THOR: PKPLUG攻撃グループによるMicrosoft Exchange Server攻撃で展開された未知のPlugX亜種

This post is also available in: English (英語)

概要

Unit 42のリサーチャーは、2021年3月に発生したMicrosoft Exchange Serverへの攻撃を監視していた際、侵害されたサーバー上にある侵入後のリモートアクセスツール (RAT) として配信されたPlugX の亜種を確認しました。観測された亜種はコアとなるソースコードに変更が加えられている点が特徴で、トレードマークの単語である「PLUG」が「THOR」に置き換えられています。発見された最も古いTHORサンプルは2019年8月のもので、これがブランド変更されたコードサンプルとしては最も古いものです。このバージョンでは、ペイロード配信メカニズムの強化や、信頼されたバイナリの悪用など、新たな機能が確認されています。

2008年に初めて発見されたPlugXは、中国のサイバースパイ攻撃グループPKPLUG (別名: Mustang Panda) などのグループが使用してきた第2段階インプラントです。PlugXは、2015年に発生した米国政府人事管理局 (OPM) への重大侵入事件をはじめとする複数の著名な攻撃に長年にわたって使用されてきたことに加え、モジュール性が高く、プラグイン形式をとるマルウェアの開発手法でも知られています。

さらなる調査と分析の結果、いくつかのサンプルとそれに関連するPlugXのコマンド＆コントロール (C2) インフラが追加で特定されました。本稿では、発見されたPlugX亜種の技術的概要、ネットワーク内でPlugX亜種を識別するためのIoC (Indicator of compromise 侵害指標) 、Unit 42が開発したペイロード復号処理ツールについて解説します。

パロアルトネットワークスのお客様は、WildFireと脅威防御のセキュリティサブスクリプションを有効化した次世代ファイアウォール と Cortex XDRによってPlugXから保護されています。AutoFocus をお使いのお客様はPlugX、PKPLUGの各タグを使用してPlugXのアクティビティを追跡できます。観測されたテクニックや、それに対応してとるべき行動方針全体を視覚化した内容は、Unit 42のATOMビューアからご確認ください。

PlugXの配信

2021年3月19日、IPアドレス101.36.120[.]227を発信元とし、一連のゼロデイ脆弱性 (CVE-2021-26855およびCVE-2021-27065) のエクスプロイトによりExchange Serverを攻撃している攻撃者が確認されました。エクスプロイトが成功すると、パブリックにアクセスが可能なWebディレクトリにWebシェルがアップロードされ、最高レベルの特権でコードが実行されます。

その後は「living off the land (攻撃先の環境にもとから存在するツールを使う)」と呼ばれる手法を使います。この手法は、信頼されているバイナリを使ってアンチウイルスによる検出を回避します。この事例では、アクターが管理下におく GitHub リポジトリから Aro.dat (SHA256:59BA902871E98934C054649CA582E2A01707998ACC78B2570FEF43DBD10F7B6F) という無害なファイルを Microsoft Windows のバイナリ bitsadmin.exe を使って標的環境にダウンロードしていました (実行されたダウンロードコマンドについては図1を参照) 。

Aro.Dat の概要

Aro.datの最初の1,000バイト (図2参照) を眺めるとこのファイルは暗号化ないし圧縮化されていそうなことがわかります。結論からいうとこのデータはランダムなパディング用のデータで、おそらくはアンチウイルスシグネチャを回避して検出を妨害するためにファイルヘッダとして追加されたものでした。パディングされたデータの終わりはヌルで終端されていて、ここが実際のデータエントリポイント識別子になっています。NULLバイト (0x00) のすぐ後ろにはファイルのアンパック用x86アセンブリ命令が続きます。このサンプルではx86アセンブリはオペコード 0x77をもつファイルオフセット0x4ECからはじまります。これはアセンブリのニーモニックで「JA」(符号なし整数の大小比較で値が大きい場合はジャンプする) に変換されます。

図2はAro.datファイルヘッダのうちNULLバイトまでを示したものです。NULLまでのバイトにはとくに意味がないのでここでは途中を省略しています。赤がNULLバイト、 緑がコード実行の開始位置です。

