未読: 最新のイランのサイバー スパイ活動で発見されたテレグラム マルウェア

2021 年 11 月、 Mandiant Managed Defenseは、中東政府の顧客に対するUNC3313の侵入を検出し、対応しました。調査中に、Mandiant は、単純なバックドア機能を実装する新しい標的型マルウェア、 GRAMDOORおよびSTARWHALEを特定しました。また、UNC3313 が公開されているリモート アクセス ソフトウェアを使用して、環境へのアクセスを維持していることも確認しました。 UNC3313 は当初、標的型フィッシング メールを介してこの組織へのアクセスを取得し、変更されたオープンソースの攻撃的なセキュリティ ツールを利用して、アクセス可能なシステムを特定し、横方向に移動しました。 UNC3313 は、最初の侵害から 1 時間以内に ScreenConnect を使用してシステムに侵入し、リモート アクセスを確立するために迅速に動きました。 Mandiant Managed Defense とお客様のセキュリティ チームの迅速な調整により、インシデントは迅速に封じ込められ、修復されました。

Mandiant は、UNC3313 が監視を実施し、イランの利益と意思決定を支援するための戦略的情報を収集していることを、ある程度の自信を持って評価しています。ターゲティング パターンと関連するルアーは、地政学的なつながりを持つターゲットに重点を置いていることを示しています。

このブログ投稿では、UNC3313 によって実行された侵入の詳細と、調査中に特定されたマルウェアおよび公開されているツールについて説明します。

帰属

Mandiant は、ラベル「UNC」グループ (または「未分類」グループ) を使用して、攻撃者のインフラストラクチャ、ツール、トレード クラフトなどの観察可能なアーティファクトを含む侵入活動のクラスターを指します。 APT、または FIN ( Mandiant が未分類の攻撃者を追跡する方法の詳細をご覧ください)。 Mandiant は、現時点で入手可能な情報に基づいて、UNC3313 がTEMP.Zagros (オープン ソースでは MuddyWater として報告されている) に関連付けられていると中程度の確信を持って評価しています。 TEMP.Zagros は、スピア フィッシング操作でPOWERSTATS 、 POWGOOP 、 MORIAGENTなどのマルウェアを使用して、何年にもわたってツールキットを一貫して更新してきました。このグループが最初の侵害に ScreenConnect を使用したことは、 オープン ソースで十分に文書化されています。

特に、2022 年 1 月 12 日、米国政府は TEMP.Zagros をイラン情報安全保障省 (MOIS) の下位組織であると見なしていると公言し、少なくとも 2020 年以降、同グループが使用しているマルウェア ファミリ (POWGOOP および MORIAGENT) のサンプルを公開しました。 2020年。

ターゲティング

2021 年後半、Mandiant は、GRAMDOOR と STARWHALE を使用して中東の政府機関とテクノロジー企業を標的とする UNC3313 キャンペーンを特定しました。 TEMP.Zagros はこれまで、政府、防衛、電気通信、エネルギー、金融など、中東、中央および南アジア全体のこれらの地域とセクターを標的にしてきました。ターゲット パターンと関連するルアーは、地政学的なつながりを持つターゲットと中東の電気通信セクターに重点を置いていることを示しています。

観測されたマルウェア

Mandiant は、UNC3313 が次のマルウェア ファミリを展開していることを確認しました。

展望と影響

コマンド アンド コントロールに Telegram API を使用すると、悪意のあるトラフィックが正当なユーザーの行動に紛れる可能性があります。 Mandiant は、正規のリモート アクセス ソフトウェア、LIGOLO や CrackMapExec などの一般に公開されているツール、および多層エンコーディング ルーチンの使用と組み合わせて、これが TEMP.Zagros の検出およびセキュリティ機能を回避しようとする試みを反映していると考えています。一方、米国政府が最近、「MuddyWater」をイラン情報安全保障省に帰属させたことが、このグループの活動にどのように影響するかは不明です。グループが、追加の作戦を実施する前に、戦術、技術、および手順を再調整し、変更する可能性があります。

UNC3313 攻撃のライフサイクル

足場を固める

UNC3313 は当初、複数のシステムを侵害するスピア フィッシング攻撃を通じて顧客の環境へのアクセスを取得しました。フィッシング メールは、就職活動のルアーを使って作成され、複数の被害者をだまして URL をクリックさせ、クラウド ストレージ サービスの OneHub でホストされている RAR アーカイブ ファイルをダウンロードさせました。このパターンは、 AnomaliとTrend Microによるオープンソース レポートの観察結果と一致しています。

