カスタマー・ポータルサポートを利用カスタマー・サポート疑問を解決プログラムサポートに関するお知らせサポート対象製品コミュニティドキュメント・ポータルサポートFireEyeは、専門家が24時間365日体制で対応するグローバルサポート・ネットワークを構築しています。パートナー様を支援する登録制ポータルサイト。案件登録、トレーニング情報にアクセスできます。Inc.のブログにて公開された内容の翻訳です。本内容は予告なく更新されている可能性があることをご了承ください。FireEyeは2014年2月11日,CVE-2014-0322の脆弱性を悪用するゼロデイ・エクスプロイトが米退役軍人会(VFW)のWebサイト(vfw[.]org)経由で配布されていることを確認しました。猛吹雪が吹き荒れる中で発見されたこの攻撃は、米軍関係者を狙った攻撃であると考えられます。Hydra」と呼ばれる2つの攻撃にも関与しているものと推測されます。この記事では、「オペレーションSnowMan」と名付けられたこの攻撃の内容と悪用されている脆弱性について解説します。エクスプロイトとその配布方法の解析VFWのWebサイトに侵入した攻撃者は、WebページのHTMLコードの冒頭にiframeを追加し、攻撃用のページがバックグラウンドで読み込まれるようにしています。HTMLとJavaScriptで構成されるこのページは、エクスプロイトの実行全体を制御するFlashオブジェクトを実行します。Explorer(IE)10の脆弱性を誘発する、JavaScriptに埋め込まれたコードへのコールバックが含まれています。これによりVFWのWebサイトにアクセスしたユーザーは、iframeを介して、www.[省略].com/Data/img/img.htmlにホストされたエクスプロイトにバックグラウンドでリダイレクトされます。10を標的としています。Toolkit(EMET)をインストールしている場合、攻撃は機能しません。11へのアップデートが推奨されます。10に存在する「解放済みメモリ使用(use-after-free)」の脆弱性です。攻撃発生時点では未知の存在だったこの脆弱性を使用すると、任意のアドレスのメモリ1バイトを改変することができます。攻撃者はこの脆弱性を悪用して以下を行います。DLLへのパスを含む1行のXML文字列を読み込みます。DLLの不存在であるかどうかを確認します。DLLが存在しないことを確認できた場合にのみ、次の処理に移ります。攻撃者は、メモリを任意のアドレスに改変できるこの脆弱性を利用して、ASLRを回避しようとします。Vectorオブジェクトを改ざんし、Flash内部からそのオブジェクトにアクセスすることで、メモリにアクセスしようとする場合があります。この方法を含むASLR回避手法の詳細については、こちらのブログ記事をご覧ください。過去の攻撃で使用されていた方法と今回の攻撃で使用されている方法には、ヒープ・スプレーのアドレスが0x1a1b2000に変更されているという差があります。Vectorオブジェクト経由でメモリへの完全なアクセス権を取得したコードは、マシン・コードを使用して、読み込まれたライブラリ内でガジェットを検索します。メモリ上に置かれたflash.Media.Sound()オブジェクトのvftableポインタを上書きしてピボットを指すように変更した後、ROPを開始します。Vectorオブジェクトとflash.Media.Sound()オブジェクトを元に戻して実行を続けます。不正なFlashコードは次に、ドロップされたマルウェア・ペイロードが書き込まれたファイルをダウンロードします。このファイルは、冒頭がJPG画像、末尾(オフセット36321)がペイロードという構造になっており、ペイロード部分は「0×95」をキーにしてXORエンコードされています。マルウェアは、コード制御に移る前にこのペイロードをシェルコードの末尾に付加します。APIのLoadLibraryAを呼び出してsqlrenew.txtを実行します。前述のように、このエクスプロイトは、「0×95」をキーにしてXORエンコードされたペイロードをドロップします。8455bbb9a210ce603a1b646b0d951bce)を実行します。ペイロードのコンパイル日は2014年2月11日、エクスプロイト・コードの最終更新日も2014年2月11日です。この日付が示唆するのは、エクスプロイトはつい最近インスタンス化されたものであり、VFWのウェブサイトを悪用するこの攻撃のために用意されたものであるということです。