タイプのリストなどの、サンプルの設定を含む縦線(“|”)で区切られた文字列を作成します。パイプ(縦線”|”)で区切られた文字列を使用してトロイの木馬の設定内でC2の値を設定できるようにします。RogueRobinのC#の亜種内で使用可能なコマンドC2のGoogleドライブの使用RogueRobinの以前のPowerShellの亜種では使用できなかったものの、新しいC#の亜種で使用できるのがx_modeです。これは、代替コマンドを有効にして、GoogleドライブAPIを使用するチャネルを制御する、非常に興味深いコマンドです。チャネルから受信したコマンドで有効にすると、RogueRobinは、GoogleドライブAPIリクエストを使用して一意のIDを受信し、ジョブを取得できるようになります。アカウントにアップロードし、ファイルの変更時刻を継続的にチェックして、攻撃者が変更を加えたかどうかを確認します。攻撃者は最初に、トロイの木馬が今後の通信に使用する一意のIDを含めるようにファイルを変更します。ハンドラで処理します。アカウントとのやり取りに必要な改行区切りの設定のリストが追加されます。図4に、x_modeコマンドを処理するRogueRobinのコードを示します。データを分割し、生成された配列を使用して、x_modeの設定として使用される変数を設定します。図4に示すように、設定は表6に示す変数に格納され、これらを使用して攻撃者が制御するGoogleアカウントに対して認証を実行した後、Googleドライブからファイルをアップロードおよびダウンロードします。POSTリクエストを送信します。図5に示すように、これらのフィールドの値は、x_modeコマンドの発行時に最初に設定された変数に設定されます。トークンを取得します(図5を参照)。アカウントへのファイルのアップロードを試みます。アカウントに送信します。}Googleドライブは、ヘッダーにLocationフィールドを含むHTTP応答でこのリクエストに応答します。このフィールドには、トロイの木馬が<トロイの木馬のプロセスID>.txtファイルのコンテンツのアップロードに使用するURLが含まれます。これは<トロイの木馬のプロセスID>.<C2ドメイン>という構造で、プロセスIDは表4と同じ文字置換関数でエンコードされます。リクエストに対するHTTP応答のファイルID値を確認します。\”id\”:(.*)トロイの木馬はこのファイルID値を使用して<トロイの木馬のプロセスID>.txtファイルの変更時間に対する変更をチェックすることで、攻撃者によりファイルに加えられた変更を監視します。トロイの木馬は、次のような構造のURLに対するHTTPリクエストを作成して、ファイルの変更時間をチェックします。“?supportTeamDrives=true&fields=modifiedTime”次に、トロイの木馬は以下の正規表現を使用して、HTTP応答からファイルの変更時間を取得します。これは、modification_timeという名前の変数に保存されます。\”modifiedTime\”:(.*)次に、トロイの木馬は2つ目のファイルをGoogleドライブにアップロードします。アップロードした最初のファイルを攻撃者が変更するのを待機する間、トロイの木馬がこのファイルに継続的に書き込めるようにするためです。インスタンスに保存されている2つ目のファイルに書き込みます。POSTリクエストを作成し、文字列b<一意のID>c<5つのランダムな英小文字>.<C2ドメイン>をファイルに書き込んで2つ目のファイルを更新します。f1b2bc0831...)で、作成者はx_modeコマンドを発行するときに、攻撃者が提供したGoogleドライブのURLを使用せず、替わりにハードコードされたGoogleドライブのURLを組み込みました(図6を参照)。これは、我々が確認した中で、RogueRobinにハードコードされたGoogleドライブのURLが組み込まれた唯一の事例であり、作成者はテスト中にこれを見落とした可能性があります。ハードコードされたGoogleドライブのURLが使用されたRogueRobinのサンプル最初のファイルのmodification_timeが変更されると、トロイの木馬はGoogleドライブにアップロードされた最初のファイルからコンテンツをダウンロードします。トロイの木馬は、次のような構造のURLに対するHTTPリクエストを作成して、このファイルのコンテンツをダウンロードします。“?alt=media”トロイの木馬は、ダウンロードしたファイルのコンテンツを使用して、modification_time変数を現在の変更時間に設定し、攻撃者がファイルに更なる変更を加えたときにわかるようにします。プロトコルを介して取得されたものと見なして、一意のIDの場合と同じ方法で処理します。具体的には、以下の正規表現を使用してデータを検索して処理します。\”(\\w+).