RAR アーカイブには、足場を確立するために ScreenConnect リモート アクセス ソフトウェアをインストールする Windows インストーラー .msi ファイルが含まれていました。図 1は、Windows アプリケーション ログに記録された、performance.msi の実行に関する Windows インストーラー トランザクション イベントを示しています。

前述のとおり、UNC3313 は迅速に動き、ScreenConnect を介してリモート アクセスを確立し、最初の侵害から 1 時間以内にシステムに侵入しました。 ScreenConnect は、単一の CLI コマンドをクライアントに発行する機能、またはBackstage Modeを使用して完全なターミナルを開く機能を提供します。 Mandiant は、親プロセス ScreenConnect.ClientService.exe による cmd.exe および powershell.exe を使用したコマンド実行を観察しました。

ScreenConnect.ClientService.exe プロセスがアクティブに実行されている場合、instance-<6 文字の英数字 ID>-relay.screenconnect.com で ScreenConnect リレー サービスの DNS ルックアップを実行しました。 Mandiant は、ScreenConnect.WindowsClient.exe プロセスが最初に感染したホストに追加の攻撃ツールを書き込むことを観察しました。これは、ファイルがアクティブな ScreenConnect セッションを通じてコピーされたことを示しています。

権限の昇格

Mandiant は、UNC3313 が正規の Windows ユーティリティを使用して、一般的な認証情報ダンプ技術を使用していることを確認しました。 UNC3313 は、オープンソースのWMIEXEC.PY攻撃フレームワークを利用して reg コマンドを実行し、ローカルの SAM、SYSTEM、および SECURITY Windows レジストリ ハイブのコピーをエクスポートします。 WMIEXEC.PY は、WMI (Windows Management Instrumentation) を介して、リモート システム (ターゲット システムで管理者権限と DCOM ポートにアクセスできる) での簡単なコマンド呼び出しを可能にします。

UNC3313 は、Task Manager アプリケーションを使用して、lsass.exe のプロセス メモリをダンプしました (図 5に示すように、プロセス Taskmgr.exe がファイル lsass.dmp を書き込んだとき)。

内部偵察と横移動

Mandiant は、UNC3313 が公開されている攻撃的なセキュリティ ツールを利用して、リモート コマンドの実行、内部偵察、ネットワーク トンネリング、横方向の移動を実行していることを確認しました。 UNC3313 は、Pyinstaller でコンパイルされたオープンソースの侵入テスト ツール CrackMapExec v3.0 (CRACKMAPEXEC) のわずかに変更されたバージョンを使用して、システムの列挙とユーザー アカウントの偵察を実行し、ターゲット システムでリモート コマンドを実行しました。攻撃者が使用した aa.exe という名前の CRACKMAPEXEC の修正版には、ツールの説明が削除され、ユーティリティ setup_database.py からのデータベース セットアップ コードが含まれており、余分なインストール手順が回避されていました (図 6)。

UNC3313 は、図 7と図 8に示すコマンドを使用して、CRACKMAPEXEC で初期偵察とアカウント アクセス テストを実行しました。 CRACKMAPEXEC によって収集された資格情報とホスト情報は、ローカル データベース ファイル cme.db に格納されていました。

UNC3313 は、CRACKMAPEXEC を使用して Windows ユーティリティ certutil を実行し、難読化された PowerShell コマンドを実行して、リモート システムに追加のツールとペイロードをダウンロードしました。

難読化された PowerShell ダウンローダは、base64 エンコーディングと単純な XOR 暗号化を使用して、図 10に示す一般的なコマンド構文にデコードしました。

UNC3313 は、マルチプラットフォームのLIGOLO トンネラーユーティリティを使用して、お客様の環境へのトンネル アクセスを確立しました。 LIGOLO は、GO で記述されたオープンソースの暗号化されたリバース SOCKS5 または TCP トンネラーです。 LIGOLO ユーティリティは、コマンドライン引数「-s3」を使用して実行され、文書化された引数「-relayserver」の代わりにリレー サーバーを指定しました。これは、GitHub リポジトリからダウンロードした元のコードの変更を示しています。

Mandiant は、LIGOLO を使用してトンネリングされた RDP 接続を介して UNC3313 によってアクセスされたシステムの Windows ログオン イベントで、ホスト名 DESKTOP-5EN5P2I を観察しました。

永続性を維持する

Mandiant は、UNC3313 によって使用された STARWHALE という名前の新しいマルウェア ファミリを特定しました。 STARWHALE は、コマンド アンド コントロール (C2) サーバーから HTTP 経由でコマンドを受信し、それらのコマンドを Windows cmd.exe 経由で実行する Windows スクリプト ファイル バックドアです。感染したシステムでは、図 14 に示すように、STARWHALE がコマンドライン引数を使用して実行されていることが観察されました。

