Business」の日本語翻訳です。42のリサーチャーは進行中のキャンペーンを確認しました。このキャンペーンはホスピタリティセクタ、とくホテルの予約に重点を置いていました。最初の分析ではとくに目新しいテクニックや高度なテクニックは見つかりませんでしたが、このキャンペーンの見せる執拗さに興味を引かれました。上の閲覧可能ディレクトリ、ドキュメントのメタデータ、バイナリの特性など)に探索を広げました。「CapturaTela」と名付けました。このマルウェアファミリを発見したことで、なぜホテルの予約が主な攻撃ベクターとして執拗に狙われているのかという理由が分かりました。顧客からのクレジットカード情報窃取を狙っていたのです。私たちはこの攻撃者のプロファイルを作成しました。その結果、攻撃者がとる配信メカニズムのほかに、RAT(リモートアクセスツール)や情報窃取用トロイの木馬などの常用ツールについて判明しました。彼らはそうしたツールをGitHubリポジトリにあるオープンソースツールやアンダーグラウンドフォーラムから入手していました。皆さんは、攻撃者がクレジットカード窃取事業を格安で効果的にドキュメントを調査しているところ運営する方法について疑問に思ったことはありますか。すれば「Comando作戦」についてぜひお読みください。攻撃者の配信メカニズムこのキャンペーンのテレメトリでは、電子メールが主な配信メカニズムとして特定され、2018年8月に最初の関連サンプルが配信されたことがわかりました。攻撃者がよく使用するトピックは旅行の予約やバウチャーに関連したもので、主にブラジル人を対象にしています。表1は、キャンペーン中に見つかった代表的な件名と添付ファイル名の代表的なリストです。RODRIGUES.ppa表1このキャンペーンを代表する電子メールの件名と添付ファイル名キャンペーンで使用されている悪意のあるドキュメントを調査したところ、ドキュメントメタデータに興味深い一貫性があることがわかりました。Original」を使用しているのです(詳細は図1で確認してください)。悪意のあるドキュメントのメタデータサンプル攻撃者は多くのキャンペーンで見られる一般的な方法を複数利用しています。MSHTAが実行するリモートスクリプトを外部参照することなどです。このアプローチのおかげで、攻撃者は自身の活動に使うツールやリソースを複数見つけられます。同時にアナリストによるアトリビューション、追跡をより困難にすることができます。観測された方法のなかでもっとも一般的な組み合わせを図2に示します。複数の配信メカニズム2018年12月のキャンペーンで配信された電子メールをサンプルとして見てみましょう。ac70d15106cc368c571c3969c456778b494d62c5319)を偽装していて、図2に示したプロセスのひとつを使って配信されていました。図3に記載したのがその詳細なプロセスです。2018年12月のキャンペーンでの配信サンプル悪意のあるドキュメントには、MSHTAを使用してリモートにホストされたスクリプトを実行する単純なマクロが含まれています。Subランディング用URLは次のURLに解決されます。hxxps://internetexplorer200[.]blogspot[.]com/bit.ly上のURL短縮リンクの統計は弊社のテレメトリでの観測内容を裏付けるものでした。図4の「12月27日から28日にかけてのBit.lyキャンペーンの分布」からも分かるとおり、攻撃者は主にブラジルをターゲットとしています。12月27日から28日にかけてのBit.lyキャンペーンの分布MSHTAは、ごく単純なアルゴリズムを使用してエンコード/難読化されたVBScriptコンテンツを実行します(コード全体にポルトガル語の単語があることに注意してください)。MSHTAを介して実行される第1段階のVBScriptコードこれにより、次のスケジュールされたタスクがシステム内に作成され、そこで別のリモートロケーションからMSHTAを介して新しい第2段階のVBスクリプトが呼び出されます。このスクリプトでもコメントに「CDT」への言及が見られることに注目してください。第2段階のVBスクリプトこの第2段階のVBスクリプトは、PowerShellリフレクションを介して最終的なペイロードをメモリにロードし、GIFの拡張子を持つファイルからバイナリコンテンツを取得します。Trojan(RAT)です。このツールを使うことで、情報窃取が容易になります。インフラ分析インフラのレベルを見てみると、攻撃者はDuckDNS、WinCo、No-IPなどの動的DNS(DDNS)サービスを利用しています。