RANCOR: PLAINTEEおよびDDKONGマルウェア ファミリを使用した東南アジアにおける標的型攻撃

This post is also available in: English (英語)

はじめに

2017年から2018年にかけて、Unit 42は、KHRATトロイの木馬に関する弊社の調査研究を基にして、特に東南アジアを重点的に狙った一連の標的型攻撃を追跡および観測してきました。その証拠に基づくと、これらの攻撃は、前に未知のマルウェア ファミリを使用した攻撃者と同じ一団によって実行されたと思われます。また、これらの攻撃は、使用したマルウェアの配布および選択した標的において極めて絞り込まれた標的型攻撃のようです。このような要因から、Unit 42は、これらの攻撃を実施した攻撃者は、諜報目的でキャンペーンを実施していると確信しています。

弊社は、これまで識別されていないグループと確信し、「RANCOR」とニックネームを付けました。Rancorグループの攻撃では、2つの主要なマルウェア ファミリを使用します。それらについては、このブログで詳しく説明しますが、それぞれDDKONGおよびPLAINTEEという名前です。DDKONGは、キャンペーン全体で使用されており、一方PLAINTEEは、これらの攻撃者のツールキットに新しく追加されたようです。これらのマルウェア ファミリを使用するRancorの標的になったとUnit 42が確認した国には次が挙げられますが、これらの国に限定されるわけではありません。

• シンガポール
• カンボジア
• タイ

弊社は、これらの攻撃がスピアフィッシング メッセージで始まることを示すおとりファイルを識別しましたが、実際のメッセージは観測していません。これらのおとりには、政治的なニュースやイベントを中心とした一般的なニュース記事の情報が含まれています。このことから、Rancorの攻撃者は、政治的な対象を標的としていると確信しています。また、これらのおとりのドキュメントは、カンボジア政府に属する政府系Webサイトを含む合法的なWebサイトでホストされており、少なくとも1つのケースではFacebookも含まれていました。

これらの攻撃で使用されるマルウェアおよびインフラストラクチャは、2つの異なるクラスタに分かれますが(弊社はAおよびBとラベルを付けています)、それらはPLAINTEEマルウェアといくつかの「よりソフトな」つながりを使用して結びついています。

攻撃の紐づけ

KHRATトロイの木馬に関する弊社の以前の調査研究に基づいて、弊社は、KHRATコマンド&コントロール ドメインをモニターしてきました。2018年2月から、いくつかのKHRAT関連ドメインがIPアドレス、89.46.222[.]97に解決されるようになりました。弊社は、このIPアドレスを調査の中心にしました。

PassiveTotalのパッシブDNS (pDNS)レコードを調査した結果、一般的なテクノロジ企業に見せかける、このIPに関連したいくつかのドメイン名が明らかになりました。それらのドメインの1つである、facebook-apps[.]comが、このIPアドレスに関連したマルウェア サンプルの1つで識別されています。

次の表は、このIPアドレスに直接関連する2つのマルウェア サンプルを示しています。

詳しく調べると、弊社が後で「PLAINTEE」と命名したマルウェア ファミリは、データ セット内に6つのサンプルしか存在せず、極めてユニークと思われます。

1つのサンプル(c35609822e6239934606a99cb3dbc925f4768f0b0654d6a2adc35eca473c505d)は別として、すべてのPLAINTEEサンプルを、使用しているインフラストラクチャによって結びつけることができました。図1の図表は、調査中に識別されたサンプル、ドメイン、IPアドレス、電子メール アドレスを示しています(詳しくは、付録 Bを参照)。クラスタAとクラスタBは明確に分離されており、これら2つにインフラストラクチャの重複はありません。

両方のクラスタをさらに調査することで、これらが東南アジアの組織を標的にした攻撃に関連していたことがわかりました。比較的ユニークなPLAINTEEマルウェアを使用していること、各クラスタでマルウェアが同じファイル パスを使用していること、同じ標的であることなどから、弊社は、これらの攻撃をRANCORキャンペーンという名前のもとでグループ化しました。

