Rubrik Zero Labsは最近、アンダーグラウンドのサイバー犯罪フォーラムで宣伝されていたマルウェア・アズ・ア・サービス(MaaS)「Azalea RAT」を特定し、分析しました。モジュール式マルウェアプラットフォームとして宣伝されているAzalea RATは、幅広い侵害後の機能を備えており、リモート管理、ステルス機構、権限昇格、永続化、情報窃取、そして拡張可能なプラグインアーキテクチャを組み合わせています。本レポートでは、このマルウェアの包括的な技術分析を提示し、そのアーキテクチャ、実行フロー、回避技術、運用機能を詳述することで、防御側にその手口と検知の機会に関する知見を提供します。
初期感染
感染はпропозиція.pdf.lnkという名前の悪意あるWindowsショートカットから始まります。開かれるとこのショートカットはcmd.exeを起動し、Windows標準のcurlユーティリティを使ってhxxp://159.100.18.98:80/fbbef44e-51f2-4f0c-be82-09a32ddbb320から次段階のペイロードを取得します。ペイロードは%TEMP%\zydrnobipiw.exeとして保存され、start /bを使ってバックグラウンドで実行されます。
第一段階ローダー
LNKが%TEMP%\zydrnobipiw.exeをダウンロードして起動した後、マルウェアはmain_1.pdfというファイル名を含む埋め込みの小さなデータブロックを復号します。%LOCALAPPDATA%\Temp配下にこの空のおとりファイルを作成し、explorer.exeを使ってその場所を開きます。この動作はおそらく注意をそらすためのもので、マルウェアが実際のペイロードをメモリに直接復号・展開・ロードしている間、PDF関連の操作であるかのような外観を保つ役割を果たしていると考えられます。
解析対策・サンドボックス回避
実際のペイロードを復号・ロードする前に、マルウェアは通常のWindowsシステム上で実行されているかどうかを判定するために3つのチェックを実施します。いずれかのチェックが失敗すると、自動化サンドボックスの観測期間を消耗させることを狙った長時間の計算処理による遅延に入ります。
メモリ圧迫チェック
マルウェアはメモリ操作を5ラウンド実施します。各ラウンドでは、約351KBの領域を52個確保し、データで埋めた後、その権限を実行可能かつ書き込み可能に変更し、最後に解放します。
これにより、1ラウンドあたり約18MBの同時メモリ圧迫が発生します。確保や権限変更の際に失敗が生じた場合、リソースが制限されたサンドボックスである可能性を示唆します。
スリープタイミングチェック
マルウェアはGetTickCountを用いて、2回の1秒間スリープ呼び出しにかかる経過時間を計測し、その合計が1秒から3秒の範囲に収まることを期待します。このチェック中、経過時間を計測する前に確保済みのメモリページをPAGE_NOACCESSに変更します。このルーチンは、スリープ呼び出しを高速化したり、実行に大きな遅延を発生させたりする解析環境を識別することを目的としています。
高精度タイミングチェック
マルウェアは、高精度な時刻ソースを提供するQueryPerformanceCounterを用いた追加のタイミングチェックも実施します。2回の1秒間スリープ呼び出しにかかる経過時間を計測し、その合計が1秒から3秒の範囲に収まることを期待します。高精度タイマーを用いて同じ検証を行うことで、マルウェアは観測された遅延が一貫していることを確認でき、スリープ呼び出しを高速化したりタイミング動作を操作したりする環境の検出に役立ちます。
前述のチェックのいずれかが失敗した場合、マルウェアはペイロード処理を継続する前に、計算コストの高いネストループに入ります。このルーチンは非常に多くの反復回数にわたってバッファを繰り返し変更し、CPUリソースを消費して、その後の悪意ある活動を大幅に遅延させます。この動作は自動解析を妨害するために設計されているように見えます。短命なサンドボックスでは、マルウェアが次段階のペイロードを復号・実行する前に実行を終了させてしまう可能性があるためです。
ペイロードの復号と実行
マルウェアは埋め込みペイロードを暗号化された状態で保持しており、実際の内容を隠すために大量のランダムなパディングで囲んでいます。ローダーはまずこのパディングされたデータを取り除き、元のペイロードバッファを再構築します。次に、軽量なXORベースのルーチンを使ってその再構築したコンテンツを復号します。復号が完了すると、データはWindowsのPEファイルであることが判明し、これはディスクに書き込まれることなくメモリ内で直接ロード・実行されます。
第二段階ローダー