0000h: 49 79 7A 45 48 4C 4B 78 75 77 55 48 66 77 46 65 IyzEHLKxuwUHfwFe

0010h: 6C 46 44 6D 6D 55 6E 42 50 47 76 63 70 75 68 50 lFDmmUnBPGvcpuhP

0020h: 78 57 5A 67 45 48 62 66 4A 45 57 53 76 74 44 6E xWZgEHbfJEWSvtDn

0030h: 75 61 75 72 56 4C 63 77 41 79 44 58 6A 72 6E 69 uaurVLcwAyDXjrni

0040h: 6F 74 70 77 67 73 71 52 67 7A 4D 64 50 6D 46 6A otpwgsqRgzMdPmFj

0050h: 5A 4E 64 6F 70 72 50 77 70 68 6C 42 6E 6E 56 43 ZNdoprPwphlBnnVC

0060h: 79 6B 52 45 59 6B 75 50 61 75 63 56 54 55 73 51 ykREYkuPaucVTUsQ

0070h: 68 73 41 4A 4E 7A 4F 49 61 51 75 4D 46 6C 54 42 hsAJNzOIaQuMFlTB

0080h: 77 42 44 6B 4A 55 76 43 6C 51 47 68 46 66 69 56 wBDkJUvClQGhFfiV

0090h: 66 62 6A 4C 46 77 78 41 68 50 67 44 46 6F 47 44 fbjLFwxAhPgDFoGD

.

.

.

.

.

04B0h: 37 35 38 37 35 35 30 39 37 38 32 36 39 30 33 36 7587550978269036

04C0h: 39 39 33 32 33 32 36 38 39 36 33 30 35 35 39 30 9932326896305590

04D0h: 37 35 35 35 37 39 35 32 39 38 30 32 33 35 38 33 7555795298023583

04E0h: 30 36 32 37 36 36 30 32 35 37 36 00 77 06 81 EE 06276602576.w.

^{図2 Aro.datのファイルヘッダ}

Aro.datは検出よけを意図した設計になっているので特定のローダが介入しないと実行できません。これまでの PlugX の亜種と同様にこのコード実行にはDLL サイドローディングと呼ばれるテクニックが使われます。静的解析を行ってみると、Aro.dat はメモリにロードされると自身のアンパックを開始し、C2 サーバーと通信し始めることがわかります。

Aro.dat は実際のところ暗号化・圧縮化された PlugX ペイロードです。Aro.dat 内の復号ルーチンは複数の復号鍵とビットシフト演算を伴う点で旧来の PlugX 亜種とよく似ています (以下図3参照) 。復号後は Windows API の RtlDecompressBuffer を介して Windowsモジュール (DLL) に解凍されます。圧縮アルゴリズムは LZ 圧縮 (COMPRESSION_FORMAT_LZNT1) です。

図3でハイライトした項目は、Aro.datと 2012 年の古い PlugX サンプルが使用していた静的な復号鍵です (SHA256: A68CA9D35D26505A83C92202B0220F7BB8F615BC1E8D4E2266AADDB0DFE7BD15) 。復号ルーチンは、PlugX のビルドごとに、異なる静的鍵を使用したり、加算や減算の方法を変えたりすることで、若干の違いがあります。

復号され、解凍されたAro.datは、x86 Windows 用 DLL ないし PE ファイルです。

Aro.Datのコード実行

Aro.datファイルには、aross.dll、aro.exe、aro.datという文字列名が含まれています。これらの3つのファイルの関連を見ていくとコード実行がどのように行われるかがわかります。VirusTotalでは以下のファイルが確認されています。

• Aro.exe (SHA256: 18A98C2D905A1DA1D9D855E86866921E543F4BF8621FAEA05EB14D8E5B23B60C)
• Aross.dll (SHA256: 9FFFB3894B008D5A54343CCF8395A47ACFE953394FFFE2C58550E444FF20EC47)

オープンソースの調査によると、Aro.exeは、「高度な修復・最適化ツールARO 2012」の一部であることがわかっています。これは、Windowsのレジストリエラーを修正することをうたうフリーツールで、デジタル署名されています。PlugXローダとの関連が知られており、Aross.dllを動的にロードします。Aross.dllは、暗号化されたペイロードファイルAro.datの読み込みをになうアクターのDLLファイルです。こうした情報から、これら2つのファイルが、暗号化されたTHORペイロードであるAro.datをロードするのに必要なもので、かつそのロードを担っていることが推測できます。

