GandCrab ランサムウェアを配信するマルバタイジング キャンペーンで使用される Fallout エクスプロイト キット

2018 年 8 月末にかけて、FireEye は、日本、韓国、中東、南ヨーロッパ、およびアジア太平洋地域のその他の国のユーザーに影響を与えるマルバタイジング キャンペーンの一環として提供されていた新しいエクスプロイト キット (EK) を特定しました。

キャンペーンの最初のインスタンスは、2018 年 8 月 24 日にドメイン finalcountdown[.]gq で確認されました。東京を拠点とする研究者「nao_sec」は、8 月 29 日にこのキャンペーンのインスタンスを特定し、自身のブログ投稿でエクスプロイト キットをFallout Exploit Kitと呼んでいます。調査の一環として、キャンペーンに関連する追加のドメイン、地域、およびペイロードを観察しました。 nao_sec のブログ投稿で言及されているように、日本で配布されている SmokeLoader 以外に、GandCrab ランサムウェアが中東で配布されていることを確認しました。これについては、このブログ投稿で焦点を当てます。

Fallout EK は、ユーザー ブラウザー プロファイルのフィンガープリントを作成し、ユーザー プロファイルが対象のターゲットと一致する場合、悪意のあるコンテンツを配信します。照合に成功すると、ユーザーは複数の 302 リダイレクトを介して正規の広告主ページからエクスプロイト キットのランディング ページ URL にリダイレクトされます。正当なドメイン、 クッション ドメイン、エクスプロイト キットのランディング ページに至る完全なチェーンを図 1 に示します。

メインの広告ページは、広告の読み込み中にクッション ドメイン リンクをプリフェッチし、ブラウザーで JavaScript が無効になっている場合に <noscript> タグを使用して別のリンクを読み込みます (図 2)。

このブログ投稿で前述していない地域では、「link rel=”dns-prefetch” href”」タグの値が異なり、広告はエクスプロイト キットに誘導されません。 302 ホップを介したリダイレクトの完全なチェーンを図 3、図 4、および図 5 に示します。

ランディング ページの URI は変化し続けており、パターンに対して一般的すぎるため、特定のパターンに基づく検出に依存する IDS ソリューションは難しくなっています。

ブラウザ/OS プロファイルとユーザーの場所に応じて、マルバタイジングはエクスプロイト キットを配信するか、ユーザーを他のソーシャル エンジニアリング キャンペーンに再ルーティングしようとします。たとえば、米国では、完全にパッチが適用された macOS システムで、マルバタイジングにより、図 6 と図 7 に示すようなソーシャル エンジニアリングの試みにユーザーがリダイレクトされます。

この戦略は、FireEye がしばらく観察してきたソーシャル エンジニアリングの試みの増加と一致しています。悪意のあるアクターは、完全にパッチが適用されたシステムや、ソフトウェアが原因でエクスプロイトの試みには理想的ではない OS/ソフトウェア プロファイルを使用しているユーザーをターゲットにするためにソーシャル エンジニアリングを使用します。脆弱性。キャンペーンに関係するマルバタイジング リダイレクトは、北米でも多くのソーシャル エンジニアリング キャンペーンで悪用されています。

FireEye Dynamic Threat Intelligence (DTI) は、このキャンペーンが政府、通信、および医療セクターの顧客からのアラートをトリガーしたことを示しています。

ランディングページ

当初、ランディング ページには VBScript の脆弱性 ( CVE-2018-8174 ) のコードのみが含まれていました。ただし、ペイロードの実行の信頼性を高めるために、Flash 埋め込みコードが後で追加されました。

ランディング ページでは、VBScript コードが Base64 でエンコードされたテキストとして「<span>」タグに保持されます。ページが読み込まれると JScript 関数が読み込まれ、次の段階の VBScript コードがデコードされ、VBScript ExecuteGlobal 関数を使用して実行されます (図 8)。

図 9 は、悪意のある VBScript コードをデコードする JScript 関数を示しています。

Flash 埋め込みコードは「noscript」タグ内にあり、スクリプトが無効になっている場合にのみ読み込まれます (図 10)。

デコードされた VBScript コードは、 CVE-2018-8174 の脆弱性を悪用し、シェルコードを実行します (図 11)。

シェルコードは、XOR されたペイロードを %temp% の場所にダウンロードし、復号化して実行します (図 12)。

ペイロード分析 (4072690b935cdbfd5c457f26f028a49c)

このマルウェアには、最初の読み込みと最終的なペイロードの実行に使用される PE ローダー コードが含まれています (図 13)。

アンパックされた DLL 83439fb10d4f9e18ea7d1ebb4009bdf7 は、マルウェアのコア機能への関数ポインタの構造を初期化することから始めます (図 14)。