これらの多くは無料アカウントを提供しているので、攻撃者がインフラにかける投資を削減してくれます。使用中のドメインサンプルを表2に示します。このキャンペーンに関連付けられているドメインサンプルのうちDDNSプロバイダを使用しているもの無料サービス、ペーストサイト、侵害されたサイトなどの利用にくわえて、おそらくは攻撃者が所有していると思われるドメインが少なくとも1つ特定されています。ドメイン"fejalconstrucoes[.]com[.]br"は、ペイロードをホストし、潜在的な被害者に電子メールを送信するために使用されてきました。WHOISレコードに表示されるドメインの詳細です。このドメインはブラジルのUOLサービスを利用して登録されていました。WHOISレコードこのキャンペーンに属する悪意のある添付ファイル付きの電子メールは、次のような特徴があります。「CDT」を使用するという興味深い特徴が見られます。本件の調査中、C2上に閲覧可能なディレクトリが見つかり、ここから攻撃者が使用したペイロードをいくつか見つけることができました。表3に、見つかったペイロードとドキュメントの組みあわせ一覧を示します。「CDT」がファイル名に繰り返し利用されています。cdtmaster[.]com[.]brの閲覧可能ディレクトリで確認できた内容ファイル名こそ「quasar.jse」となっていますが、その中身はQuasarRATではなく、base64エンコードされたベーシックなペイロードドロッパー(図8参照)を含むJSスクリプトでした。調査してみると、ごくシンプルですが興味深いペイロードが見られました。base64エンコードされたペイロードドロッパーを含むJSスクリプトデコードされたペイロードは.NETで作成されたPEファイルで、情報窃取機能を備えています。このなかでメインとなるメソッドの1つが「CapturaTela」で、私たちはここからマルウェアファミリ名前を付けました。そのポルトガル語の名前が示すように、このマルウェアはスクリーンショットをBitmapオブジェクトとして保存する機能を備えています。CapturaTelaメソッドのスクリーンキャプチャ機能この情報窃取用トロイの木馬の主な機能は次のとおりです(図10を参照)。開いているプロセスのリストを順に確認し、特定のウィンドウタイトルを探します。B」という文字列が含まれていれば、次の活動を実施します。これらの条件を満たすタイトルが見つかれば、スクリーンショットが撮影され、JPEG添付ファイルとして電子メールで送信されます(図12を参照)。完了すると、既存のChromeプロセスを強制終了します。ウィンドウのタイトルは、おそらくChromeのタグの内容に基づいたものでしょう。CapturaTelaの電子メール抽出を実行している部分CapturaTelaの機能を検証するため、私たちはタイトルに先の条件に一致する文字列を含めたシンプルなWebページと検証用の電子メールアカウントを用意し、悪意のあるサンプルにパッチを当てました(図12を参照)。テスト用HTMLページでCapturaTela機能のデバッグをしているところこの結果、図13に示すとおり、攻撃者が被害者から収集しようとした情報を抽出する際の形式と内容を確認できました。抽出されたデータを含む電子メールを受信ここまでの調査で残った唯一の疑問は「情報窃取用トロイの木馬が探していたコンテンツの種類とウィンドウのタイトルは何だったのか」ということです。B」継続敵という文字列をタイトルに含むのでしょうか。当初、こうした特徴を持つWebサイトを見つけるのはまず無理ではないかと思われましたが、キャンペーンの設定した標的や電子メール配信セッションのメタデータなどの分かっていることから調査を開始しました。このデータから、英語とポルトガル語の両方で、Webサイトのページタイトルに特定の(ただし業界と業界の性質に共通の)用語を含む潜在的なターゲットWebサイトを特定することができました。この用語が含まれていれば、マルウェアのクレジットカード窃取機能が呼び出されるのです。見つかったWebサイトから、攻撃者は特定の購入プロセスにおいて被害者のクレジットカード情報をすべて取得することに重点をおいていることが分かりました。いくつかのCapturaTelaサンプルを分析し、電子メールの設定部分の内容を抽出すると、表4に示すとおり興味深い文字列が複数見つかりました。攻撃者が繰り返し「CDT」という頭字語使用していること、「CoManDo」という単語の各音節がCDTの最初の文字に紐付くこと、これらの特徴から、私たちはこのキャンペーンを「Comando作戦」という名前で説明することにしました。