FishMongerの兵器庫が進化：Windows版SprySOCKSの登場

ESETの研究者は、SprySOCKSのWindowsバリアント2種を新たに発見しました。このバックドアはこれまでLinux専用とされており、I‑SOONという中国系請負業者が運営していると報告されているFishMongerが使用していたものです。マルウェアサンプルはまずVirusTotalで発見されましたが、ESETのテレメトリによると2023年から2024年にかけて実際の攻撃活動が確認されており、ホンジュラス、台湾、タイ、パキスタンに複数の被害者が存在し、標的の多くは政府機関でした。

今回発見されたWindowsバリアントは、内部的にWIN_DRVおよびWIN_PLUSと命名されています。どちらもハードコードされたC&C設定を持ち、TCP、UDP、WebSocketプロトコルによる通信をサポートしています。両バリアントのコアとなるバックドア機能として、30種類以上のC&Cコマンドに対応しており、システム情報の収集、プロセスの列挙、サービス管理、そしてファイルの一覧表示・作成・削除・転送といったファイル管理機能が含まれています。

コアとなるバックドア機能に加え、WIN_DRVバージョンはカーネルドライバを利用してマルウェアのネットワーク接続、プロセス、ファイル、レジストリキーを隠蔽します。さらにTCPトラフィックの転送機能により、マルウェアのオペレーターはバックドアの実際のリスニングポートをネットワークトラフィック上に露出させることなく、被害者デバイスのランダムなTCPポートを通じてバックドアにコマンドを送信することができます。

ESETのテレメトリに基づくと、一部のSprySOCKS攻撃シナリオにはUEFIブートキットのコンポーネントが関与している可能性があり、CVE‑2023‑24932を悪用していると考えられます。

本レポートの分析結果から、これらの新しいWindowsバリアントをFishMongerによるものと高い確度で帰属させることができます。

本ブログ記事のポイント：

• FishMongerのSprySOCKSバックドアの未公開Windowsバリアント2種を発見。
• ESETテレメトリにより2023年から2024年にかけての活動を確認。主にホンジュラス、台湾、タイ、パキスタンの政府機関を標的としていることが判明。
• 両Windowsバリアントともに、TCP、UDP、WebSocketプロトコルによる通信をサポートし、30種類以上のコマンドを実装。
• WIN_DRVバリアントはステルス性の高いパッシブTCPバックドアを生成し、受信したTCPパケット内に特別に細工されたデータが検出されるたびに、カーネルドライバを用いてバックドアの隠蔽されたTCPポートへトラフィックをリダイレクトします。

FishMongerのプロフィール

FishMongerは、中国の請負業者I‑SOONによって運営されていると考えられているサイバースパイグループで（ESETのQ4 2023–Q1 2024 APT活動レポート参照）、Winntiグループの傘下に属し、中国・成都を拠点として活動していると見られています。Earth Lusca、TAG-22、Aquatic Panda、Red Dev 10といった名前でも知られています。ESETは2020年初頭にFishMongerの分析を公開しており、当時このグループは2019年6月に始まった市民抗議運動の最中、香港の大学を集中的に標的にしていました。また、Trend Microが報告しているように、水飲み場型攻撃も行うことで知られています。FishMongerのツールセットには、ShadowPad、Spyder、Cobalt Strike、FunnySwitch、SprySOCKS、およびBIOPASS RATが含まれています。

技術的分析

このセクションでは、FishMongerのSprySOCKSバックドアの新しいWindowsバリアントについて、技術的な分析を提供します。

今回の発見のきっかけとなったアーカイブは、2024年4月にklelam00007.zipという名前でVirusTotalにアップロードされたものです。その内容は図1に示すとおりです。

このアーカイブには、DLLサイドローディングのホストに使用される正規ファイルを含む各種ファイルのほか、.dat拡張子を持つ3つの不審な暗号化ファイルが含まれています。その後の解析により、これらの暗号化ファイルには開発者がWIN_DRVと命名した、FishMongerのSprySOCKSバックドアの未公開Windowsバリアントが含まれていることが明らかになりました。さらに調査を進めると、ESETテレメトリの中にWIN_PLUSと命名された別のバックドアバージョンが存在することも判明しました。