VFWのWebサイトには、退役軍人だけでなく現役の軍人もアクセスすることから、この攻撃の目的は、軍関係者を標的にして軍事機密を盗み出すことにあると考えられます。米国の祝日である2月17日、猛吹雪のため米国会議事堂の大半が閉鎖された2月13日の直前にこの攻撃が行われたことは、おそらく偶然ではないのでしょう。バックドア・ツールのZxShellは一般公開されているため容易に入手でき、サイバー・スパイ活動に関与していると推測される複数の攻撃者も使用しています。この攻撃で使用されているZxShellは、newss[.]effers[.]comにホストされている指令(C&C)サーバーにコールバックしていました。このドメイン名は、本稿執筆時点では118.99.60.142に解決されます。info[.]flnet[.]orgというドメインも、2014年2月12日時点で同じIPアドレスに解決されていました。インフラストラクチャの解析info[.]flnet[.]orgと、icybin[.]flnet[.]orgおよびbook[.]flnet[.]orgには、以下のIPアドレスに解決されていた時期があるという共通点があります。58.64.200.17858.64.200.179103.20.192.4FireEyeが以前に解析したGh0stRatのサンプルは、「HTTPS」というカスタム・パケット・フラグを使用し、book[.]flnet[.]orgおよびicybin[.]flnet[.]orgにコールバックしていました。オペレーションDeputyDogの実行者も、「HTTPS」版のGh0stを使用していました。別の「HTTPS」版Gh0stが、me[.]scieron[.]comにホストされたC&Cサーバーに接続していたことも確認されています。me[.]scieron[.]comは以前、58.64.199.22に解決されていました。book[.]flnet[.]orgは、同じサブネット58.64.199.0/24に属する別のIPアドレス58.64.199.27に解決されていました。このほかにも、dll[.]freshdns[.]org、ali[.]blankchair[.]com、cht[.]blankchair[.]comというドメインが同じ/24サブネットに解決されています。dll[.]freshdns[.]orgは58.64.199.25に、ali[.]blankchair[.]comとcht[.]blankchair[.]comは58.64.199.22に解決されていました。Hydraに関係するドメインとIPアドレスだけを取り上げています。Hydraの両方で使用されていました。Hydraで使用されていたインフラストラクチャの共通点と関係性を示しています。Hydraで使用されていた手口には、以下のような類似性がありました。ゼロデイ・エクスプロイトを使用して、トロイの木馬型のリモート・アクセス・ツール(RAT)をインストールさせるRATをインストールさせる手段として、特定のユーザー層がアクセスするWebサイトを利用している0×95をキーとする、単純なシングルバイトのXORでエンコードされたペイロード(拡張子.jpgで偽装)を使用している「HTTPS」パケット・フラグを使うGh0stRatを使用している関連性のあるC&Cインフラストラクチャを同じような時期に使用しているまた脆弱性の悪用方法にも多くの類似点が見られます。分かりやすいところでは、今回の攻撃とCVE-2013-3163に対する攻撃はどちらも、Flashファイルを使用してエクスプロイトの実行を制御し、IEのJavaScriptにコールバックして脆弱性を誘発させています。Flashファイルに埋め込まれたコードも非常によく似ています。Vectorオブジェクトを改ざんする、共通の関数を複数使用する(誤字も共通)、名前が同じといった類似点があります。まとめ各オペレーションが標的にしている組織の業種は、以下に示すように多岐にわたっています。(NGO)一連のオペレーションで実証されているように、これらの攻撃の実行者は、ゼロデイ・エクスプロイトを利用して、独自開発や既製のRATを特定の標的にインストールさせるという高度なスキルを持っています。このことから、同じ攻撃者による活動は今後も中長期的に続くものと予想されます。最新の脅威情報や攻撃者動向、ソリューション解説についての情報をお届けします。