ウクライナを狙い続ける脅威者「UAC-0099」

主な要点

• 「UAC-0099」は、2022年半ばからウクライナを標的としている脅威グループ
• Deep Instinct 脅威ラボは、この脅威グループによる新たな攻撃を確認
• 攻撃者がCVE-2023-38831を活用していることを確認
• 攻撃者の標的は、ウクライナ国外の企業で働くウクライナ人の個人

はじめに

2023 年 5 月、ウクライナ CERT は、「UAC-0099 」と呼ばれる脅威グループに関するアドバイザリ #6710 を発表しました。この勧告では、脅威グループの活動とツールについて簡単に詳しく説明しています。

5月にCERT-UAが公表して以来、Deep Instinctは、ウクライナの標的に対して「UAC-0099」によって実行された新たな攻撃を特定しました。

このブログでは、ウクライナの標的をおびき寄せ、悪意のあるファイルを実行させるために偽造された裁判所の召喚状を使用するなど、一般的な戦術、技術、手順（TTP）を特徴とする脅威グループの最近の攻撃について、さらに詳しく説明します。

重要：これらの攻撃に関連するC2サーバーの一部は、公開時点ではまだアクティブです。

LNK 感染ファイル付きRAR SFX

8月上旬、「UAC-0099」はukr.net電子メールサービスを使ってリヴィウ市裁判所を装った電子メールを送信しました。

このメールは、ウクライナ国外の企業でリモート勤務しているウクライナ人従業員の企業メールボックスに送信されました。

添付されたファイルは、自己解凍型アーカイブ（SFX）としてファイルを圧縮できるWindowsベースのファイル・アーカイバおよび圧縮ユーティリティであるWinRARによって作成された実行ファイルです：

アーカイブの内容を解凍すると、二重の拡張子を持つ新しいファイル（この場合はdocx.lnk）が作成されます：

このファイルは通常の文書ファイルのように見えます。しかし、これはDOCXファイルを装ったLNKショートカットファイルです。よく見ると、このファイルにはDOCXアイコンの代わりに「WordPad」アプリケーション・アイコンが使用されています。特別に細工されたLNKファイルを開くと、悪意のあるコンテンツを含むPowerShellが実行されます：

悪意のあるPowerShellコードは、2つのbase64 blobをデコードし、出力をVBSファイルとDOCXファイルに書き込みます。その後、PowerShellコードはおとりとしてDOCXファイルを開くと同時に、3分ごとにVBSファイルを実行する新しいスケジュールタスクを作成します。

このVBSマルウェアは、CERT-UAによって「LonePage」と名付けられました。実行されると、隠しPowerShellプロセスが作成され、ハードコードされたC2 URLと通信してテキストファイルを取得します。残りのPowerShellコードは、C2からの応答が1バイト以上の場合にのみ実行されます。この場合、PowerShellスクリプトは、文字列「get-content」がテキストファイルに含まれているかどうかをチェックします。文字列が存在する場合、スクリプトはサーバーからのコードを実行し、バイト配列として保存します。文字列がない場合、スクリプトはサーバーからのテキストファイル内のコマンドと、"whoami: "のようなハードコードされた基本的な列挙コマンドを組み合わせて実行します。

C2のレスポンスに関係なく、txtファイル内のコマンドまたはハードコードされたコマンドの実行結果は、同じC2サーバーに送り返されます。ただし、HTTP POSTメソッドを介して別のポートに送信されます。

DOCXドキュメントは、悪意のあるファイルではなく、裁判所の召喚状を含む正規のDOCXファイルを開いているかのように被害者をだますためのおとりです：

11月初旬、このキャンペーンの別のインスタンスが、196.196.156[.]2という別のC2アドレスを使用して観測されました。

脅威アクターは「upgrade.txt」ファイルの内容をコントロールしているため、目的に応じて内容を変更することができます。そのため、内容は常に同じではなく、さまざまなものがあります。

以下のコードは、2023-11-08 14:50:30 UTCにC2サーバーからの応答として 観測されたものです。

このPowerShellコードはスクリーンショットを撮る役割を担っています。前述したように、LonePage VBSは結果をC2に送り返し、脅威アクターが感染したコンピュータ上で任意のPowerShellコードを実行し、応答を受信できるようにします。

