリの亜種がサーバへ送信するコマンドで、まだオンラインであると通知する役割をします。弊社はこのコマンドから、そして「IXESHE」ファミリと関連付けるため、「IHEATE」と名付けました。弊社では、「IXESHE」は、暗号化の動作が亜種ごとに異なっていますが、復号された後の結果等は、どの亜種も類似していることを確認しています。C&Cサーバに送信します。[プロセスIDなどの文字列]すべての検体に同一の識別用文字列が含まれるわけではありません。あったり、ユーザの情報であったり、不正プログラムがコンパイルされた日付であったりします。いう文字列も利用されていました。112の部分は、コンパイルされた日付が2016年1月12日03時22分27秒であることから、不正プログラムのコンパイル日を表していると推測されます。「IHEATE」の背後にいる攻撃者は、これらの文字列を利用して標的から窃取する情報を取捨選択します。このように特定の文字列を利用することで、C&Cサーバへ通信するトラフィックを簡単に制御できます。以下のように上記とは若干異なった形式が利用される場合もあります。バックドア機能のコマンド「IHEATE」は、下記のとおり、標準的な「IXESHE」とほとんど同じコマンドを利用します。これらは大文字と小文字を区別しません。C&Cサーバへの通信とバックドア活動という点ではどの亜種も共通していますが、暗号化の手法は、亜種によって大きく異なります。同じ傾向は、「IHEATE」でも見られ、それぞれ独自の暗号化手法を実行します。C&Cサーバとのトラフィックを再現したものです。トラフィックは青で表しています。”/DISK”というコマンドを送信しているのがわかります。C&Cサーバへのトラフィックの前半部分は、以下のように説明されます。最初の6バイトは、暗号鍵がハードコードされた部分です。弊社が確認した「IHEATE」の他の亜種では、10バイトの鍵長のものもいくつか存在します。続く8バイトは、暗号鍵のうちランダムに生成された部分です。同様にこの部分が10バイトである亜種も存在します。続く2バイトは、暗号化されたデータの長さを表しています。RC4形式で暗号化されています。残りの箇所はデータ部分です。この部分も、ハードコードされた部分とランダムに生成された部分を連結した暗号鍵を用いて、RC4形式で暗号化されています。以下のように説明されます。C&Cサーバへの通信に利用するものと同じです。利用するものと同一でなければなりません。鍵が合わなければ接続できません。最近確認された「IHEATE」の検体は、もう1つの手法を追加します。これらは非対称暗号化を使います。ランダムなセッション鍵を生成します。RSA公共鍵を使ってセッション鍵を暗号化します。カスタム暗号化により、送信するデータを暗号化します。RC4で暗号化されます。正規のファイル(拡張子「DLL」)を装い、検出を回避します。C&Cサーバに利用することで知られていましたが、「IHEATE」も同様の活動をします。」というサブドメインが含まれていました。このドメインには、もとのドメイン登録者のものと思われる個人のブログが含まれており、この登録者は2004年に登録してから継続してこのドメインを利用しているようです。弊社は、この登録者が「IHEATE」と関わりを持つと考えていません。攻撃者が、登録者の個人情報を窃取してアカウントを乗っ取り、サブドメインを設定したものと推測します。このサイトは2015年中頃の一時期を除いて休止していましたが、2016年になって再開されています。他の「IHEATE」の検体にも興味深い挙動が確認されています。C&Cサーバのアドレスがコードに埋めこまれていました。利用するポートを算出するために利用されます。(24*18)+11」として示しています。他の攻撃においても、同様の手法が確認されています。「IHEATE」が利用する他のドメインも、「IXESHE」が利用するサーバと重複していました。「gimeover[.]psp-moscow[.]com」は、「IHEATE」に利用され、IPアドレス「200[.]93[.]193[.]163.」に解決されています。同時期に「IXESHE」も、これらの同サーバを利用しています。唯一異なる点は、「IXESHE」の場合、ドメイン「skype[.]silksky[.]com」ドメインにアクセスして同サーバを利用していることです。まとめ「IXESHE」やそこから派生した「IHEATE」の脅威は、いずれもまだ勢いが衰えておらず、時間の経過とともに改良され、変化を繰り返しています。弊社はこの脅威を引き続き監視し、必要に応じて情報を更新していきます。posts:台湾の機関を狙う標的型攻撃を確認。