Japan2020年5月1日ニュースの概要アゼルバイジャンの政府機関やエネルギー業界が、未知の攻撃者の標的となっているようです。システムが狙われています。ドキュメントを使用して、標的マシンをリモート制御するためのマルウェアを仕込みます。呼ばれる新種のリモートアクセス型トロイの木馬(RAT)です。記述されていて、複数の構成要素から成ります。攻撃者は必要に応じて他のツールも展開し、それを駆使して、ファイルやパスワードを収集します。カメラから画像を取得することもあります。未知のマルウェアファミリを基盤として新たなキャンペーンが展開されていることを発見し、このファミリを「PoetRAT」と命名しました。現時点では、既知の攻撃者に結びつくものとは考えていません。分野の民間企業を標的としていると考えられます。ベースとするリモートアクセス型トロイの木馬(RAT)を展開します。この種のマルウェアによく見られる特徴をすべて備えていて、侵害されたシステムの完全な制御権を攻撃者に提供します。利用されていることから、大量のデータの転送を図っていることが窺われます。キャンペーンから見てとれるのは、侵害されたシステムに、攻撃者が必要に応じて手動でツールを追加していることです。ここでは、それらのツールのいくつかについて解説します。興味深いツールは、自動でハードディスクをモニタリングし、データを漏えいさせるものです。その他にも、キーロガー、ブラウザに焦点を絞ったパスワード窃取機能、カメラ制御アプリケーション、汎用のパスワード窃取機能などが使用されています。このマルウェアキャンペーンのほか、攻撃者は同一のインフラストラクチャでフィッシングキャンペーンも仕掛けています。メールを模倣したものです。これまで発見されていなかったものでした。つのコンポーネントとしての検出を回避しています。ドキュメントに付加します。ドキュメントを開くとマクロが起動し、マルウェアが抽出されて実行されます。攻撃はおそらく手動で行われますが、必要に応じて追加のツールを展開し、不要な手順は回避するという合理化が行われています。ドキュメントの送信です。攻撃者がドキュメントを拡散する手口は、現時点では明らかになっていません。ネットワークのメッセージによって攻撃対象者がダウンロードに誘い込まれていると思われます。攻撃者はきわめて意欲的であり、標的となった対象者に焦点を絞り込みます。システムのほか、公的機関や民間企業も標的となっています。ツールキットで利用できるツールの量と多様性から、入念に計画された攻撃であることがわかります。アゼルバイジャンの公的機関や民間企業、特にエネルギー業界を標的としているキャンペーンを多数発見しました。システム(主にウインドタービン)に関心を抱いていることが判明しました。開くと、ドキュメントの表示がぼやけていています。この表示は修正できません。ドキュメント自体がぼやけた画像となっていて、テキストは含まれていません。組織である防衛研究開発機構(DRDO)のようです。インドが標的となっている証拠は見つかっていません。hxxp://govaz[.]herokuapp[.]com/content/section_policies.docxです。パンデミックを指しています。判読可能なコンテンツは含まれていません。コロナウイルスがテーマデコイドキュメントが進化し、より正当なファイルらしく見えるようになっています。置かれているドロッパーです。メールに対するフィッシングキャンペーンが展開されていたことが判明しています。サイトは「hxxps://gov-az[.]herokuapp[.]com/azGovaz.php?login=」で稼働していました。目的は明らかに資格情報の窃取です。マルウェア直近のドキュメントの感染ベクトルをご紹介します。使用)、最終的な目標は同じです。ドキュメントがドロッパーです。スクリプトが組み込まれています。このドロッパーはより革新的です。ドキュメントがメモリに読み込まれます。バイトがコピーされ、残りのバイトがディスクに書き戻されます。ドキュメント「smile.zip」の末尾に付加します。スクリプトが格納されています。解凍され、「launcher.py」という名前のメインスクリプトが実行されます。このランチャスクリプトが担っているのは、ドキュメントが開かれている環境のチェックです。未満のものをサンドボックスと判断します。サンドボックス環境だった場合は、マルウェアスクリプトを「License.txt」の内容で上書きして処理を終了し、スクリプト自体を削除します。ソースコードと直接置き換えて、コードを実行します。つのメインスクリプトです。「frown.py」という名前のスクリプトがコマンドアンドコントロール(C2)との通信を担います。暗号化し、接続が正常に確立されると「almond」という語を送信します。サーバは、「who」または「ice」のいずれかで応答を返します。含まれた文字列を返します。「ice」コマンドは、単に接続手順を終了するものです。コマンドの解釈と実行を担っています。使用できるコマンドは以下のとおりです。