配信およびローダーのメカニズム

多くのサンプルについて、最終的な被害者に配信された方法を識別できませんでした。しかし、3つのケースについて、トロイの木馬の配信に使用されたファイルを特定でき、より詳しく調査を行い、以下に簡単にまとめました。

クラスタA

ケース1: ドキュメント プロパティ マクロによる配信 – a789a282e0d65a050cccae66c56632245af1c8a589ace2ca5ca79572289fd483

調査では、Microsoft Office Excelドキュメントで埋め込みマクロによってマルウェアの起動を図る攻撃が1社に対して行われたことを少なくとも１件確認しました。興味深いことに、この配信ドキュメントでは、Sofacy脅威の攻撃者が使用し、2017年後半に公表された技法を取り入れており、メインの悪意のあるコードをドキュメントのEXIFメタデータ プロパティに埋め込んでいました。

そうすることで、マクロ自体の主要な内容(図2)を比較的シンプルなものにすることができ、悪意のあるコードのフットプリントを小さくすることで、マクロ内容に基づいて自動的に検出するメカニズムの回避を図ることができます。

この場合の「Company」フィールドには、攻撃者が実行したいロー コマンドが含まれ、マルウェアの次の段階のダウンロードおよび実行が行われます。

クラスタB

ケース2: HTAローダーによる配信- 1dc5966572e94afc2fbcf8e93e3382eef4e4d7b5bc02f24069c403a28fa6a458

この場合、攻撃者は、HTMLアプリケーション ファイル(.hta)を、おそらく電子メールの添付ファイルとして標的に送信していました。添付ファイルを開き、実行すると、HTAファイルの主要コンポーネントがリモートURLから追加マルウェアをダウンロードして実行し、外部でホストされているおとりのイメージをロードします(図3)。

図3のおとりは、攻撃者はカンボジアの政治的な対象に対して攻撃を実施していることを強く示唆しています。Cambodia National Rescue Partyは、政治的な動機を持った抗議運動です。

ケース3: DLLローダーによる配信 - 0bb20a9570a9b1e3a72203951268ffe83af6dcae7342a790fe195a2ef109d855

この分析では、3つの固有のDLLローダーを識別しました。これらのローダーは極めてシンプルで、1つのエクスポート関数を持ち、1つのコマンドを実行する役割を果たします。コマンドの例は以下のとおりです。

上記コマンドでは、マルウェアはペイロードをダウンロードして実行し、永続的に実行されるように構成します。3つの例のうち2つでは、マルウェアは合法であるが侵害されているWebサイトでホストされている、おとりのPDFドキュメントをダウンロードして開きます。これらのケースにおけるおとりのドキュメントは、カンボジアのニュース記事に関連があります(例を以下の図4に示します)。

上記のおとりでは、カンボジアの政党支持者に対して発生した最近のイベントを扱っており、図3で観測されたおとりドキュメントと同様のテーマです。

前述の3つめのDLLが、政府のWebサイトからおとりのドキュメントをダウンロードしようとしている点は注目に値します。この同じWebサイトが、以前、カンボジア国民を標的にしたKHRatキャンペーンで使用されました。

また、3つのDLLローダーのうち2つは、同じ侵害されたWebサイトでホストされていることがわかっており、2018年初めに再度侵害されたと想定されます。これら2つのDLLローダーのファイル名は以下のとおりです。

• Activity Schedule.pdf
• អ្នកនយោបាយក្បត់លើក្បត (クメール語から翻訳: 裏切られた政治家たち)

マルウェアの概要

使用された最終的なペイロードを識別できたすべてのケースで、DDKONGまたはPLAINTEEのマルウェア ファミリが使用されていました。DDKONGは2017年2月から現在にいたるまで使用が観測されています。一方、PLAINTEEは、比較的新しく追加されたマルウェアで、最もサンプルが早く観測されたのは2017年10月でした。入手できたデータでは、DDKONGが単一の脅威攻撃者によって使用されたのか、複数の攻撃者によって使用されたのかはわかりません。