コマンド ライン引数 “humpback__whale ” は、VBScript 関数 GetRef を使用して実行時に関数を動的に解決するためにコードで使用されます。 STARWHALE には永続化メカニズムが含まれていないため、図 16 に示すようにサービスが作成されます。

STARWHALE は、マルウェアにハードコードされている C2 サーバーと通信します。マルウェアは、最初の実行時に、ローカル IP アドレス、コンピューター名、ユーザー名などの基本的なユーザーおよびシステム情報を収集します。次に、図 17 に示すように、情報を C2 IP アドレスに送信する前に、カスタム エンコード スキームを使用してこの情報をエンコードします。

図 17 に示すように、POST 要求パラメーター「vl=」を介して渡された 16 進数値は、次のシステム列挙情報にデコードされ、パイプで結合され、区切り記号で区切られます。

<IPアドレス>|デリミタ|<ホスト名><ユーザー名

観察されたサンプルの区切り文字は「|!)!)!|」でした。次に、C2 サーバーが同じスキームを使用してエンコードされた文字列値を返すことを期待します。この文字列値は、その後のすべての POST 要求に含まれます。 STARWHALE の最初のリクエストが成功すると、HTTP POST リクエストを介してループ内でセッション キーを hxxp://5.199.133[.]149/oeajgyxyxclqmfqayv にある C2 サーバーに送信し始めます。図 18 に示すように、C2 サーバーは、cmd.exe を介して実行されることを意図したコマンドで応答します。

コマンドの出力は、「stari.txt」というファイルに書き込まれます。次に、カスタム スキームを使用して出力をエンコードし、次の POST リクエストで C2 サーバーに送り返します。構造は、図 19 に示されているものと似ています。

コマンドが失敗すると、エンコードされた文字列「SoRRy」が C2 に送信されます。特に、STARWHALE の初期のイテレーションで、Mandiant は文字列「sory」を使用してそれを観察しました [sic]。セキュリティ研究者が公開フォーラムで文字列をハイライトした後、攻撃者はスペルミスを修正しました。 Mandiant は、イランの攻撃者による他のキャンペーンで同様のスペルミスを確認しました。

侵入中、Mandiant は攻撃者が、STARWHALE と多くの点で類似した設計をしているが Golang で記述されたマルウェアを展開していることも確認しました。 Mandiant は、このコード ファミリーを STARWHALE.GO と呼んでいます。これは、図 20 に示すように、certuil.exe ユーティリティを使用してシステムにダウンロードされます。

STARWHALE.GO は、Nullsoft Scriptable Install System (NSIS) インストーラーの一部として届きます。このインストーラーは、OutlookM というディレクトリにインストールし、Windows レジストリに Run キーを作成してシステム上で永続化します。実行時に、Golang バイナリをドロップして実行します。

NSIS 実行可能ファイルを実行すると、次のレジストリ キーが作成されます。

また、STARWHALE.GO はカスタム データ エンコーディング アルゴリズムを使用して、ネットワーク通信とバイナリ内の重要な文字列を保護します。 STARWHALE と同じ情報を送信しますが、送受信されるデータは JSON オブジェクトです。サンプルの HTTP POST 要求を図 23 に示します。

STARWHALE.GO は別の区切り文字「|&&%&&|」を使用します。 STARWHALE よりも異なりますが、ハードコードされた C2 IP アドレスに送信される残りの列挙された情報は同じです。同様に、マルウェアは C2 サーバーへの POST リクエストからの応答を読み取り、送信したデータのエンコードに使用したものと同じカスタム文字列変換ルーチンを使用してデコードを試みます。このルーチンは、後で説明するように、STARWHALE で使用されるルーチンよりも単純です。デコードされた結果は、プロセス「cmd.exe /c」を使用してコマンド ラインとして起動されるか、文字列が .com、.exe、.bat、または .cmd で終わる場合はプロセスとして直接起動されます。起動されたプロセスの出力、または文字列のデコードに失敗した場合のエラー メッセージは、hxxp://87.236.212[.]184/cepopggawztuxkxujfjbnpv にある C2 サーバーへの HTTP POST リクエストを介して C2 サーバーに送信されます。