初期アクセス

FishMongerは、初期アクセスを得るために被害者の公開サーバを標的とし、サーバベースのNデイ脆弱性を悪用することで知られています。今回のキャンペーンでFishMongerが被害者のシステムに侵入した正確な経路を確認することはできませんでしたが、一部の被害者デバイスでサーバOSが稼働していたことと、FishMongerの典型的な手口を考え合わせると、攻撃者は設定ミスや未パッチの公開向けアプリケーションを経由して侵入した可能性が高いと考えられます。

Windows版SprySOCKS

2023年9月、Trend Microはアナリストが「SprySOCKS」と命名した新しいFishMongerのLinuxバックドアに関するレポートを公開しました。このバックドアのコードはTrochilusというオープンソースのWindowsリモートアクセストロイ（RAT）をベースにしており、RedLeavesバックドアとも複数の共通点を持っています。ただし、それらから十分に拡張・改変されているため、新しいバックドアとして分類されます。本レポートでは、SprySOCKS v1.8の未公開Windowsバリアント2種を分析します。

• 開発者がWIN_DRVと命名したバリアント。高度なステルス機能のためにカーネルドライバを使用します。
• ドライバを使用しないWIN_PLUSと命名されたバリアント。

図2に示すとおり、バックドアのバージョンタイプと番号はバイナリ内にハードコードされています。

Trend Microのレポートで紹介されたLinux版SprySOCKSバックドアに存在するアーティファクトや機能の大部分は、今回新たに発見されたWindowsバリアントにも同様に確認されています。具体的には以下のとおりです。

• 同一のC&Cメッセージ形式、
• 非常に類似したC&Cコマンド（一部追加コマンドあり）、
• 同一の暗号化キーとアルゴリズム、
• 同一の静的リンクネットワークライブラリ（HP-Socket）の使用。

今回の新しいSprySOCKS両バリアントにおいて、C&C通信と利用可能なコマンドに関するコアのバックドア機能は非常に類似しています。最も顕著な違いは、最終的なバックドアのロード方法、改善されたステルス性、そして使用されるコンポーネント名とパスにあります。

以下のサブセクションでは、まず各SprySOCKSバリアントの実行チェーンに関わるコンポーネントを分析し、次にほぼ同一の内容を持つバックドアコンポーネントについて説明します。

WIN_DRVコンポーネント

VirusTotalにアップロードされたアーカイブの中に、SprySOCKSのWIN_DRVバージョンを発見しました。このバージョンには空のC&C設定が含まれています。そのため、このバージョンはリモートアドレスに対してアクティブに接続を試みることはありません。ただし、被害者デバイスのランダムなポートでTCPサーバを起動する機能は維持しており、パッシブバックドアとして機能します。興味深いことに、攻撃者はこのサーバのTCPポート番号を把握している必要はありません。後述するように、WIN_DRVバージョンが使用するRawWNPFドライバは、受信したTCPパケット内に特別に細工されたデータが検出されるたびに、開いているいずれかのTCPポートのトラフィックをバックドア自体へサイレントに転送する機能を持っているからです（詳細はRawWNPFドライバセクションをご参照ください）。

図1に示すとおり、WIN_DRVバージョンのSprySOCKSを含むアーカイブには以下のファイルが含まれています。

• klelam00007.bat – バックドアの永続化を担当するバッチスクリプト。図3に示すとおり、以下の処理を行います。

○ 現在の作業ディレクトリから%SystemRoot%\Fontsディレクトリにすべてのファイルをコピーします（バッチファイルが正常に機能するには、アーカイブ内の他のファイルと同じディレクトリに配置されている必要があります）。

○ ApphostRagistreationVerifierという名前のスケジュールタスクを作成します。これはNT AUTHORITY\SYSTEM権限で、システム起動のたびにApphostRagistreationVerifier.exe（Microsoftが署名した正規のAppHostRegistrationVerifier.exeに見せかけるために攻撃者がリネームした、正規かつ有効な署名付き実行ファイル）を実行するよう構成されています。攻撃者はWindowsのDLL読み込み仕様を悪用した周知のDLLサイドローディング手法を使用し、正規の署名付きアプリケーションを利用して独自の悪意あるDLL（この場合はtpsvcloc.dll）をロードさせています。具体的には、MFCサテライトDLLを利用したマルウェアサイドローディング手法を使用しています（tpsvcloc.dllファイル名のlocという文字列に注目してください）。