コードの実行方法については、図4を参照してください。

Aro.Datのランタイムオペレーション

解読されたペイロードは、ひとたびメモリ上で実行されると以前のPlugX インプラントの亜種と同じような振る舞いをします。まず、埋め込まれたPlugXのハードコードされた構成設定を復号することから始めます。復号のアルゴリズムとXORキーは、複数のPlugXインプラントでほぼ一貫しています。コードの振る舞いは、脅威インテリジェンスチームInsikt Groupが報告したRedDelta PlugXのものとよく似ています。このサンプルが、他のすべての既知のPlugXマルウェアファミリと比べて明らかに違うのは、PlugX プラグインの初期化時に実行されるマジックナンバーのチェック部分です。歴史的には、この数字は常に0x504C5547で、これはASCIIエンコーディングで「PLUG」という値に対応しています。このサンプルではこのマジックナンバーが0x54484F52で、これはASCIIエンコーディングの「THOR」という値にあたります。

その違いを図5に示します。

サンプル内でハードコードされているPlugXの設定は以下の値にデコードされました (一部省略) 。

図6に示されているように、この特定のPlugXインプラントは以下のように構成されています。

• rainydaysweb[.]com の4つのC2ドメイン。
• 80、443、53、8000ポートとの通信。TCP とUDP の両プロトコルでデータが送信される。デバッグ (outputdebugstringW) 用に送信したデータをデバッガ (アタッチされていれば) に出力。例:

• HTTPプロトコルを使用。C2との最初のハンドシェイクはHTTPではなく、可変長のランダムなバイトで構成されている。インプラントは、16バイトのデータが返ってくることを期待しており、返り値 (コマンド) に応じてHTTP通信を開始する。PlugXのSxWorkProcスレッドはHTTP通信の処理を担当する。HTTPヘッダの例は次のようなもの。

• 図8の内訳は次の通り。
  • POSTデータはランダムなバイトで構成されている。
  • User-agentはハードコードされた値 Mozilla/4.0 (compatible; MSIE 9.0; Windows NT 10.0; .NET4.0C; .NET4.0E; Tablet PC 2.0)
  • utmcn、utmcs、utmsr、 utmscはハードコードされたユーザーエージェントの値。
  • 61456 は、既知のPlugXの定数値。
  • HTTPヘッダはRecorded FutureによるRedDelta PlugX 亜種レポートの11ページのものと類似。
• HP Digital Imageという名前と説明でWindowsシステムサービスを作成する。

• キャンペーンIDは1234である可能性がある。

実行中は、プロセスの作成、日時、ユーザー名などのシステムイベントがC:\ProgramData\MSDN\6.0ディレクトリにあるNTUSER.DATという隠しファイルに記録されます。このファイルは0x4F6Fという2バイトの鍵で暗号化されています。

PlugXには他にも2つの識別可能な属性があります。

1. 隠れたWindowsのクラス名 Static (図10参照)。このウィンドウはプロセス内の通信に使用される。

2. RWX インメモリモジュールの MZ および PE ヘッダを削除して ASCII の ROHT (THOR を逆にしたもの) に置き換える (図11参照)。

以下の表1に示すように、このサンプルは個々にハードコードされたタイムスタンプを持つ次のPlugXプラグインを持ちます。これらのプラグインについては、すでに多くの報告がありますが、要するに攻撃者が目的を達成するために侵害システムの監視・更新・操作を行うさまざまな機能を提供するものです。

^{表1 PlugXプラグイン}

また、このサンプルには、20180209というキーまたはハードコードされた日付が含まれているようです。この日付は、構造体の中で使用され、関数オブジェクトが呼び出されるたびに渡されます。

PKPLUGとのリンク

Aro.datのようなPlugXモジュールにはハードコードされた設定情報が含まれていて複数のC2アドレスを使用できます。このおかげで、侵害活動時に一部のリモートサービスが利用できなくても、バックドアのフォールバックオプションが利用できます。この特定のPlugXインプラント (SHA256:59BA902871E98934C054649CA582E2A01707998ACC78B2570FEF43DBD10F7B6F) では、上の図6に示すように、4つのC2構成オプションすべてがドメイン名rainydaysweb[.]comを参照しています。