Mandiant は調査中に、Python 3.9 でコンパイルされ、PyInstaller を介してパッケージ化された、Windows 8 以降でのみ実行される 3 つ目の UNC3313 バックドアを特定しました。 Mandiant は、通信に Telegram Bot API を使用できることから、このバックドアを GRAMDOOR と名付けました。攻撃者が作成した Telegram チャット ルームからメッセージを送受信します。図 24 に示すように、GRAMDOOR は NSIS インストーラーとしてパッケージ化されたシステムに到着します。

GRAMDOOR 用の NSIS インストーラーは、OutlookMicrosift という名前のサブディレクトリ内の APPDATA ディレクトリに、PyInstaller パッケージ化されたバイナリをドロップします。これは、図 25 に示すように、インストール ディレクトリから Exec コマンドを使用して実行されます。

GRAMDOOR は、1 つのコマンドライン パラメータ (この場合は「Platypus」) で起動されることを想定しています。このコマンドライン パラメータを使用して関数名をつなぎ合わせます。関数名が呼び出され、マルウェアへのエントリ ポイントとして機能します。 GRAMDOOR が実装するコマンドは、start と com の 2 つだけです。これらのコマンドは、コマンドがパイプされる cmd.exe プロセスを起動するために使用されます。すべてのネットワーク通信は、api.telegram[.]org の Telegram サーバーを介して行われます。これにより、攻撃者は通信を通常の Telegram トラフィックに偽装することができます。この手法は目新しいものではなく、イランの攻撃者が公開されているソフトウェアを悪用して C2 トラフィックを混入させたのはこれが初めてではありません。

マルウェアから Telegram サーバーへのすべての HTTP リクエストには、トークン文字列 2003026094:AAGoitvpcx3SFZ2_6YzIs4La_kyDF1PbXrY が含まれていました。トークン文字列は、ボットに対する認証に使用されます。図 26 にサンプル リクエストを示します。

マルウェアは sendMessage API 関数を使用して、チャット ID 番号に情報を送信します。アクターは、コマンドを発行し、実行されたコマンドの出力をチャットに送り返すことで、チャットを介してホストと対話します。たとえば、感染したホストからネットワーク構成情報を取得するために、攻撃者はコマンド「com<id> c607666261766066f9f23ec696」を発行します。ここで、値「c607666261766066f9f23ec696」は「ipconfig /all」コマンドに変換されます。

STARWHALE と GRAMDOOR は、C2 との間で送受信されるデータとコマンドに使用されるカスタム エンコーディング スキームのロジックが類似しています。次のコード スニペットは、STARWHALE のトラフィックのエンコードとデコード、および Telegram チャット メッセージ間でやり取りされる GRAMDOOR のコマンドを示しています。

また、GRAMDOOR は、独自の XOR ベースの暗号化スキームを使用して、機密性の高い文字列をコード内に隠しています。次のサンプル コードは、前述のスキームのロジックを示しています。

Mandiant はまた、UNC3313 がレジストリ キーに PowerShell ダウンローダ コマンドを格納していることを確認しました。これらのコマンドは、ユーザーのログオン時にトリガーされる「Oracle スケジュール アシスタントの自動更新」という名前のスケジュールされたタスクによって参照されました。

最後に、Mandiant は UNC3313 がベンダーの Web サイトから eHorus リモート アクセス ツールの Windows インストーラー ファイルをダウンロードして実行することを確認しました。 UNC3313 は、ファイル ehorus_installer_windows-1.1.3-x64_en-US.msi を実行し、EHORUSAGENT という名前のサービスを作成しました。 eHorus エージェント プロセス ehorus_agent.exe は、ehorus[.]com でホストされているドメインと通信します。

eHorus は、スペインを拠点とするPandora FMSによって商業的に宣伝されている正規のリモート アクセス ツールです。 eHorus は最近、 シマンテックが、中東およびアジアの電気通信組織に対する同様のキャンペーンで、イランの脅威アクターによって悪用されていると報告されています。

Mandiant の標的型攻撃のライフサイクル

Mandiant の標的型攻撃のライフサイクルについて詳しくは、こちらをご覧ください。

MITRE ATT&CK テクニック

Mandiant のセキュリティ検証アクション

組織は、Mandiant Security Validation で次のアクションを使用して、セキュリティ コントロールを検証できます。

子供のルール

侵害の痕跡

謝辞

このブログ投稿で説明したマルウェアのリバース エンジニアリングを支援してくれた Mike Hunoff、Nick Harbour、Muhammad Umair に、またマルウェア ファミリの検出を作成してくれた Adrien Bataille と Ervin James Ocampo に特に感謝します。さらに、Dan Andreiana、Alexander Pennino、Nick Richards、Jake Nicastro、Sarah Jones、Geoff Ackerman の技術レビューと貴重なフィードバックの提供に感謝します。