第二段階のDLLは、次段階のペイロードの取得・準備・実行を担う専用のワーカースレッドを作成することから始まります。このスレッドが最初に行う動作の一つとして、Windows Management Instrumentation(WMI)を用いてMSFT_MpPreferenceクラスを呼び出し、Microsoft Defenderの設定を変更して、マルウェアの作業ディレクトリをDefenderの除外リストに追加します。
この除外設定を行った後、ワーカースレッドはレジストリキーHKCU\Software\Microsoft\Windows\CurrentVersion\DefaultAppPoolを確認し、以前にダウンロードされた暗号化ペイロードを含むGUID名のREG_BINARY値を探します。有効なレジストリ値が見つかった場合、マルウェアはコマンド&コントロール(C2)基盤に接続することなく、直接展開・復号の段階に進みます。
レジストリ値が存在しない場合、ワーカースレッドはWinHTTP APIを使ってHTTPS接続を確立し、hxxps://13.57.6.116:443/babe8d03-0088-4c34-b80d-6dc46f139d36にGETリクエストを送信します。暗号化されたレスポンスは動的に確保されたメモリバッファにダウンロードされ、その後同じレジストリの場所にGUID名のREG_BINARY値として保存されます。
暗号化データがレジストリまたはリモートサーバーのいずれかから入手できた時点で、マルウェアはパッケージ内に埋め込まれたランダムなパディングを取り除いて元のペイロードを再構築し、4バイトの繰り返しXORキーを使って復号します。
再構築されたパッケージを検証し、その内部構造を確認した後、共通言語ランタイム(CLR)を使って結果として得られた.NETアセンブリを直接メモリにロードします。このアセンブリが単独の実行ファイルとしてディスクに書き込まれることはありません。代わりに、マルウェアはメモリ内にバイト配列を作成し、そのアセンブリを現在のアプリケーションドメインにロードして、必要な引数とともにそのマネージドエントリポイントを呼び出します。
プロセスインジェクション
マルウェアには、リモートプロセスインジェクションに基づく代替の実行経路も実装されています。このルーチンでは、RuntimeBroker.exeを起動し、VirtualAllocExを使ってそのプロセス内に実行可能なメモリを確保し、WriteProcessMemoryでネイティブのPEペイロードを確保済みメモリにコピーした後、CreateRemoteThreadを使って実行を開始します。
RPCベースのUACバイパス
マルウェアには、Windows内部のRPCインターフェースとネイティブのデバッグサブシステムを併用したRPCベースのUACバイパスルーチンも含まれています。まずwinver.exeを一時的なヘルパープロセスとして起動し、そのデバッグオブジェクトを取得します。
マルウェアはこのデバッグオブジェクトを保持したまま、ComputerDefaults.exeを起動します。新しいプロセスのハンドルを取得した後、次段階のペイロードの親プロセスとしてComputerDefaults.exeを利用します。この手法は、標準的なUACプロンプトを表示することなく、昇格した権限でペイロードを実行することを狙ったものです。
Azalea RAT
感染チェーンから回収された最終ペイロードは、機能豊富な.NET製リモートアクセス型トロイの木馬(RAT)「Azalea Agent」であり、侵害されたWindowsシステムに対する永続的かつ対話的な制御を提供するよう設計されています。実行されると、このRATはオペレーターが感染ホストを管理し、コマンドや追加ペイロードを実行し、機密情報を収集し、システムリソースを操作し、広範なC2フレームワークを通じてリモートアクセスを維持することを可能にします。分析対象のビルドには、Windows環境向けに設計されたいくつかの機能を含む、87個の組み込みコマンドハンドラが含まれています。
ランタイムの初期化
実行されると、Azaleaはコンソール出力と一部のWindowsエラーダイアログを抑制し、プロセスのDPI認識を設定し、例外・プロセス終了時のクリーンアップハンドラを登録し、.NETのネットワーク通信向けに複数のSSL/TLSプロトコルバージョンを有効化することで、ランタイム環境を準備します。また、COMベースの昇格ヘルパーを含む特殊な起動モードも処理し、特定の条件下ではウィンドウを表示せずに自身を再起動する場合もあります。これらの初期化手順を完了した後、マルウェアは設定をロードし、以降の実行に必要なコンポーネントを初期化します。
埋め込み文字列テーブルの復号