このセクションでは、これらのマルウェア ファミリの能力と動作について考察します。

DDKONG

以下の分析では、次のファイルを使用しました。

表1 – 分析したDDKONGサンプルのすべて。

問題のマルウェアは、次の3つのエクスポート関数で構成されています。

• ServiceMain
• Rundll32Call
• DllEntryPoint

ServiceMainエクスポート関数は、このDLLがサービスとしてロードされることを期待していることを示しています。この関数が正常にロードされると、rundll32.exeの呼び出しによって、Rundll32Callエクスポート関数を備えた自身の新しいインスタンスが最終的に生成されます。

Rundll32Callエクスポート関数は、最初に「RunOnce」という名前の名前付きイベントを作成します。このイベントは、ある時点で単一のDDKongのインスタンスのみが実行されるようにします。その時点でDDKongのインスタンスのみが実行中であれば、マルウェアは処理を続行します。そうでなければ、終了します。これによって、ある時点で単一のDDKongのインスタンスのみが実行されるようになります。

DDKongは、0xC3という1バイトのXORキーを使用して埋め込まれた構成をデコードしようとします。デコードされたら、この構成には、以下の図5に示すデータが含まれています。

この構成のデコードと解析が終わると、次にDDKONGは、Raw TCP接続を介して構成済みのリモート サーバーにビーコンを送信します。パケットのヘッダーの長さは32で、オプションでペイロードがあります。このビーコンでは、ペイロードは提供されないため、このパケットの長さはゼロに設定されます。

ビーコンの送信後、マルウェアは、0x4または0x6いずれかの応答コマンドを期待します。両方の応答ともに、マルウェアに対して、リモート プラグインのダウンロードとロードを指示します。0x4が指定された場合、マルウェアは、「InitAction」エクスポート関数のロードを指示されます。0x6が指定された場合、マルウェアは、「KernelDllCmdAction」エクスポート関数のロードを指示されます。プラグインをダウンロードする前に、マルウェアは、埋め込まれた構成に連結し、最終的に実行時にプラグインに提供されるバッファをダウンロードします。この実行時のバッファの例は、以下のようになります。

前述のテキストでわかるように、このバッファには、2つの絶対ファイル パスが含まれており、元のマルウェア ファミリの名前および作成者を推察することができます。このバッファを収集した後、マルウェアはプラグインをダウンロードして、適切な関数をロードします。実行中に、次のプラグインが識別されました。

表2 – DDKongサンプルで実行中にダウンロードされたプラグイン

このプラグインによって、攻撃者は、感染マシンでのファイルのリスト、およびファイルのダウンロード、アップロードが可能になります。

PLAINTEE

合計で、PLAINTEEのサンプルを6つ発見することができ、分析の結果、これらはRANCOR攻撃者によって独占的に使用されたと思われます。PLAINTEEは、ネットワーク通信にカスタムUDPプロトコルを使用する点において、一般的ではありません。この検証では、以下のサンプルを使用しています。

表3 – 分析したPLAINTEEサンプルのすべて

このサンプルは、次の3つのエクスポート関数で構成されています。

• Add
• Sub
• DllEntryPoint

DLLでは、最初にロードされたときに「Add」という名前のエクスポート関数が使用されることを期待しています。この関数が実行されると、PLAINTEEは、新しいプロセスで次のコマンドを実行して、永続性を確保します。

次に、マルウェアは「Sub」関数を呼び出します。この関数は、最初に「microsoftfuckedupb」という名前のミューテックスを生成し、ある時点で単一のインスタンスのみが実行されているようにします。また、PLAINTEEは、CoCreateGuid()を呼び出して、固有のGUIDを作成し、被害マシンの識別子として使用します。次にマルウェアは、感染したマシンについて全体的なシステム情報の一覧データを収集し、ループに入ります。このループでは、埋め込まれた構成ブロブをデコードし、初期ビーコンをC2サーバーに送信します。

構成ブロブは、単純な1バイトXORスキームを使用してエンコードされます。文字列の最初のバイトは、XORキーとして使用されます。これが残りのデータのデコードに使用されます。