• ApphostRagistreationVerifier.exe – ThinPrintのAutoConnectプリンター作成サービスの正規署名付き実行ファイル（SHA‑1: FFC3AA7909D4E72C360D65A1F45260DFFE5C99B7）で、tpsvc.dllライブラリをロードします。
• tpsvc.dll – tpsvcloc.dllライブラリをロードする正規署名付きライブラリ。
• tpsvcloc.dll – SprySOCKSバックドアローダー。
• X1B5206BDC1743DD.dat – SprySOCKSバックドア本体と次の2ファイルのコピーを含む暗号化コンテナ。
• KX1B5206BDC1743DD.dat – DriverLoader。KW1B5206BDC1743FP.datから別のカーネルドライバをロードする役割を持つ暗号化カーネルドライバ。
• KW1B5206BDC1743FP.dat – RawWNPF。バックドアのファイルとネットワーク活動を隠蔽する役割を持つ暗号化カーネルドライバ。

図4は、SprySOCKS WIN_DRVバリアントの実行チェーンを示しています。

以下の3つのサブセクションでは、SprySOCKSローダー、DriverLoaderドライバ、RawWNPFドライバという前述のコンポーネントについて技術的な分析を提供します。

SprySOCKSローダー

ローダーはまず仮想環境と一部のセキュリティ製品の存在確認チェックを行います。具体的には、ローダーのプロセス内で特定のライブラリ（snxhk.dll、SxWrapper.dll、SxIn.dll、SXIn64.dll、SbieDll.dll）を探索し、いずれか一つでも見つかった場合は終了します。

次のステップとして、図3のklelam00007.batスクリプトによって永続化が正常に設定されているかどうかを確認します。具体的には、現在のローダーイメージが%SystemRoot%\Fonts\ディレクトリからロードされているかどうかを確認し、%SystemRoot%\Fonts\X1B5206BDC1743DD.dat、%SystemRoot%\Fonts\‌tpsvc.dll、%SystemRoot%\Fonts\tpsvcloc.dllの各ファイルへのアクセスを試みます。これらのファイルが所定の場所に存在しない場合、ローダーは次の処理を行って独自に永続化を設定します。

• 現在の作業ディレクトリから%SystemRoot%\Fonts\ディレクトリへX1B5206BDC1743DD.dat、tpsvc.dll、tpsvcloc.dll、ApphostRagistreationVerifier.exeをコピー。
• システム起動時に自動実行される可能性があるVirtual Disk Service（vds.exe）のデバッガとして%SystemRoot%\Fonts\ApphostRagistreationVerifier.exeを登録するため、レジストリ値HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\vds.exe\debuggerにアプリケーションのパスを書き込む。
• affair-build.batファイルを%SystemRoot%\Fonts\ディレクトリにドロップし、cmd.exe経由で実行する。図5に示すこのスクリプトは、展開ディレクトリからファイルを削除して痕跡を消去し、vdsサービスを再起動して（%SystemRoot%\Fonts\から）マルウェアを再実行します。

永続化が設定されると、ローダーは%SystemRoot%\Fonts\X1B5206BDC1743DD.datに配置された暗号化コンテナからペイロードのロードを続行します。復号アルゴリズムとキーは、ハードコードされたキーuXQLESMXGaRMs6BLを使用したECBモードの128ビットAESです。

これにより、DllToShellCodeオープンソースツールで生成されたシェルコードが得られます。シェルコードを実行する前に、コンテナ内の残りの暗号化ペイロードを個別のファイルとして展開します。

• %SystemRoot%\Fonts\KX1B5206BDC1743DD.dat
• %SystemRoot%\Fonts\KW1B5206BDC1743FP.dat

これらの処理が完了すると、ローダーはspoolsv.exeから取得したトークンを使ってCreateProcessAsUserWで新しいsvchost.exeプロセスを生成し、プロセスドッペルゲンガー手法を利用してバックドアのシェルコードをそのプロセスにインジェクトします。インジェクション処理中、シェルコードはファイル名プレフィックスがTHの一時ファイルとして%TEMP%ディレクトリにドロップされます。