(<domainList[0]>|<domainList[1]>|<domainList[n]>).\”トロイの木馬は、Googleドライブ上のファイルから取得した一意のID値を使用し、Googleドライブ通信チャネルを使用してジョブを取得しようとします。アカウントからジョブを取得するために、トロイの木馬はまず以下のような構造の文字列を作成します。サブドメイン内の各要素は、表4の文字置換の数値によって決まります。トークンを取得します。トークンを使用して、上の文字列をGoogleドライブにアップロードされた最初のファイル<トロイの木馬のプロセスID>.txtに書き込みます。このファイルに書き込んだ後、トロイの木馬は、このファイルの変更時間に対する変更を継続的にチェックするループに入り、攻撃者がファイルに変更を加えるのを効率的に待機します。攻撃者がファイルを変更してmodification_timeが変更されると、トロイの木馬は以下の構造のURLに対するHTTPリクエストを作成して、ファイルからコンテンツをダウンロードします。チャネルから受け取ったデータからジョブを取得する場合と同じ方法で処理します。具体的には、以下の正規表現を使用し、データを検索して処理します。([^r-v\\s]+)[r-v]([\\w\\d+\\/=]+).(<domainList[0]>|<domainList[1]>|<domainList[n]>)トロイの木馬は、一致するデータ、具体的にはセパレータ上のサブドメイン(すなわちrとvの間の文字)を分割し、より多くのデータが必要な場合は、セパレータの前にあるデータを使用してシーケンス番号やブール値(0または1)を取得します。ハンドラに従う文字列として使用します。プロバイダーの名前と見間違えてしまいそうなドメイン名を使用しており、DarkHydrusの以前の活動とテーマが非常によく似ています。Securityの一連のツイートによってさらに拡張されました(こちらとこちらとこちら)。これらのドメインとDarkHydrusとの関連を理解しやすいように、ドメインのリスト間を視覚的にマッピングしました(図7参照)。この図は、DarkHydrusグループがインフラストラクチャで一貫した命名スキーマと構造を使用していることを示しています。DarkHydrusグループは多数のドメインを登録し、ネームサーバーを設定して、C2ドメインのプライマリDNSとして使用しています。DarkHydrusインフラストラクチャの相関図このキャンペーンのために、C2用に導入された特定のネームサーバーを使用して、攻撃者インフラストラクチャをクラスタ化できます。図7では、インフラストラクチャを3つのグループに明確にクラスタ化しています。ペイロードを取り出すことができました。Securityと関連付けることはできませんでした。ネームサーバーの構造を通じて他の2つのクラスタと関連している可能性が極めて高いと言えます。ドメインが異なっていました。サーバーのセットは、tbs1/tbs2.microsoftonline.servicesとtvs1/tvs2.trafficmanager.liveです。C2ドメインとそのネームサーバーの分布を図7に示します。サンプルとドメインの関連ドメインの3つ目のクラスタには6つの異なるネームサーバーが関連付けられていますが、他の2つのクラスタとは異なり、すべて互いに直接結び付けられています。各ドメインは6つのネームサーバーを順に利用しているように見えますが、奇妙なことに、複数のドメインが利用していたネームサーバーの1つは現在登録されていないようです。107.175.75[.]123が存在することがわかりました。このIPは非常に興味深いIPです。このIPのドメイン解決履歴によると、過去にもドメインhotmai1l[.]comに解決されていたことがわかりました。これは、DarkHydrusインフラストラクチャとの関連性が非常に高いことが過去に特定されたドメインです。プロバイダーおよびクラスBネットワーク範囲に属しています。結論DarkHydrusグループは活動を継続しており、戦略には新たなテクニックが加わっています。テクニックを悪用していることが判明しました。これらの配信文書によってインストールされたペイロードは、DarkHydrusの攻撃者が以前のPowerShellベースのRogueRobinコードを実行ファイルの亜種に移植したことを示しています。これは、OilRigなどの中東で活動する他の攻撃者のグループでよく見られる振る舞いです。サービスを使用できます。サービスを悪用しようとしていることを示しています。パロアルトネットワークスのお客様は、以下によって既に保護されています。このレポートのすべてのサンプルはWildFire内で悪意があると判断されますドメインは悪意があるものとして分類されています次のような、追加のコンテキストのためのAutofocusタグを使用できます。