Word文書を開かせようとする、人道支援団体を狙った標的型攻撃を新たに発見しました。Honeybee」と名付けられました。ARTチームのアナリストは、同じ攻撃者が作成した戦術の異なる不正文書も発見しました。この文書には、この攻撃者がよく使用している「おとり」が含まれておらず、Wordの互換性に関するメッセージを表示して、被害者にファイルを開かせようとします。1月15日から17日にかけて、このスクリプトがベトナムで大量に確認されました。ドメイン1.経緯1月15日、ATRチームは、SYSCONバックドアの新亜種を利用した攻撃を発見しました。1月17日には、Honeybeeという元々の作成者の名前が刻まれた韓国語のWord文書がベトナムで出現しました。Basicマクロが、SYSCONというスクリプトのアップグレード版をドロップし、実行します。このスクリプトは、2017年、北朝鮮に関連する内容を騙った攻撃に使われた不正Word文書に含まれていたものです。アルファベット)を使ってデータをエンコードします。このキーは、SYSCONを使った過去の攻撃で確認されているものです。Honeybee攻撃にも使用されているということは、2017年8月以降も継続的に使用されていたようです。おとり文書の例1月17日から2月3日にかけて、追加の不正文書が確認されました。コードと作成者名が含まれています。ATRチームの分析から、これらの文書の大部分は、韓国から送信されたことが判明しています。一部の標的型攻撃は韓国内から行われたということです。Honeybee文書には、具体的なおとりが含まれておらず、「互換性がない」というメッセージを表示し、ユーザーによるコンテンツの有効化を誘導していました。Userという作成者が1月12日に作成した不正文書も確認されました。キーは異なるものの、最近確認されたHoneybee文書と実質的に同じマクロと同種のスクリプトが使われていました。)の文書は、管理サーバーアドレスが1113427185.ifastnet.orgのスクリプトをドロップし、これは、Honeybeeに含まれているスクリプトと同じサーバーです。ファイルも発見しました。シグネチャを使用します。35904f482d37f5ce6034d6042bae207418e450f4)でも使用されています。Attack\MaoCheng\Release\Dropper.pdbこのマルウェアは、アイコンでWord文書になりすましたWin32実行可能ファイルです。これは、他のWord文書で確認されたマルウェアと同種のマルウェア用のドロッパーで、このサンプルも、Honeybeeという作成者名が記載された「おとり」文書をドロップしていました。このサンプルにはバグが含まれており、ドロッパーの実行フローは中断します。サイニング後にマルウェアをテストしていないということを示しています。こちらのおとり文書は、クラウドベースの会計ソフトウェア「Xero」で被害者を誘い込んでいます。MaoChengドロッパーのおとり文書3.考えられる攻撃者ATRチームは、最近発生したこの攻撃に関わるsnoopykiller@mail.ruという人物を特定しました。ATRの分析から、この攻撃者は、韓国で普及している検索エンジンのnavermail.byethost3.comと、nihon.byethost11.comという2つの無料アカウントに登録していることが分かりました。この電子メールアドレスは、ATRの分析に出現するすべてのスクリプトで、制御サーバー用の無料アカウントを登録するために使われていました。4.技術的分析この攻撃の概要を図で表すと以下の通りです。続いて、この攻撃に関わるコンポーネントです。感染は、不正なWordファイルから始まります。これが、2つのDLLファイルをドロップします。コードが含まれています。キーを使用)も含まれています。Basicマクロは、以下のタスクを実行します。バッファ内のデコードされたCABファイルCABファイルには、以下のファイルと関数が含まれています。ファイルを起動するための不正なDLL(UACを迂回するためにexeと共に使用される)。このDLLには、D:\Task\MiMul\NTWDBLIB\Release\NTWDBLIB.pdbというPDBパスが含まれます。認証情報は、.iniファイルでエンコードされます。サービスとして実行される不正なDLLファイル(exeを使用)。このDLLには、D:\Task\MiMul\FTPCom_vs10\Release\Engine.pdbというPDBパスが含まれます。