最後のステップとして、ローダーは先にドロップされたKX1B5206BDC1743DD.datファイル内に隠されているDriverLoader（カーネルドライバ）の復号と実行を行います。DriverLoaderはまず復号され、その内容がC:\Windows\System32\drivers\fsdiskbit.sysに保存されます。実行するために、ローダーはこのドライバをミニフィルタードライバとして手動でインストールします。具体的には、ドロップされたドライバを指すImagePath値を持つmsidiskserverという名前のサービスレジストリキーを新規作成し（図6参照）、このレジストリキーをパラメータとしてNtLoadDriver Windows API関数を呼び出してドライバをロードします。エラーが検出されなければ、msidiskserverレジストリキーとfsdiskbit.sysファイルの両方を削除します。これをもってローダーの処理は完了し、終了します。

DriverLoaderドライバ

DriverLoaderの機能について説明する前に、重要な注意点があります。Windows Vistaのリリースとともに、Microsoftはドライバ署名の強制（DSE）という機能を導入しました。これにより、有効な署名を持つカーネルモードコンポーネントのみがWindowsカーネル上で実行できるようになっています。つまり、fsdiskbit.sysドライバ（DriverLoader）を実行するためには、攻撃者が信頼された証明書で署名する必要があります。

少なくとも一部の古い、あるいは設定に不備のあるシステムでドライバを動作させるために、攻撃者はGitHubのPastDSEプロジェクトリポジトリで公開されている流出証明書を使用し、fsdiskbit.sysドライバに署名しました。使用された証明書に関する情報は図7に示されています。

それではコンポーネントの機能について説明します。このコンポーネントの目的は非常に明快で、別のドライバをメモリ上にのみロードすることです。まず、ローダーが先に作成したC:\Windows\Fonts\KW1B5206BDC1743FP.datファイルの内容を読み取り、復号します。使用するアルゴリズムとキーはローダーと同じで、キーuXQLESMXGaRMs6BLを使用したECBモードの128ビットAESです。復号されたデータにはネイティブPEバイナリ（RawWNPFドライバセクションで説明）が含まれており、手動でマッピングされてそのエントリーポイントが実行されます。

DriverLoaderバイナリにはPDBパスが埋め込まれています。

C:\Users\xdd\Desktop\今天\2023-4-11\2023‑04‑10__注册表驱动加载功能__集成到内测3中-未完成\DriverMemoryLoadDriver\x64\Release\DriverMemoryLoadDriver.pdb

簡体字中国語部分を機械翻訳すると以下のようになります。

• 今天: Today（今日）
• 注册表驱动加载功能__集成到内测3中-未完成: Registry driver loading function__is integrated into internal beta 3-not completed（レジストリドライバロード機能__内部ベータ3に統合中-未完成）

シンボルパスから、このコンポーネントは少なくとも2023年4月から開発されていたと考えられ、DriverLoaderのコンパイルタイムスタンプとも一致しています。同様に、パス内の文字列から、このドライバが属するプロジェクトはコンパイル時点でまだ開発途上であった可能性が高いことがうかがえます。

RawWNPFドライバ

RawWNPFドライバは、SprySOCKSバックドアのWIN_DRVバージョンをWIN_PLUSバリアントと比較して格段にステルス性の高いものにしているコンポーネントです。侵害されたシステム上でバックドアの悪意ある活動を隠蔽できるほか、ドライバのカスタムI/O制御コード（IOCTL）を呼び出すことで設定を変更することができます。このドライバは\Device\RawWNPFというデバイスドライバを作成します。利用可能なIOCTLの一覧と各説明を表1に示します。

表1. RawWNPFドライバが処理するIOCTLの一覧

指定プロセスの隠蔽

RawWNPFドライバはプロセスIDに基づいてプロセスを隠蔽するよう設定でき、隠蔽プロセスのリストはIOCTL 0x220358、0x22035C、0x220354、0x220350を呼び出すことで管理できます。プロセスを隠蔽するために、ドライバはNtQuerySystemInformationシステムコールの実行をフックし、実行中のプロセス情報を取得する際（すなわちSystemProcessInformationがSystemInformationClassパラメータに渡された場合）にその出力を改ざんします。このAPI関数で取得されたプロセスのいずれかがドライバの隠蔽プロセスリストと一致する場合、ドライバは該当プロセスを関数の出力から削除します。カーネルドライバがNtQuerySystemInformationシステムコールをフックする方法は、InfinityHookProプロジェクトのソースコードに強く基づいているようです。

