北朝鮮とつながりのある脅威アクターが、極めて巧妙なmacOS向けマルウェア攻撃において、Ethereumのスマートコントラクトを強靭なコマンド&コントロール(C2)インフラとして悪用していることが判明しました。これは、暗号資産窃取と開発者の認証情報侵害に主眼を置く国家主導型サイバー犯罪が新たな段階に入ったことを示しています。
Christian Papathanasiou氏による調査は、このキャンペーンを「Contagious Interview」型の活動で知られる北朝鮮関連クラスターUNC5342に帰属させており、同グループがEtherHiding技術を実運用化し、Ethereumブロックチェーン上に稼働中のC2設定データを直接隠していることを確認しています。
攻撃はまずClickFix型のブラウザによる誘導から始まります。マルバタイジング経由で表示される全画面の偽macOS「アップデート/再起動」ページによってシステムがクラッシュしたかのような錯覚を作り出し、ユーザーにターミナルを開いて、すでにひそかにクリップボードにコピーされているコマンドを貼り付けるよう指示します。
このコマンドが実行されるまでは何も侵害されませんが、いったん実行されると、curlとパイプを組み合わせたワンライナーがbase64エンコードされたペイロードを取得し、必要に応じてNode.jsをインストールしたうえで、内部的に「RAT v1.0.3」と呼ばれる難読化されたNode.js製リモートアクセス型トロイの木馬(RAT)を起動します。
このRATはLaunchAgentsの利用、ユーザーのシェルプロファイルの改変、キャッシュや一時ディレクトリ内の隠しファイルによって永続化を確立し、その後約5分ごとにC2へビーコン通信を行い、攻撃者から送られたJavaScriptをeval()経由で実行して、その結果を暗号化チャネル経由で返送します。
このマルウェアはハードコードされたサーバーに設定情報を問い合わせる代わりにEtherHidingを利用しており、公開されているEthereumのRPCエンドポイント群を通じてeth_callリクエストを発行し、攻撃者が管理する2つのスマートコントラクトから現在のC2 URLと暗号鍵を取得します。
これらのコントラクト自体は資金を保有しておらず、純粋にオンチェーン上の設定ビーコンとして機能します。これにより運用者はオンチェーンの値を更新するだけでインフラをローテーションでき、感染したホストは単に最新のC2データを取得するだけで済むため、従来型のドメインやホスティングのテイクダウンでは対処できない設計になっています。
バックドアが有効化されると、静かに2つの追加ペイロードを展開します。1つは157種類の暗号資産ウォレットやブラウザに保存された機密情報、開発者・クラウド関連の認証情報を狙う情報窃取モジュールで、もう1つは「Google Drive Offline」を装った悪意あるChrome拡張機能です。この拡張機能はChromeのSecure Preferencesを改ざんすることでサイドロードされ、正規の拡張機能として信頼されるよう偽装されています。
オンチェーン追跡の結果、EtherHidingに使用されたスマートコントラクトは、大手取引所を起点とする組織的なウォレット運用フローを通じてデプロイ・資金供給されていたことが分かっています。KuCoinやBinanceからの出金が使い捨てのデプロイヤーウォレットに流れ込み、これらのウォレットはわずかな量のETHを受け取ってコントラクトをデプロイし、設定情報を書き込んだ後、残額をトレジャリーハブへ転送し、そのまま放棄されます。
SOC調査の死角を減らし、脅威を早期に封じ込めることで、ANY.RUNを使って対応コストと事業への影響を軽減しましょう。
翻訳元: https://cyberpress.org/dprk-etherhiding-malware-channel/
