イランのハッカーが 34 の組織に新しいスポンサーマルウェアをバックドア

「Charming Kitten」（Phosphorus、TA453、APT35/42）として知られる国家規模の脅威アクターが、「Sponsor」という名前の未知のバックドアマルウェアを世界中の 34 社に対して展開しているのが観察されました。

スポンサーバックドアの注目すべき機能の 1 つは、悪意のない構成ファイルを被害者のディスク上に隠すため、悪意のあるバッチスクリプトによって慎重に展開され、検出を回避できることです。

ESETの研究者が特定したこのキャンペーンは2021年3月から2022年6月まで続き、金融サービス、エンジニアリング、製造、テクノロジー、法律、電気通信などに従事する政府機関や医療機関、企業が標的となっていた。

ESETが観察したこのキャンペーンで最も標的となっている国は、イスラエル、ブラジル、アラブ首長国連邦です。

Table of contents

Microsoft Exchangeの欠陥をターゲットにする

ESETの報告によると、Charming Kittenは主にMicrosoft Exchangeのリモートコード実行の脆弱性であるCVE-2021-26855を悪用して、ターゲットのネットワークへの初期アクセスを取得しました。

そこからハッカーは、データの引き出し、システムの監視、ネットワークへの侵入を容易にし、攻撃者が侵害されたコンピュータへのアクセスを維持するのにも役立つさまざまなオープンソースツールを使用しました。

これらの攻撃で見られる最後のペイロードであるスポンサーバックドアを展開する前に、ハッカーはホストマシン上の特定のファイルパスにバッチファイルをドロップし、必要な構成ファイルが書き込まれます。

これらのファイルには、通常のファイルに溶け込み、疑惑が生じないようにするために、config.txt、node.txt、および error.txt という名前が付けられます。

スポンサーは、構成ファイルの指示に従って起動時にサービスを作成する C++ バックドアです。構成ファイルには、暗号化されたコマンドアンドコントロール (C2) サーバーアドレス、C2 接続間隔、および RC4 復号化キーも含まれています。

このマルウェアは、OS ビルド (32 ビットまたは 64 ビット) の電源 (バッテリーまたはプラグ) などのシステム情報を収集し、ポート 80 経由で C2 に送信し、構成ファイルに書き込まれるノード ID を受信します。

次に、スポンサーバックドアはループに入り、設定ファイルで定義された時間間隔で C2 に接続し、ホスト上で実行するコマンドを取得します。

サポートされているコマンドのリストは次のとおりです。

ESETは、Sponsorの第2バージョンも確認しました。これは、コードの最適化と、アップデータツールのように見せる偽装レイヤーを備えています。

このキャンペーンで使用された IP アドレスはどれもオンラインではありませんが、ESET は、そのキャンペーンで展開されたツールやインフラストラクチャの一部を再利用する将来の潜在的な脅威から防御するために、完全な IOC を共有しました。