機能でファイルを圧縮jobs:プロセスの停止、消去、終了などの操作を実行。一部の機能(shot、upload、download)では追加の資格情報が必要です。これらの資格情報は標本にハードコーディングされていません。サーバによって提供されます。スクリプト「launcher.py」実行用のレジストリキーが追加されます。調査の実施中、複数のレジストリ修正が実行されることを確認しました。その結果、「police」キーワードを使用すると、サンドボックス回避チェックを省略してスクリプトが実行されるようになります。キーワードがあるため、サンドボックスのチェックと初期化プロセスが省略されます。このキーワードは、感染済みのホストに対して環境の再チェックをしないために使用されていると思われます。起動ルーチンスクリプト間の通信は、「Abibliophobia23」というファイル経由で実行されます。コマンドと実行結果は、このファイルに独自の暗号化方式で書き込まれます。変種によって異なります。難読化のアルゴリズム換字式暗号が使用されていて、暗号化対象の文字コードに対して鍵パラメータを使用する数学演算が実行された後、新しい文字コードが取得されます。ポストエクスプロイトツールキャンペーンでは、標的となったシステムに攻撃者がツールを追加で展開していました。そのいくつかについて説明します。Dog攻撃者は、最初の侵害を果たした直後、「dog.exe」というツールを展開します。情報を漏えいさせることが目的です。攻撃者がバイナリを使用して仕込みます。形式は以下のとおりです。結合して定義されます(この例では「C:/ProgramData/TARGET_Dog/」)。情報を漏えいさせる方法で、「ftp」または「email」です。情報漏えいに使用される電子メールのパラメータです。侵害されたシステム上のモニタリング対象パスです。構成ファイルの「Paths」変数にあるディレクトリのいずれかでファイルが修正されると、その都度、ファイルシステムウォッチャを使用してイベントが生成されます。バイナリがファイルを漏えいさせます。カメラで画像を記録します。回キャプチャされます。画像はファイルシステムに保存され、自動的に情報漏えいが発生することはありません。用にコンパイルされている数種のツールを発見しました。フレームワークNmap:侵入テストおよびネットワークスキャンを実施するためのオープンソースツールまとめ今回の調査で判明したのは、攻撃チェーン全体を通して、さまざまなツールと手法が駆使されていることです。今回のキャンペーンでおとりドキュメントを多数発見しました。利用して攻撃を仕掛けるものでした。特定のディレクトリがモニタリングされていたことから、攻撃対象者の特定の情報を漏えいさせようとしていたことがわかります。使用して、資格情報をさらに収集し、標的のあらゆる情報を把握しようとしていました。アゼルバイジャン政府職員から重要な資格情報を取得しようとしていた可能性があります。攻撃対象者の画像の取得を試みるとともに、電子メールプラットフォームを利用してアゼルバイジャン政府を標的にしています。攻撃対象者の特定の情報に加え、標的に関連する情報のキャッシュ全体も取得しようとしていました。被害者への影響を考えると、これらの手口によって、きわめて重要な資格情報や情報が取得可能になっていたでしょう。その実行技術がホワイトリストに登録されている従来のツールでの検知を回避した可能性があります。カバレッジお客様がこの脅威を検出してブロックするための方法を以下に記載します。Protection(AMP)は、これらの攻撃者がマルウェアを実行できないようにするための最適な方法です。内に存在するエクスプロイト防止機能は、このような未知の攻撃からお客様を自動的に保護するように設計されています。サイトへのアクセスを防止し、上述したような攻撃で使用されるマルウェアを検出します。メールセキュリティは、攻撃の一環として攻撃者が送りつける不正な電子メールをブロックします。アプライアンスは、今回の脅威に関連する不正アクティビティを検出します。悪意のあるバイナリを特定し、すべてのシスコセキュリティ製品に保護機能を組み込みます。接続をブロックします。購入可能な最新のルールパックをダウンロードすると、最新状態を維持できます。本サイトに情報を掲載する個人(管理人を含みます)は、シスコの社員である場合があります。本サイトおよび対応するコメントにおいて表明される意見は、投稿者本人の個人的意見であり、シスコの意見ではありません。本サイトの内容は、情報の提供のみを目的として掲載されており、シスコや他の関係者による推奨や表明を目的としたものではありません。このサイトは一般公開されています。機密情報はこのサイトに掲載しないでください。サイトの利用に関するあらゆる責任からシスコを免責することに同意したものとします。許諾料全額支払い済みの、譲渡可能な権利(サブライセンスする権利を含みます)を付与するものとします。全てのコメントは管理されます。コメントは管理人による承認後速やかに表示されます。