ネットワーク活動の隠蔽

このドライバは、特定のアクティブな接続（指定したIP、ポート、またはその組み合わせ）を隠蔽するよう設定でき、netstat.exeなどの一般的なネットワーク管理ツールの出力に表示されなくなります。これは周知の手法（例：[1]、[2]、[3]など）によって実現されており、攻撃者はnsiproxy.sys WindowsカーネルドライバのDeviceIoControl関数内のIOCTL 0x12001Bに対してIoCompletionRoutineをフックします。nsiproxyの0x12001B IOCTLハンドラ内のコードはアクティブな接続リストの取得を担当しており、そのIoCompletionRoutineをフックすることで、攻撃者は取得したリストを走査し、特定のポート、アドレス、またはその両方の存在を確認し、一致が見つかった場合はリスト内の該当接続を隠蔽することができます。図8は、ネットワーク接続の隠蔽を担当するフック関数を示しています。

アクティブなネットワーク接続の隠蔽に加え、このドライバには興味深い機能があります。開いているいずれかのTCPポートで受信したTCPパケットを、IOCTL 0x220200で設定された特定のTCPポート（実際はSprySOCKSバックドアのTCPサーバのポート）へ転送する機能です。ただしこの転送は、受信したTCPデータ内に特別に細工されたデータが含まれている場合にのみ行われます。これを実現するために、ドライバはWindows Filtering Platform（WFP）APIを使用して独自のパケットフィルタオブジェクトを登録し、転送されるIPv4パケットの内容を手動で解析（インバウンドとアウトバウンドの両方を検査）し、受信TCPパケットのデータ内に特別に細工されたデータが検出された場合にトラフィックの転送を行います。この機能の主な目的は、バイナリ内にC&Cアドレスを埋め込まなくても悪意あるバックドアに接続できる機能を提供することにあると考えられます。さらに、転送されたトラフィックはWiresharkなどのツールで検査できますが、転送先の実際のポートは公開されないため、この悪意あるトラフィックの真の宛先を調査することが困難になります。

インストールされたパケットフィルタとその識別情報を表2に示します。

表2. RawWNPFドライバが登録するWFPフィルタオブジェクト

バックドアファイルの隠蔽

このドライバはミニフィルタドライバとして自身を登録し、以下のコールバックをインストールすることで、SprySOCKSバックドアのファイルを隠蔽・保護します。

• すべてのIRP_MJ_CREATE I/Oリクエストで発動するプリオペレーションコールバック。ドライバの隠蔽・保護ファイルリストに含まれるファイルやディレクトリを作成または開こうとするあらゆる試みに対してSTATUS_NO_SUCH_FILEを返す役割を担います。
• すべてのIRP_MJ_DIRECTORY_CONTROL I/Oリクエストで発動するプリオペレーションコールバック。ディレクトリ列挙に関連するリクエストのみがポストオペレーションコールバックに渡されるよう、それ以外のリクエストをフィルタリングします。
• プリオペレーションコールバックのチェックを通過したIRP_MJ_DIRECTORY_CONTROL I/Oリクエストで発動するポストオペレーションコールバック。ディレクトリ一覧の取得試行から隠蔽・保護対象ファイルのエントリを除去する役割を担います。

ドライバによって保護されるファイル名のハードコードリストは以下のとおりです。

• \SystemRoot\Fonts\tpsvc.dll
• \SystemRoot\Fonts\tpsvcloc.dll
• \SystemRoot\Fonts\ApphostRagistreationVerifier.exe
• \SystemRoot\Fonts\X1B5206BDC1743DD.dat
• \SystemRoot\Fonts\KX1B5206BDC1743DD.dat
• \SystemRoot\Fonts\KW1B5206BDC1743FP.dat