Azaleaは暗号化されたランタイム文字列テーブルを、最終的な.NET製RATアセンブリ内の埋め込みリソースとして保持しています。リソース名「_d」には暗号化された文字列データが含まれ、「_e」には32バイトのAES-256キーが含まれています。起動時、マルウェアはアセンブリから両方のリソースを直接読み取ります。_dの先頭16バイトを初期化ベクトルとして使用し、残りのデータをAES-256-CBCで復号します。復号後の出力はGZipで展開され、RAT全体で使用される平文の文字列テーブルが復元されます。
復元された文字列はマルウェアの設定情報ではありません。代わりに、インストールおよび永続化に関するメッセージ、プロセス・ファイル操作の文字列、レジストリパス、HTTPビーコンのパラメータ、プラグイン管理ルーチン、リモートデスクトップ機能、SOCKS5プロキシサポート、AMSIバイパスメッセージ、プロセスインジェクションルーチン、そして多数のデバッグ・エラーメッセージなど、インプラントが必要とするランタイム文字列を提供します。これらの文字列をバイナリ内に平文で保存する代わりに、Azaleaは起動時にそれらを復号し、必要になるたびに取得することで、静的解析を大幅に困難にしています。
埋め込みMsgPackライブラリのロード
ランタイム文字列テーブルの初期化後、Azaleaは埋め込みの設定情報をロードします。この設定は、最終的な.NET製RATアセンブリ内にBase64エンコードされたMessagePackのblobとして保存されています。これをデシリアライズするために、マルウェアはMsgPack.dllを必要としますが、これも別ファイルとして配布されるのではなく、アセンブリ内に保存されています。
起動時、Azaleaはアセンブリから保護されたgGsIhf1Hog6AoKj2F7.STxi9BMJ3QrwFInRQ3リソースを読み取り、.NET Reactor風のカスタムなローリング復号ルーチンとそれに続くDeflate展開処理によってMsgPack.dllを再構築します。復元されたライブラリは、Assembly.Load()を用いてメモリ内に直接ロードされます。
Azaleaはメモリ内のMsgPack.dllアセンブリを使って、Base64デコード済みの設定情報をデシリアライズします。ロードが完了すると、この設定情報はマルウェアにC2サーバー、通信設定、インストールおよび永続化のオプション、プラグイン設定、その他実行に必要なパラメータを提供します。
設定情報の分析
埋め込みのMsgPack.dllライブラリがロードされると、AzaleaはBase64エンコードされたMessagePack形式の設定情報をデシリアライズします。この設定情報はインプラントの中枢制御点として機能し、C2サーバー、通信挙動、インストール設定、永続化オプション、解析対策チェック、プラグイン管理、実行機能の選択を定義しています。
図7に示すように、この設定には2つのC2サーバー、ダウンロードURL、ビーコンパス「/api/health」、ビーコンおよびハートビートの間隔、再接続タイミング、TLSの使用有無、TCPキープアライブ設定、HTTPのUser-Agentが含まれています。また、インストールディレクトリとファイル名、スケジュールタスクおよびExplorer Policies Runによる永続化、ミューテックスチェック、アンチデバッグ、アンチサンドボックス、アンチ仮想マシンのチェックについても定義しています。
さらにこの設定は、プラグインのヘルスモニタリング、復旧試行、タスクのバッファリング、モジュールの自動起動を制御します。分析対象のサンプルでは、キーロガー、情報窃取モジュール、暗号資産クリッパーが自動起動するよう設定されています。マイナー、イベントログフック、アンチウイルス除外モジュール、AMSIパッチ適用、UACバイパスの各オプションは、この設定ではfalseに設定されています。
AMSIパッチ適用
AzaleaはWindows Antimalware Scan Interface(AMSI)をバイパスする機能を備えており、セキュリティ製品によるペイロードの検査を受けにくくします。この機能はPatchAmsiScanBufferという設定オプションによって制御されており、そのオプションが有効な場合にのみ実行されます。
この機能が呼び出されると、マルウェアはamsi.dllをロードし、AmsiScanBuffer関数を特定して、その先頭の命令を小さなパッチで上書きします。このパッチにより、AmsiScanBufferは通常のスキャンロジックを実行する代わりに、即座にエラーコード0x80070057(E_INVALIDARG)を返すようになります。その結果、AMSIは関数が戻る前に提供されたコンテンツを検査しなくなります。
単一インスタンスの強制