次に、実行中のすべてのプロセスを列挙し、crc32 チェックサムを作成して、ブラックリストに登録されたチェックサムのリストと照合しようとします。チェックサムとそれに対応するプロセス名のリストを表 1 に示します。

表 1: ブラックリストに登録されたチェックサム

いずれかのプロセスのチェックサムが一致すると、マルウェアは無限ループに入り、この時点から事実上良性になります (図 15)。

このチェックに合格すると、マルウェアが最初に「SeShutdownPrivilege」を取得し、独自のイメージ パス、OS バージョン、およびアーキテクチャ (x86/x64) をチェックする新しいスレッドが開始されます。 OS バージョン 6.3 (Windows 8.1/Windows Server 2012) の場合、次の手順が実行されます。

• 「SeTakeOwnershipPrivilege」を取得し、「C:WindowsSystem32ctfmon.exe」の所有権を取得
• WoW64 で実行している場合は、Wow64DisableWow64FsRedirection を介して WoW64 リダイレクトを無効にして、64 ビット バイナリを置き換えられるようにします。
• 「C:WindowsSystem32ctfmon.exe」をそれ自体のコピーに置き換えます
• 「ctfmon.exe」が起動しているか確認してください。そうでない場合は、レジストリ キー “RegistryMachineSOFTWAREMicrosoftWindowsCurrentVersionRun” を使用してスタートアップに自身を追加します。
• ExitWindowsEx を呼び出してシステムを再起動する

他の OS バージョンでは、次の手順が実行されます。

• 「SeTakeOwnershipPrivilege」を取得し、「C:WindowsSystem32rundll32.exe」の所有権を取得
• WoW64 で実行している場合は、Wow64DisableWow64FsRedirection を介して WoW64 リダイレクトを無効にして、64 ビット バイナリを置き換えられるようにします。
• 「C:WindowsSystem32rundll32.exe」をそれ自体のコピーに置き換えます
• レジストリ キー “RegistryMachineSOFTWAREMicrosoftWindowsCurrentVersionRun” を使用して、自身をスタートアップに追加します。
• ExitWindowsEx を呼び出してシステムを再起動する

いずれの場合も、マルウェアがシステム ファイルを正常に置換できなかった場合、表 2 に示す場所に自身をコピーし、ShellExecuteW を介して実行します。

表 2: 代替ダンプ パス

実行時に、マルウェアはそれが ctfmon.exe/rundll32 として実行されているか、表 2 の実行可能ファイルとして実行されているかをチェックします。このチェックに合格すると、ダウンローダー ブランチが実行を開始します (図 16)。

複数の実行を防ぐために、ミューテックス「Alphabeam ldr」が作成されます。ここでペイロード URL のデコードが行われます。エンコードされたデータは、mov 操作によって BLOB にコピーされます (図 17)。

32 バイトのマルチ XOR キーは、図 18 に示すアルゴリズムでセットアップされます。

最後に、実際のデコードは XMM レジスタを使用した PXOR を使用して行われます (図 19)。

これにより、ダウンローダ スイッチ ループが実行されます (図 20)。

表 3 は、HTTP 要求、予想される応答 (body = HTTP 応答本文)、および対応するアクションの内訳を示しています。

表 3: HTTP 要求、応答、およびアクション

リクエスト シーケンスにより、 GandCrab ランサムウェアがフェッチされ、マルウェアによって手動でメモリにロードされます。図 21 と図 22 は、GandCrab ( 8dbaf2fda5d19bab0d7c1866e0664035 ) のダウンロードと実行につながるサンプル リクエスト #1 とリクエスト #2 をそれぞれ示しています。

結論

近年、アンダーグラウンド オペレーションの逮捕と妨害により、エクスプロイト キットの活動は大幅に減少しています。それでも、エクスプロイト キットは、完全にパッチが適用されていないシステムを実行しているユーザーに重大な脅威をもたらします。現在、ユーザーがより脆弱なソフトウェアを使用する傾向にあるアジア太平洋地域では、エクスプロイト キットの活動が増加しています。一方、北米では、より単純なソーシャル エンジニアリング キャンペーンに焦点が当てられる傾向があります。

FireEye Network Securityは、この投稿で言及されているすべてのエクスプロイト、ソーシャル エンジニアリング キャンペーン、マルウェア、およびコマンド アンド コントロール通信を検出します。複数の FireEye 製品で使用されている MVX テクノロジーは、この投稿で説明されている第 1 段階および第 2 段階のマルウェアを検出します。

侵害の痕跡

謝辞

このブログ投稿に貢献してくれた Hassan Faizan に感謝します。