永続化の保護

ドライバはCmRegisterCallbackExを呼び出してRegistryCallbackルーティンをインストールし、SprySOCKSローダーの永続化に使用されるレジストリキー（HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\vds.exe）を隠蔽します。これにより、このキーへのアクセスや列挙のあらゆる試みがドライバによってフィルタリングされます。

WIN_PLUSコンポーネント

SprySOCKSのWIN_PLUSバージョンについては、まず暗号化されたコンテナをESETのテレメトリで発見しました。最初の検出は2024年7月にさかのぼり、パキスタンの被害者デバイスで確認されました。コンテナにはSprySOCKSバックドアとSprySOCKSローダーが含まれており、C&C設定が存在していました（図9参照）。

暗号化されたコンテナは、侵害されたシステム上の以下のパスに配置されていました。

C:\Windows\System32\spool\drivers\color\config.dat

復号すると、コンテナにはSprySOCKSローダーとSprySOCKSバックドア本体が含まれていることがわかります。コンテナに含まれるSprySOCKSバックドアをさらに分析した結果、この場合は暗号化コンテナからSprySOCKSローダーをロードする役割を担う追加のコンポーネントが存在する模様です。このコンポーネントは本分析では「ファーストステージローダー」と呼び、以下のレジストリキーの下にプリントプロセッサとしてインストールされます。

HKLM\SYSTEM\ControlSet001\Control\Print\Environments\Windows x64\Print Processors\VSPMsg

興味深いことに、このVSPMsgという文字列に関連するものをESETのテレメトリで検索したところ、ホンジュラスの2つの異なる被害者デバイス上でC:\Windows\System32\spool\prtprocs\x64\VSPMsg.dllに展開されたファイルが見つかりました。このファイルは、前述のconfig.datからSprySOCKSローダーを実行する役割を担うファーストステージローダーであることが判明しました。

SprySOCKS WIN_PLUSバリアントの実行図を図10に示します。

ファーストステージローダー

このローダーはまずspoolsv.exeによって実行されたかどうかを確認し、そうでない場合は終了します。これは自動化されたマルウェア解析サンドボックスから動作を隠蔽するためのもので、このローダーはプリントプロセッサとして実行されることを想定しています。次に、暗号化コンテナC:\Windows\System32\spool\drivers\‌color\config.datからSprySOCKSローダーを復号します。まずハードコードされたキーuXQLESMXGaRMs6BLでローダーを128ビットAES-ECB方式で復号し、次にプロセスドッペルゲンガーを通じて新しく作成したsvchost.exeプロセスにインジェクトします。この過程で、SprySOCKSローダーはファイル名プレフィックスがTHの一時ファイルとして%TEMP%ディレクトリにドロップされます。

このサンプルは2つの関数をエクスポートしています。

• GetErrorMessageModule
• SetErrorMessageModule

SetErrorMessageModule関数は何も処理を行いませんが、GetErrorMessageModule関数はローダー自身の永続化を設定するために使用されます。実行されると、HKLM\SYSTEM\ControlSet001\Control\Print\Environments\Windows x64\Print Processors\VSPMsgレジストリキーを作成し、Driverレジストリ値をVSPMsg.dllに設定し、ハードコードされたC:\ProgramData\Microsoft Event\PFs\VSPMsg.dllをC:\Windows\System32\spool\prtprocs\x64\ディレクトリにコピーすることで、ローダーをプリントプロセッサとして登録します。次のステップとして、暗号化コンテナをC:\ProgramData\Microsoft Event\PFs\config.datからC:\Windows\System32\spool\drivers\color\config.datへコピーし、完了後にaffair-build.batバッチスクリプトをC:\Windows\System32\spool\drivers\color\ディレクトリに生成して実行します。図11に示すとおり、このスクリプトの目的は元の展開ディレクトリ内のファイルを削除してローダーの痕跡を消し去り、プリントスプーラーサービスを再起動することで新たにインストールされたプリントプロセッサの実行をトリガーすることです。