このマクロが、ここでもUACプロンプトの回避を目的として、exeまたはexpand.exe(OSによる)を使い、CABファイルを%systemroo%\system32に抽出します。すべてのファイルを抽出すると、CABファイルを削除し、exeを介して不正なNTWDBLIB.dllを実行します(特権を取得し、UAC保護を迂回するため)。cliconfg.exeUAC保護の迂回には、NTWDBLIB.dllとcliconfg.exeが使用されます。これは、Windowsでよく見かける攻撃です。DLLハイジャックでUACを迂回するには、次のファイルが必要です。ファイルのうちの1つを実行し、サービスとして不正なipnet.dllを設定するという簡単なタスクを実行します。サービスを改ざんし、不正なipnet.dllをロードします。ファイルの中身は、OS(x64またはx86)によってまったく異なります。ファイルは、以下のタスクを実行します。ファイルを削除し、システム上の痕跡を消すIPNet.dllは、svchost.exe下でサービスとして作動します。不正DLLには、cliconfg.exeプロセスを中止し、以下のコマンドで不正なNTWDBLIB.dllを削除する役割もあります。NTWDBLIB.DLL別途、指定されていない限り、以下に記載されるすべての機能は、不正なサービスDLLスクリプトによって実行されます。キーは異なるものの、同じBase64デコード法が用いられています。この文書は、1月10日に作成されていました。おとり文書の内容この亜種には、2つのCABファイルが含まれ、OS(x86またはx64)に基づき%temp%にドロップされます。この亜種には、主に次の特徴があります。ボックス内のWord文書にエンコードされている。x86システム用とx64システム用に1つずつCABファイルが存在。サンプルは、dllを含むuacme.exeを使い、UACを回避する。exeは、UAC迂回攻撃に弱いプログラム。dllは、batを実行してサービスを設定(NTWDBLIB.dllと同様)。exeとdllは、64ビットか32ビット(OSに基づく)のバイナリ。Ipnet.dllも64ビットか32ビット。uacme.exeCABファイルに含まれる制御サーバーの認証情報が異なる。サンプルには、以下の類似点があります。サービス名が同じ(COMSysApp)。DLLとiniファイルには、本ブログの別セクションに記載される関数が含まれている。6.データ偵察エンドポイントから以下の情報が収集され、制御サーバーに送られます。>%temp%\temp.iniを使用して現在実行中のプロセスの一覧7.データ抽出データ抽出プロセスは、以下の手順で行われます。11-40-02).txt)。ファイルが、アーカイブのzip(%temp%\temp.zip)にパッキングされます。キーを使用)、txtにコピーされます。txtが制御サーバーにアップロードされます。ベースのDLLスクリプトは、FTPサーバー上の/htdocs/ディレクトリに移動し、以下のキーワードが含まれるファイルを探します。スクリプトによってサポートされています。temp.zipにファイル名を追加し、Base64エンコードして、制御サーバーにアップロードします。現在のini設定ファイルを削除します。新規の設定情報(制御サーバー接続情報)を新規のipnet.iniに書き込みます。既存のファイル名を新規のファイル名にコピーし、既存のファイルを削除します。ファイルを実行します。感染したエンドポイントでコマンドを実行します。9.結論Honeybeeの攻撃者は、少なくとも2017年11月から、把握される限り初代のNTWDBLIBインストーラーを使った新スクリプトによる攻撃を展開しています。文書と実行可能ファイルに含まれるさまざまなメタデータから、この攻撃者は韓国語を話す人物であることが予想されます。この不正文書で使用される、おとりメッセージなどの技法は、過去に韓国で確認された方法と非常によく似ています。攻撃者は、人道支援組織や南北朝鮮問題の関係者を標的としているものと思われます。この攻撃は、韓国を越え、ベトナム、シンガポール、アルゼンチン、日本、インドネシア、カナダにも拡大していることが確認されています。マカフィーのATRチームの分析によると、過去のSYSCONバックドアに少し似ているものの、さまざまな部分で独自のコードが使われていました。一部の新ドロッパーは、今回初めて確認されました。MaoChengドロッパーは、この攻撃専用に作成されたようで、これまでに2回しか確認されていません。スマホお気に入り一覧マイページ。