2023年11月末、C2アドレス2.59.222[.]98を使用した別のキャンペーンインスタンスが観測されました。この場合、C2サーバーからのペイロード応答は pastebin:で「偵察」活動と説明されていたものと一致しています：

おとり文書はDOCXではなくPDFファイルです。また、通常の裁判所の召喚状文書の代わりに、PDFファイルには崩れた文書が表示されています：

HTA感染ベクター

前述のLNK攻撃ベクターとは対照的に、この攻撃はHTAを使用します。HTAの手法は似ていますが、顕著な違いがあります。PowerShellを起動するLNKファイルの代わりに、HTAファイルにはPowerShellを実行するVBScriptを含むHTMLコードが含まれています。スケジュールされたタスクの周期も異なっており、以前のケースでは3分ごとに実行されていたのが、4分ごとに実行されています。

CERT-UAは、HTAファイルがおとりとしてHTMLファイルをドロップすることを勧告で報告しましたが、Deep Instinctは、LNKチェーンで観察されたものと同様に、同様の裁判所召喚状を装ったDOCXのおとり文書を観察しました。

CVE-2023-38831の感染経路

以下に説明する両方の攻撃において、「UAC-0099」は、Group-IBによって特定され 、2023年4月にさかのぼる既知のWinRARの脆弱性を悪用しました。

この脆弱性は、WinRARがZIPファイルを処理する方法に起因しています。この脆弱性を悪用するには、ユーザーが特別に細工されたZIPアーカイブを操作する必要があります。

攻撃者は、ファイル拡張子の後にスペースが入ったファイル名のアーカイブを作成します。このアーカイブには、スペースを含む同じ名前のフォルダが含まれています（オペレーティングシステムは同じ名前のファイルを作成することを許可しないため、通常の状態では不可能です）。フォルダには、スペースを含む良性ファイルと同じ名前で、拡張子が".cmd "の追加ファイルが含まれています。

パッチの適用されていないバージョンのWinRARでこれらのファイルを含むZIPファイルを開き、良性ファイルをダブルクリックすると、代わりに拡張子”.cmd”のファイルが実行されます。

この脆弱性は、攻撃が非常にうまく偽装されているため、感染率が高くなる可能性があります。セキュリティに精通した被害者であっても、その欺瞞に引っかかってしまう可能性があります。良性のファイルを開くことを期待したユーザーは、うっかり悪意のあるコードを実行してしまいます。

この脆弱性のPOCコードはGitHubにあります。パッチが適用されたWinRAR（バージョン6.23）が2023年8月2日にリリースされました。

Deep Instinctは、2023年8月5日に「UAC-0099」によって作成された2つのZIPファイルを特定しました：

悪意のある”cmd”ファイルは2つのファイルで異なっており、それぞれ異なるC2 URIパスを含んでいます。

2つのファイルの変更日時の差はわずか2秒であり、このファイルが自動化された方法で作成された可能性が高いことを示しています。これは、UAC-0099がパッチの数日後に脆弱性の悪用を開始したという事実と相まって、攻撃者の洗練された技術レベルを示しています。

Google TAGは、ウクライナの標的を攻撃するためにこの脆弱性を使用しているロシアの脅威グループを複数 特定していますが、UAC-0099の活動は彼らのブログにはありません。

CVEの割り当てと脆弱性に関するGroup-IBのブログは、「UAC-0099」が攻撃手法を活用した後に公開されており、彼らがこの脆弱性を悪用する方法を知っていた可能性が高いことを示しています。

このキャンペーンで使用された囮ファイルは、再び「法廷への召喚」というテーマの文書でした。

結論と提言

「UAC-0099」の手口はシンプルでありながら効果的です。最初の感染経路は異なるものの、感染の核心は同じであり、PowerShellとVBSファイルを実行するスケジュールされたタスクの作成に依存しています。

これらのコンポーネントを監視し、機能を制限することで、「UAC-0099」攻撃のリスクを低減することができます。

WinRARの悪用は興味深い選択です。自動アップデートであっても、ソフトウェアをタイムリーにアップデートしない人もいます。WinRARは手動アップデートを必要とするため、たとえパッチが利用可能であっても、多くの人はまだ脆弱なバージョンのWinRARをインストールしている可能性が高いです。

最新バージョン のWinRARがインストールされていることを確認してください。

CVE-2023-38831のIOCとPOCコードは GitHubにあります。

IOCs

147.78.46[.]40

196.196.156[.]2

2.59.222[.]98