SprySOCKSローダー

このローダーはまずハードコードされた名前fqwhi2d1qaz2のミューテックスを作成し、次にC:\Windows\System32\spool\drivers\color\‌config.datにある暗号化コンテナからSprySOCKSバックドアをロードします。ハードコードされたキーuXQLESMXGaRMs6BLでバックドアを128ビットAES-ECB方式で復号し、プロセスドッペルゲンガーを通じて新しく作成したsvchost.exeプロセスにインジェクトします。この過程で、SprySOCKSローダーはファイル名プレフィックスがTHの一時ファイルとして%TEMP%ディレクトリにドロップされます。

SprySOCKSバックドア

いよいよSprySOCKSバックドア本体の分析に移ります。WIN_DRVとWIN_PLUSの両バリアントにおいて、バックドアの機能はほぼ同一であり、違いは使用される特定のファイルパスやレジストリキーのみです。また前述のとおり、WIN_PLUSバージョンは高度なステルス性のためにRawWNPFドライバを使用しません。

本レポートで分析した両バリアントは、オリジナル名PrcsServer.dllのDLLであり、Stopという名前の関数をエクスポートしています。起動時にまずprcs-server-runという名前のミューテックスを作成し、その直後にバックドアのメイン機能の初期化を開始します。これには、ハードコードされた設定に基づいたC&C通信チャネルの初期化と起動、そしてキーロガーの設定が含まれます。これらの処理に加え、WIN_DRVバックドアバージョンはRawWNPFドライバのIOCTL 0x222000を呼び出してドライバを初期化し、次にドライバのIOCTL 0x220350を呼び出して自プロセスを隠蔽します。

キーロギングは、%appdata%\Microsoft\Vault\lgf.datに値keyが1に設定されたconfigセクションを含むINIファイルが存在する場合にのみ有効化されます。これらの条件が満たされると、両バックドアはいずれもGlobal\{DCAA7ED8-521B-4EAB-BE21-65254CF59239}という名前のミューテックスを作成し、クリップボードデータおよびアクティブウィンドウのタイトルとキーストロークを定期的に%appdata%\Microsoft\Vault\lg.datファイルに記録します。ファイル内のデータはキー0x44による単バイトXOR暗号で暗号化されています。

C&C通信

バックドアはC&Cとの通信にTCP、UDP、WebSocketの3つのプロトコルをサポートし、クライアントとサーバの両方として機能することができます。ネットワーク関連の機能はHP-Socketネットワークフレームワークに大きく依存しており、一部の暗号化機能はCrypto++ライブラリを使用して実装されています。

C&C設定はバックドアに埋め込まれており、以下の内容を含むことができます。

• 最大3つのIPアドレスと関連ポート。各通信チャネル（TCP、UDP、またはWebSocket）のC&C IPアドレスとそのポートを指定します。
• 最大3つのポート番号。バックドアが新規接続を待ち受けるポートをそれぞれ指定します。TCPサーバ用、UDPサーバ用、WebSocketサーバ用に各1つ使用されます。

• TCP通信チャネルのC&Cアドレスとポート：207.148.78[.]36:443
• UDP通信チャネルのC&Cアドレスとポート：207.148.78[.]36:53
• WebSocket通信チャネルのC&Cアドレスとポート：207.148.78[.]36:80
• バックドアのTCPサーバリスニングポート：53781

接続を開始したりサーバを起動したりする前に、SprySOCKSのWIN_DRVバージョンはRawWNPFドライバのIOCTL 0x220340と0x220200を呼び出すことで、設定に含まれるアドレスやポートとの間のすべての接続を隠蔽します。これにより、これらの接続は実際にはアクティブであってもnetstat.exeなどのツールの出力に表示されなくなります。さらに、両バックドアバージョンともnetsh.exeユーティリティを2回実行します。

netsh.exe netsh advfirewall firewall delete rule name=”Core Networking – Packet Too Big(ICMPv6 – In)”

netsh advfirewall firewall add rule name=”Core Networking – Packet Too Big(ICMPv6 – In)” dir=in action=allow protocol=tcp localport=53781

最初のコマンドは指定したファイアウォールルールを削除し、2番目のコマンドは削除したものと同じ名前の新しいファイアウォールルールを追加します。これにより、設定に指定されたバックドアのTCPサーバポート宛てのインバウンドTCPトラフィックがすべて許可されます。