リモートアクセス用トロイの木馬を多用この攻撃者はカスタム作成したトロイの木馬CapturaTelaのほかに何種類ものリモートアクセストロイの木馬を使って悪意のある活動を行っています。次のRATマルウェアファミリは同攻撃者によるキャンペーン活動中に観測されたものです。同キャンペーンで観測されたRATファミリのうち主なもの攻撃者は、複数のRATツールを使用することで、自身のビジネス上の目標を高めようとしているものと考えられます。攻撃者が感染した被害者を使って標的となったWebサイトから窃取できるクレジットカード情報にくわえてさらに多くの情報を窃取できるからです。彼らが使用しているRATファミリーのいくつかは、GitHubで見つけることができます。https://github.com/NYAN-x-CAT/AsyncRAT-C-Sharphttps://github.com/NYAN-x-CAT/Lime-RAT公開されているリサーチ内容との重複この調査で見つかったドメインとサンプルのいくつかは、すでに過去にYoroiが研究・報告がしていたものでした。私たちは今回の研究の結果、使用された技術に若干の重複は見られるものの、このキャンペーンはGorgonグループに関連していないという強い信念を持っています。結論Comando作戦は、ホスピタリティセクタに的を絞って執拗に付け狙う純粋なサイバー犯罪キャンペーンで、おそらくはブラジル起源のものです。この作戦から、脅威攻撃者が予算は格安に抑えつつ、目的をうまく達成している方法が見て取れます。DDNSサービス、パブリックに利用可能なリモートアクセスツール、ソフトウェア開発(この場合はVB.NET)に関する最低限の知識さえあれば、月単位でキャンペーンを継続し、クレジットカード情報そのほかのデータを集めるのに十分なのです。Networksのお客様は次のようにしてこれらの脅威から保護されています。WildFireは、マルウェアとして配信されたすべての悪意のあるドキュメントとペイロードを検出します。AutoFocusをお使いのお客様は、OperationComandoタグを使用してこのキャンペーンを追跡できます。Trapsは、このキャンペーンに関連付けられているすべてのファイルをブロックします。サイバー脅威アライアンス)のメンバーと共有しました。メンバーはこのインテリジェンスを使用して、お客様に保護を迅速に提供し、悪意のあるサイバー攻撃者を体系的に阻害することができます。Allianceの詳細についてはwww.cyberthreatalliance.orgをご覧ください。トラフィックをキャプチャしたり、キャプチャしたパケットを表示させることができます。使ってマルウェア検体が生成したトラフィックをレビューするさいに利用している便利な使いかたをご紹介していきます。Wiresharkの列表示のカスタマイズ方法について見ていきました。本稿では脅威インテリジェンスの調査上便利なフィルタリングの設定方法について説明します。3前回までではWiresharkの列表示のカスタマイズ方法と表示フィルタの式について見ていきました。本稿ではトラフィックから感染ないし侵害を受けたホスト名やユーザーを特定する方法について説明します。キャプチャ(pcap)をレビューする際、より詳しく調べるために、オブジェクトをpcapからエクスポートしなければならない場合があります。42は、ある攻撃グループが、日本の知名度のある組織に対して、過去3年間にわたり複数のマルウェアファミリーを使用して、繰り返しサイバー攻撃を行っていることを発見しました。このグループ「Tick」は、日本と韓国の組織に対して数年間サイバースパイ攻撃を行ってきました。防衛産業やハイテク産業のような知的財産や機密情報を持つ企業を攻撃対象にし、「Daserf」というカスタムマルウェアを使用していることで知られています。複数のツールを駆使して脆弱性をつくエクスプロイト攻撃を仕掛けるだけではなく、日本企業の慣習に倣い、礼儀正しい文章とあわせて拡張子の変更をお願いするという、ソーシャルエンジニアリング的な手法も利用しています。攻撃者はDNSをどう悪用するのか悪意のある攻撃者は、ドメインネームサービス(DNS)をコマンド&コントロール(C2)用通信チャネルとして悪用してきました。このプロトコルはこのほかに、データを漏出させる目的でも悪用されてきました。悪用はC2に「ハートビート」接続のために通信するという用途からさらに広がっており、攻撃者はここ数年、悪意のあるデータやペイロードをDNS経由で被害者のシステムに侵入させる用途にもDNSを使っています。紹介し、その防御メカニズムへの指針を示します。