最近発見された THOR というマジックナンバー (インフラ) を持つ PlugX サンプルと、既知の PKPLUG アクティビティに関連する他のエンティティとの重複を、以下の図 12 にハイライトして表示しました。それぞれ、オレンジ色の矩形と赤の矩形で囲ってあります。

前述のように、このアクターは自身の管理するGitHubリポジトリからbitsadminを使用して標的のMicrosoft Exchange ServerにAro.dat (SHA256:59BA902871E98934C054649CA582E2A01707998ACC78B2570FEF43DBD10F7B6F) をダウンロードしていました。このため、モジュールの読み込みと復号をどの特定コンポーネントが行ったのかはわかりません。ただしそこからrainydaysweb[.]comへのつながりは、図12の青い楕円形で示しています。

関連インフラの重複や両者に共通する悪意のあるアクティビティが判明したところで、図12の各部分を示す参照番号表記 [X] (図 12 のピンク色の数字) を使って、以下に説明していきます。

2021年3月19日に初めて確認されたPlugXサンプル (SHA256: 93D33626886E97ABF4087F5445B2A02738EA21D8624B3F015625CD646E9D986E) [1]は、従来のPLUG (THORではない) 識別子を使用し、同じC2 rainydaysweb[.]comと通信しています。このサンプルには、他のPlugXサンプルと共通の振る舞いも確認できます。つまり、HKLM\\Software\\CLASSES\\ms-pu\\PROXY[2]というキーの作成に特化したレジストリのアクティビティを行います。これらのサンプルの中には過去のPKPLUGのアクティビティと関連するC2インフラを利用するものもあります。たとえば2020年後半のPlugXサンプル (SHA256:A15FED60E69EC07BFD01A23BEEC2C8E9B14AD457EA052BA29BD7A7B806AB63B4) [3]は、C2として manager2013[.]comを使用しています。

共通のレジストリキーを使用するセットの他のサンプルでは、共通するインフラの使用から、第3レベルのドメインupload.ukbbcnews[.]com[4]に関連する C2 通信情報を含む、追加のサンプルが見つかりました。このドメインは、英国BBC放送の正規ドメインとはいかなる時点でも縁もゆかりもないドメインですが、被害者にそう見えるようにしむけるために登録されています。このドメインは、2021年4月12日までIPv4アドレス45.248.87[.]217に解決され、2020年8月初旬からTHORモジュール mmsvc.ui (SHA256:64E2FE0E9D52812D2DA956B1D92B51E7C215E579241649316CF996F9721E466E) を含むPlugX サンプル (SHA256:690C488A9902978F2EF05AA23D21F4FA30A52DD9D11191F9B49667CD08618D87) [5]にC2チャネルを提供していました。

その他の「ukbbcnews」第3レベルドメイン (例: bbc.、news.、www.) も存在し、これらは古くは2019年5月から2021年3月まで、同じ45.248.87[.]217のIPv4アドレスに解決していました。2018年には、同じ第3レベルドメインが、185.239.226[.]65、185.239.226[.]76、185.239.226[.]14など、AS134835の範囲にある複数のIPv4アドレスに解決していました。これらのアドレスは、2018年、2019年、2020年を通じ、さまざまなPlugXサンプルのC2チャンネルとして使用されていたものと思われます。2018年6月のPlugXサンプル (SHA256:3CDD33DEA12F21A4F222EB060E1E8CA8A20D5F6CA0FD849715F125B973F3A257) [6]は、レジストリキーHKLM\SOFTWARE\Classes\KET.FAST\CLSID[7]の値を-1に設定するという挙動が過去3年間の他の2つのPlugXサンプルの特徴と共通しています。

Unit 42が把握している、こうしたレジストリキー値を変更する3つのPlugXサンプルセットのうち、ある 1 つのサンプル (SHA256: A9511CDAA96ED59DE73A7C7DC375DE204BEE7A9511C5EE71BF013010324A91) [8]は、同じ時期 (2018年6月) に、C2通信のためにドメインtibetsl[.]comとこのドメインからの多数の第3レベルドメインを使用していました。このセットの 3 つ目の PlugX サンプル (SHA256:80DEED939A5206968335D1BB2A9FCCE7053C0156F679BA261824D0A2D44967) [9]も，THOR という識別子を使用していました．2019年11月から、このサンプルとその構成モジュールaross.dat (SHA256:C5DCD3073904FAD5D9A8FE1026141A832E05C9CA03A88FEE96587921F42773D4) は、C2通信に108.61.182[.]34を使い、2019年9月から2020年2月の間に indonesiaport[.]info [10] ドメインに解決していました。これと同じドメインが、Unit 42がPKPLUGに関連するものとして追跡していた他の複数のPlugXサンプル (PLUG識別子を使用しているもの) により2017年8月までさかのぼってC2通信に使用されていました。