このブロブをデコードすると、次の情報が提供されます。これらは元のバイナリ内にもあります。

表4 – マルウェアに格納されている構成

次にマルウェアは、カスタムUDPプロトコルを介して、構成済みポートにビーコンを送信します。ネットワーク トラフィックは同様の方法でエンコードされ、ランダムなバイトが最初のバイトとして選択され、これを使用してXORを介してパケットの残りをデコードします。デコードされたビーコンの例を以下の図7に示します。

このビーコンの構造は表5のとおりです。

表5 – PLAINTEEのビーコンの構造

このビーコンは、C2サーバーから有効な応答が得られるまで継続的に送出されます(スリープ タイマーは設定されていません)。最初のビーコンの後、発行される他のすべてのリクエストの間には2秒の遅延があります。この応答には、0x66660002というリターン コマンドがあり、C2サーバーに送信された同じGUIDが含まれていることを期待されています。この応答を受け取ると、マルウェアは、異なるコマンド パラメータを持つ新しいスレッドをいくつか生成します。これらの全体的な目的は、C2サーバーから受け取った新しいプラグインをロードして実行することです。

WildFireでPLAINTEEのファイル分析を行い、攻撃者がこのサンプルで実行時にプラグインをダウンロードし実行することを観測しました。取得したプラグインは以下のとおりです。

表6 – Wildfireで観測したPLAINTEEプラグイン

PLAINTEEは、ダウンロードしたプラグインが「shell」または「file」いずれかのエクスポート関数を持つDLLであることを期待しています。プラグインは、PLAINTEEと同じネットワーク プロトコルを使用するため、弊社は送信された以降のコマンドもデコードできました。以下のコマンドが観測されました。

• tasklist
• ipconfig /all

攻撃者は、これら2つのコマンドを33秒間隔で実行しました。自動化されたコマンドは、通常はより迅速に実行されるため、これらは攻撃者が手動で送信した可能性があることを示しています。

結論

RANCORキャンペーンは、東南アジア地域の対象への標的型攻撃を継続的な傾向として示しています。多数のインスタンスで、政治的な動機付けを持つルアー(わな)を使用しており、これまでに文書化されていないマルウェア ファミリを被害者に開かせ、ロードさせようとしていました。これらのファミリは、カスタム ネットワーク通信を利用して、攻撃者がホストするさまざまなプラグインをロードし、実行します。特に、PLAINTEEマルウェアのカスタムUDPプロトコルの使用は珍しく、未知のマルウェアの経験則による検出を構築する際に考慮する必要があります。パロアルトネットワークスは、今後もこれらの攻撃者、マルウェア、インフラストラクチャの監視を続けます。

パロアルトネットワークのお客様は、このブログで考察した脅威から以下に示す方法で保護されています。

• WildFireは、考察したすべてのサンプルを悪意があるものとして正しく識別します。
• Trapsは、このマルウェアの実行を的確に阻止します。
• AutoFocusをご利用のお客様は、KHRAT、DDKONG、PLAINTEE、およびRANCORのタグを使用して、この脅威を追跡できます。

お客様の環境でこのような攻撃が成功するのを阻止するために役立つ追加の緩和策には、以下があります。

• お客様の環境の「.hta」ファイルをデフォルトで扱うアプリケーション(ハンドラ)を変更します。これにより、お客様の環境で「.hta」ファイルを直接実行できなくなります。

付録A - PLAINTEEの古い亜種

PLAINTEEの古い亜種は、実行時に作成された固有のミューテックスによって識別できます。これまで少なくとも3つのPLAINTEEの亜種が識別されていますが、以下の2つのサンプルには、独特の相違点があります。

以下のアクションが追加の関数で実行されます。

• helloworld - より新しいサンプルの「サブ」関数と同等の処理を実行
• helloworld1 – コマンドライン引数を受け付け、UAC バイパスを実行
• helloworld2 – mof ファイルをドロップしてコンパイル
• sqmAddTostream – 最初にマルウェアによって実行され、OS バージョンを確認し、helloworld2 とともにマルウェアをロードする

付録B – IOC