政府機関への攻撃に利用されたLinuxマルウェア「SprySOCKS」のWindows版

SprySOCKSというLinux向けマルウェアのWindows版が、少なくとも4カ国の政府機関を標的とした攻撃に使用されています。

SprySOCKSは、中国の脅威グループ「Earth Lusca」と関連付けられており、同グループは外交、技術、通信分野を専門とする政府機関に対する攻撃でこのマルウェアを投入していました。

今回、ESETの研究者は、2023年から2024年にかけて台湾、タイ、パキスタン、ホンジュラスの政府機関に対する攻撃で使用された、同じマルウェアファミリーのWindows版を発見しました。

ESETは、この活動を「Earth Lusca」という脅威アクターによるものと高い確信を持って特定しており、同グループは「FishMonger」（別名「Aquatic Panda」、「Red Dev 10」、およびTAG-22）として追跡されている。

以前に報告されたLinux版とは異なり、このWindows亜種にはカーネルレベルのステルス機能が追加されており、オペレーターはマルウェアの痕跡を隠蔽し、任意のTCPポートからリダイレクトされたトラフィックを介してバックドアと通信することが可能となっています。

2つの亜種は、ルートキットのような機能を実現するカーネルドライバを備えた「WIN_DRV」と、より基本的なバックドアである「WIN_PLUS」です。

両方の亜種は、以下の機能を備えている：

• TCP、UDP、およびWebSocketを介した通信
• 30以上のコマンド＆コントロール（C2）コマンドをサポート
• システム情報の収集
• プロセスおよびサービスの列挙と管理
• ファイルの一覧表示、作成、削除、アップロード、ダウンロード、コピー、名前の変更、および実行
• SOCKSプロキシ機能をサポート
• クライアントおよびサーバーの両方として動作可能
• キー入力、クリップボードの内容、およびアクティブなウィンドウのタイトルを記録

WIN_DRV 亜種には、「RawWNPF」という名前のドライバをメモリに直接読み込むという追加機能が含まれています。

このドライバは、「DriverLoader」（fsdiskbit.sys）という別のカーネルドライバからロードされ、GitHub PastDSE プロジェクトから流出した証明書を使用して署名されています。

このドライバにより、マルウェアは Windows API を操作してプロセスを隠蔽し、ネットワーク接続を隠蔽し、ディレクトリ一覧からファイルを隠蔽し、永続化のために使用する悪意のあるレジストリキーエントリを隠蔽することが可能になります。

永続化は、WIN_DRV の場合、vds.exe によるスケジュールされたタスクおよびイメージファイル実行オプション（IFEO）を通じて、WIN_PLUS の場合、ペイロードを Windows プリントプロセッサ（VSPMsg）として登録することで実現されます。

また、観測された別の機能として、着信TCPトラフィックを検査し、特別に細工されたパケットをSprySOCKSバックドアへリダイレクトする機能がある。これにより、リスニングポートを露呈させることなく通信が可能となる。

「WIN_DRV バージョン […] は TCP トラフィックの迂回を可能にし、マルウェアのオペレーターは、ネットワークトラフィック上でバックドアの実際のリスニングポートを露呈させることなく、被害者のデバイス上のランダムな TCP ポートを介してバックドアにコマンドを送信できるようになります」とESET は説明しています。

ESETのテレメトリデータからは、CVE-2023-24932（以前、BlackLotus UEFIマルウェアによってゼロデイ攻撃として利用されたセキュアブートの脆弱性）を悪用する可能性のあるUEFIブートキットコンポーネントの兆候も確認された。

しかし、BlackLotus との関連性を裏付けるさらなる詳細や確固たる証拠は提示されなかった。

ESETのレポートでは、詳細な技術的分析と侵害の兆候（IoC）が提供されており、組織がWindows版のSprySOCKSバックドアを用いた攻撃を特定し、防御するのに役立つ可能性があります。

これらの亜種自体は新しいものではありませんが、その発見は、Earth Luscaが攻撃対象とするシステムの幅を広げていることを示唆しています。