THOR識別子を使用したもう一つの構成モジュールであるacrobat.chm (SHA256:B5C0DB62184325FFBE2B8EF7E6F13F5D5926DEAC331EF6D542C5FA50144E0280) [11]は、PlugXサンプルのAcrobat.dll (SHA256: 3C5E2A4AFE58634F45C48F4E800DC56BAE3907DDE308FF97740E9CD5684D1C53) によって読み込まれます。この Acrobat.chm が初めて確認されたのは、2020年10月末のことでした。この設定でのC2チャネルはtools.scbbgroup[.]comで、当時は167.88.180[.]131に解決していましたが、2021年2月上旬以降は、AS6134とAS134835でそれぞれ103.85.24[.]158に解決され続けています[12]。その他の既知の PKPLUG インフラはこれら両 AS 範囲にある追加の IP アドレスを使用していますが、これらの IP アドレスは Unit 42 をはじめとするベンダによる追跡が行われています。

たとえば2020年4月と5月にそれぞれ103.85.24[.]190に解決したwww.ixiaoyver[.]comとwww.systeminfor[.]comは、複数のPlugXサンプル (PLUG識別子を使用) のC2チャンネルとして機能していました。

www.systeminfor[.]comは、2日間という短い期間だけ103.85.24[.]190に解決していましたが、その直後、解決先が167.88.180[.]32 (AS6134) に一時的に変更され、他のPKPLUG関連ドメインが2020年を通じてこのアドレスに解決していました。そうしたドメインの 1 つがwww.cabsecnow[.]comで、このドメインは、2020年8月、THORマジックナンバーを使う別の PlugX サンプル (SHA256:A9CBCE007A7467BA1394EED32B9C1774AD09A9A9FB74EB2CCC584749273FAC01) [13] と設定モジュール Smadav.dat (SHA256: E2D21B5E34189FA1ACA39A13A405C792B19EDF020907FB9840AF1AAFBAA2F4) の C2 チャネルとして使われていました。

THORという識別子[14]を使用した最後のPlugXサンプルは，SmadHook32.dll (SHA256:125FDF108DC1AD6F572CBDDE74B0C7FA938A9ADCE0CC80CB5CE00F1C030B0C93) と，その構成モジュールであるSmadav.dat (SHA256:CC1AFB373F8286C08869CD786FEE75B8002DF595586E00255F52892016FD7A4F) で、Unit 42 が発見した最新のTHORサンプルです。2021年3月に初めて確認されたこのサンプルのC2は、news.cqpeizi[.]comを参照しており、2019年後半以降はループバックアドレス127.0.0[.]1に解決しています。

その他のPlugXの探索

暗号化されたペイロードファイルがどのように構成されているかを理解したところでUnit 42のリサーチャーはx86のアセンブリ命令に基づいてシグネチャを作成しました。これらの命令はペイロードのアンパックに使用されます (発見されたファイルのリストは表2を参照してください)。

今回の調査では、エンコード方式やファイルヘッダが異なる他のPlugX暗号化済みペイロードを発見しました。これらのサンプルは、ファイルオフセット 0 から始まるNULLバイトまでのバイトで構成された復号鍵でXORエンコードされています。通常、キーの長さは10バイトです。復号されるとサンプルはPEファイル (DLL) になります (発見されたファイルのうちこのフォーマットをもつもののリストは表3を参照してください) 。

このほかにも異なるエンコーディング方式で暗号化された PlugX のペイロードファイルが 2 つ確認されています。これらのファイルを手動で復号したところ、PlugXの亜種であることが確認されました (表4参照) 。

Unit 42によるPlugXのペイロード復号スクリプト

Unit 42 でペイロード復号用のPythonスクリプトを作成しました。このスクリプトを使うと、関連するPlugXローダがなくても、暗号化されたPlugXペイロードを復号・アンパックすることができます。このスクリプトはPlugXの暗号化されたサンプルの種類の検出を試みて、次の内容を出力します。

