カスタマー・ポータルサポートを利用カスタマー・サポート疑問を解決プログラムサポートに関するお知らせサポート対象製品コミュニティドキュメント・ポータルサポートFireEyeは、専門家が24時間365日体制で対応するグローバルサポート・ネットワークを構築しています。パートナー様を支援する登録制ポータルサイト。案件登録、トレーニング情報にアクセスできます。Intelligenceを通じ、最新のコード実行/持続技術を悪用し、アジアと中東の個人にマクロベースの悪意あるドキュメントを配布した攻撃グループを観察しました。Micro社は「MuddyWater」として報告)によるものと考えます。「TEMP.Zagros」は、中央・南西アジアの政府・防衛組織に対するスピア・フィッシング活動に従事しています。ほとんどの場合、スピア・フィッシング・メールと、添付として送られる悪意あるマクロドキュメントは地政学的な内容で、開封してしまうと、「POWERSTATS」という名のバックドアがインストールされてしまいます。これらファイルの分析過程で観察された興味深い点として、最新のAppLockerバイパスの再利用と、間接的なコード実行目的の水平展開技術が挙げられます。システム上でコードを実行させるため、水平展開技術のIPアドレスは、ローカル端末のIPに置き換えられていました。タイムライン本キャンペーンでは、脅威グループの標的の変化に伴い、その戦術・技術・手順(TTP)も約1カ月の期間を経て変化しています。タイムラインの概要については図1をご覧ください。図1:最近観察されたスピア・フィッシング・キャンペーンのタイムラインキャンペーンの第1段階(2018年1月23日~2月26日)では、マクロベースのドキュメントによって、VBSファイルとINIファイルがドロップされました。INIファイルには、Base64エンコードされたPowerShellコマンドが記載されています。このコマンドは、WScript.exeを用いて実行されるVBSファイルが生成したコマンドラインを使用し、PowerShellによってデコード、実行されます。プロセスチェーンに関しては図2をご覧ください。図2:第1段階のプロセスチェーン実際のVBSスクリプトはサンプルによって変化し、難読化のレベルやプロセスツリーの次段階を呼び出す方法も異なります。PowerShellを呼び出し、マクロによって先にドロップされたINIファイル内のBase64エンコードされたPowerShellコマンドをデコードし、これを実行するという最終目的は変わりません。図3:MSHTA経由でPowerShellを呼び出すVBSのサンプルキャンペーンの第2段階(2018年2月27日~3月5日)では、PowerShellのコード実行用にVBSを用いない、マクロの新たな亜種が使用されました。VBSを使用しない代わりに、INFファイルとSCTファイルを悪用するという、最近明らかになったコード実行技術が用いられていました。感染ベクトル今回のキャンペーンに関わるすべての攻撃は、電子メールの添付ファイルとして送られたマクロベースのドキュメントであると思われます。ファイア・アイが取得したメールの1つは、トルコのユーザーを標的としたものでした(図4をご参照ください)。Officeの添付ファイルは、トルコ、パキスタン、タジキスタン、インドの4カ国の個人を標的とし、特別に作成されたものと思われます。下記のサンプルをご参照ください。(インド準備銀行が設立)からと称するドキュメント図8:タジキスタン内務省からと称する、タジク語で記載されたドキュメント上記のマクロベースのドキュメントには、コードの実行、持続性、コマンド&コントロール(C2)サーバーとの通信において、いずれも同様の技術が用いられていました。本件に関するより技術的な詳細については、関連ブログ(英語)をご参照ください。最新の脅威情報や攻撃者動向、ソリューション解説についての情報をお届けします。