BlackTechは、Linuxシステムに対する侵害後の活動において、カスタマイズしたBlueShellバックドアを展開していることが分かりました。攻撃者はこれを偽のカーネルワーカープロセスとして偽装し、検知を回避するとともにフォレンジック分析を困難にしています。
この亜種は、オリジナルのオープンソース版BlueShell RATにはない、プロキシ対応C2、ホスト検証、解析妨害機能を追加しています。
BlueShellは、Go言語で書かれたオープンソースのリモートアクセス型トロイの木馬(RAT)であり、コマンド&コントロール(C2)チャネルを通じて攻撃者にリモートシェルアクセス、ファイルのアップロード・ダウンロード、SOCKS5プロキシ機能を提供します。
感染したホストはC2サーバー経由で完全に操作可能となり、侵害されたネットワーク内での横展開、データの窃取、持続的なアクセスを実現します。
最近の分析によると、中国関連のBlackTechを含む高度標的型攻撃(APT)グループが、侵入後のツールチェーンにLinux向けのBlueShell亜種を活用していることが明らかになりました。
この亜種はRATとしての中核機能を維持しつつ、カスタム設定の処理、プロキシ対応のC2通信、そしてオリジナルの公開BlueShellプロジェクトには存在しないステルス機構といった、キャンペーン固有の機能を追加しています。
運用面では、このマルウェアは初期アクセス後に展開され、多くの場合SSH経由の横展開によって標的のLinuxホストに送り込まれます。
攻撃者は専用の「ドロッパー」バイナリを送り込んで実行します。このドロッパーは、BlueShell亜種の展開・実行だけでなく、設定情報の受け渡しやアンチフォレンジック技術の実装も担っています。
この段階的な手法により、BlackTechは目に見える配送コンポーネントと、より短命なペイロードを分離できるため、実行後に残る痕跡を減らすことができます。
ドロッパーは、エンコードおよび圧縮された大きなデータの塊として、BlueShell亜種を自身のデータセクションに埋め込んでいます。
実行されると、この埋め込みデータをコピーし、固定キーによるXORデコードを施した後、FastLZアルゴリズムを使って展開します。
その結果生成されたペイロードは、/tmp/kthreadのような一時パスに書き込まれ、これがBlueShell亜種の実行ファイルとして機能します。
ペイロードを起動する前に、ドロッパーはBase64エンコードおよびXOR難読化された設定データを含む環境変数(wtim)を設定します。
この設定情報には、C2のIPアドレスとポート(例えばポート443のHTTPSサービス)、再接続を試みる間隔、ホスト名フィルター、そして企業プロキシの設定(アドレス、ポート、任意の認証情報、プロキシの使用・認証有無を示すフラグ)といったパラメータが含まれています。
BlueShell亜種は実行時にこのデータをデコード・解析するため、運用者はマルウェアを再コンパイルすることなくキャンペーンのパラメータを調整できます。
簡易的な調査を回避するため、ドロッパーは[kworker/12:12]のような偽装したargv[0]の値を使ってBlueShell亜種を実行し、実行中のプロセスがプロセス一覧上ではLinuxカーネルのワーカースレッドであるかのように見せかけます。
プロセスを生成した後、ドロッパーは/tmp/kthreadバイナリを削除します。これにより、実行中のプロセスに直接対応するファイルがディスク上に単純な形では残らないようにしていると、sect.iijは述べています。
稼働中のシステム上では、調査担当者がpsなどのツールでカーネルワーカーのように見えるプロセスを目にすることがあります。しかし/proc/PID/exeを確認すると、正規のカーネルコンポーネントではなく、匿名または削除済みの実行ファイルであることが判明し、検知と分析を大幅に困難にしています。
SOC調査の死角を減らし、ANY.RUNで脅威をより早期に封じ込めることで、対応コストと事業への影響を抑えましょう。
翻訳元: https://cyberpress.org/blacktech-masks-blueshell-backdoor/