1. PlugXモジュール (DLL) を復号して解凍した結果。メモリ内モジュールにはMZヘッダが存在していないのでファイルにはMZヘッダを追加しています。これはランダムなバイトヘッダを持つ暗号化ペイロード (THORペイロード) にのみ適用されます。
2. ハードコードされたPlugX設定ファイル (C2情報) (サポートされている場合) 。

ツールの使用例は以下のアニメーションで確認してください。

この復号ツールはUnit 42が公開しているツールのGitHubリポジトリで提供しています。

結論

初認から13年経った今でもPlugXマルウェアファミリは脅威であり続けています。この開発者は10年以上にわたり一貫したソースコードコンポーネントを提供してきましたが、唐突にトレードマークのマジックナンバーを「PLUG」から「THOR」へと変更しました。この亜種では、ペイロード配信メカニズムの強化、信頼されたバイナリの悪用など、新たな機能が観測されています。引き続きUnit 42はTHORを識別するシグネチャをもとにこの新しいPlugXの亜種との関連が疑われる追加サンプルや亜種の探索を続けていきます。

パロアルトネットワークスのお客様は、WildFireと脅威防御のセキュリティサブスクリプションを有効化した次世代ファイアウォール と Cortex XDRによってPlugXから保護されています。AutoFocus をお使いのお客様はPlugX、PKPLUGの各タグを使用してPlugXのアクティビティを追跡できます。

パロアルトネットワークスは本稿で見つかったファイルサンプルや侵害の兆候などをふくむ調査結果をCyber Threat Alliance (CTA サイバー脅威アライアンス) のメンバーと共有しました。CTA のメンバーはこのインテリジェンスを使用して、お客様に保護を迅速に提供し、悪意のあるサイバー攻撃者を体系的に阻害することができます。Cyber Threat Allianceの詳細については、Cyber Threat AllianceのWebサイトをご覧ください。

追加資料

• PKPLUG: 東南アジアを狙い続ける中国の攻撃グループの追跡

IoC

THOR のマジックナンバーを含むPlugX暗号化ペイロード

^{表2 THOR のマジックナンバーを含むPlugX暗号化ペイロード}

THORペイロードを使用したPlugXローダ

^{表3 THORペイロードを使用したPlugXローダ}

PlugX暗号化ペイロード: XORヘッダ

^{表4 PlugX暗号化ペイロード: XORヘッダ}

PlugX暗号化ペイロード: 未知の暗号

^{表5 PlugX暗号化ペイロード: 未知の暗号}

PLUGペイロードを使用したPlugXローダ

^{表6 PLUGペイロードを使用したPlugXローダ}

コマンド＆コントロール IoC

Microsoft Exchangeの脆弱性に関連するPlugX (THORマジックナンバー)
rainydaysweb[.]com
154.211.14[.]156

その他のPlugX (THORマジックナンバー)
upload.ukbbcnews[.]com
indonesiaport[.]info
tools.scbbgroup[.]com
www.cabsecnow[.]com
news.cqpeizi[.]com
45.248.87[.]217
103.85.24[.]158
167.88.180[.]131
167.88.180[.]32
108.61.182[.]34

その他のPlugX (PLUGマジックナンバー)
web.flashplayerup[.]com
downloads.flashplayerup[.]com
help.flashplayerup[.]com
index.flashplayerup[.]com
www.destroy2013[.]com
www.fitehook[.]com
www.manager2013[.]com
www.mmfhlele[.]com
detail.misecure[.]com
www.quochoice[.]com
www.systeminfor[.]com
www.emicrosoftinterview[.]com
down.emicrosoftinterview[.]com
news.petalossccaf[.]com
www.msdntoolkit[.]com
www.apple-net[.]com
hdviet.tv-vn[.]com
103.56.53[.]106
185.239.226[.]65
103.192.226[.]100
45.248.87[.]140
45.142.166[.]112
103.107.104[.]38
42.99.117[.]92
45.251.240[.]55
103.56.53[.]46
154.223.150[.]105
45.248.87[.]162
103.200.97[.]150
42.99.117[.]95
43.254.217[.]165
45.248.87[.]217