C&C設定が空の場合（VirusTotalで発見したWIN_DRVバージョンがこれに該当）、バックドアは侵害されたマシン上のランダムなポートでTCPサーバを起動し、RawWNPFドライバのIOCTL 0x220200を呼び出してそのポートを隠蔽します。この呼び出しは、TCPサーバを標準的なネットワークツールの出力から非表示にするだけでなく、RawWNPFドライバが提供するTCP転送機能も有効化します。この機能により、攻撃者はバックドアが実際にリスニングしているポートを知らなくても、被害者マシンの任意の開いているTCPポートに特別に細工されたTCPデータを送信するだけで、バックドアにコマンドを送ることができます。

TCPチャネルに関しては、C&CプロトコルはTrend Microのレポートで分析されたLinuxバージョンと同一のようです。実際のバックドアデータを送信するたびに、まず12バイトのヘッダーを送信します。このヘッダーには、残りのヘッダーの32ビットCRC、DWORDマジック値0xACACBCBC、およびヘッダーに続くデータのサイズを示すDWORDが含まれています。

UDPおよびWebSocketチャネルでは、マジック値が異なるほか、メッセージヘッダーの形式とサイズも異なります。UDPチャネルでは、マジック値は0xACACBFBCで、36バイトのヘッダーのオフセット0x1Cに配置され、その後に続くデータのサイズを示すDWORDが続きます。WebSocketチャネルでは、WebSocket ヘッダーのMasking-Keyとしてマジック値0x1BDCCBAAが使用されています。図12は、各通信チャネルのマジック値を示すネットワークトラフィックキャプチャを示しています。

ヘッダーに続いて、32ビットCRC、WORD値0x0003（暗号化方式を示している可能性）、そしてbase64エンコードされた128ビットAES-ECBモード暗号化データ（ハードコードされたキーQFTHEYjzX3RBOMgZ使用）が続きます。

デコードおよび復号前後のC&Cメッセージの例を図13に示します。

復号されたC&Cメッセージ内の__msgid値は、バックドアが実行するコマンドをメッセージIDで指定するために使用されます。バックドアがサポートするメッセージIDの一覧と説明を表3に示します。なお、すべてのコマンドを詳細に分析したわけではないため、一部の説明はコード・機能の大まかな概要にとどまっています。

表3. SprySOCKS C&Cコマンド。＊が付いた説明は暫定的な評価です

ネットワークインフラ

今回のキャンペーンで発見されたC&CアドレスはSprySOCKSバックドアのWIN_PLUSバリアントの設定（図9参照）にハードコードされた207.148.78[.]36の1件のみです。

設定においてバックドアがC&Cとの通信に使用するポートは以下のとおりです。

• TCP: 443
• UDP: 53
• WebSocket: 80

Trend Microのレポートで言及されているとおり、上記C&Cと同じIPレンジ207.148.64.0/20に属するIPアドレス207.148.75[.]122は、2023年6月にFishMongerのオペレーターがSprySOCKSの配布サーバとして使用していました。このIPレンジはVultrクラウドホスティングプロバイダーに属しています。

まとめ

これまでLinux専用バックドアとして知られていたSprySOCKSのWindowsバリアントの発見は、FishMongerのクロスプラットフォーム能力の大きな拡張を意味します。分析の結果、WindowsへのポーティングはLinux版のコアアーキテクチャ（C&Cプロトコル、使用される暗号化、全体的なコマンド処理ロジックを含む）の大部分を維持しつつ、Windows固有のメカニズムに置き換えが必要な箇所を対応し、カーネルドライバを導入することでバックドアのステルス性を向上させていることが明らかになりました。UEFIブートキットが関与している可能性を示す限定的な兆候も確認されていることから、このグループの活動を注視し続けることを強く推奨します。

WeLiveSecurityに掲載された調査に関するお問い合わせは、[email protected]までご連絡ください。

ESETリサーチでは、プライベートAPTインテリジェンスレポートおよびデータフィードを提供しています。このサービスに関するお問い合わせは、ESET脅威インテリジェンスページをご覧ください。

IoC（侵害の痕跡）

ファイル

ネットワーク

MITRE ATT&CKテクニック

この表はMITRE ATT&CKフレームワークのバージョン19を使用して作成されました。