実行を継続する前に、Azaleaは埋め込みの設定情報で指定されたミューテックス「5c9358d1-3fec-4350-b93f-06ebc384e8e5」の作成を試みます。ミューテックスの作成に成功した場合、マルウェアは初期化を継続し、同じ識別子を用いてローカルの名前付きパイプサーバーを起動します。
ミューテックスがすでに存在する場合、それは別のAzaleaインスタンスが稼働していることを意味し、新たに起動したプロセスは名前付きパイプを介して既存のインスタンスに接続し、バージョンおよび整合性レベル(integrity level)の情報を交換します。分析対象のインプラントは、自身をバージョン1.19.1として識別します。
Azaleaは両方のインスタンスのバージョンと権限レベルを比較し、どちらを稼働させ続けるかを決定します。新しいインスタンスの優先度が高い場合、既存のプロセスをシャットダウンして処理を引き継ぎます。これにより、稼働中のAzaleaインスタンスが常に1つだけになるよう担保しています。
アンチデバッグチェック
Azaleaは起動時にいくつかのアンチデバッグチェックを実施します。これには.NETおよびWindows APIによるチェック、Process Environment Blockの直接検査、プロセスのデバッグフラグ・デバッグポート・デバッグオブジェクトハンドルへの問い合わせが含まれます。これらのチェックのいずれかでデバッガが検出された場合、マルウェアは直ちに自身を終了させます。
アンチサンドボックスチェック
スリープを利用したサンドボックス検知
Azaleaは、長時間のスリープ期間を短縮したりスキップしたりするサンドボックスを検知するために、タイミングベースのチェックを使用します。1時間スリープした後、目覚めた時点でプロセスを終了するワーカースレッドを起動します。その一方で、メインスレッドはランダムに生成した同一の16文字の文字列のSHA-256ハッシュを、10万回繰り返し計算し続けます。
通常のシステムでは、1時間の遅延が終了する前にハッシュ計算のループが完了するため、Azaleaはスリープ中のワーカースレッドを中断させて実行を継続できます。サンドボックスがスリープを高速化またはスキップした場合、ワーカースレッドが早期に目覚め、ハッシュ計算ループが完了する前にマルウェアを終了させることになります。
AntiSandbox設定オプションが有効な場合、Azaleaはさらにいくつかのアンチサンドボックスチェックも実施します。DADY HARDDISKやQEMU HARDDISKといった仮想ディスク識別子をWindowsレジストリ内で検索し、SbieDll.dll、cmdvrt32.dll、cmdvrt64.dll、SxIn.dll、cuckoomon.dllといった既知のサンドボックス監視モジュールがロードされているかを確認し、現在のユーザー名を解析用によく使われるアカウント名の一覧と照合します。
これらの兆候のいずれかが検出された場合、Azaleaはそのシステムをサンドボックスまたはマルウェア解析環境と判断し、直ちにプロセスを終了させます。
アンチ仮想マシンチェック
このRATは被害者のマシン上で、以下のアンチ仮想マシン(アンチVM)チェックを実施します。
- qemu-gaやqemuwmiといったQEMU関連ファイルをWindowsシステムディレクトリ内で検索
- prl_sf、prl_tg、prl_ethといったParallels Toolsのファイルを検索
- VMware、VirtualBox、VBOX、InnotekについてのBIOSレジストリ値およびWMI情報を検査
- balloon.sys、netkvm.sys、vioinput、viofs.sys、vioser.sysといった仮想マシン用ドライバをSystem32\driversディレクトリ内で検索
- vboxservice、VGAuthService、vmusrvc、qemu-gaといった仮想化関連サービスを、実行中のプロセス一覧から列挙
- 既知のCuckoo、VMware、VirtualBoxの名前付きパイプおよびデバイスパスを確認
- BIOS、ファームウェア、SMBIOS、ACPI、ディスプレイドライバの情報を検索し、virtual、hyper-v、vmware、vbox、innotekといった文字列の有無を確認
これらの兆候のいずれかが検出された場合、Azaleaはそのシステムを仮想化環境または解析環境と判断し、プロセスを終了させます。
エージェントIDの生成
Azaleaは、設定済みのミューテックス、被害者のコンピュータ名、および固定文字列を組み合わせることで、感染システムごとに安定した識別子を生成します。この値のSHA-256ハッシュを計算し、先頭16バイトを取り出してGUIDに変換します。これにより、C2サーバーは複数回の実行にわたって同一の被害者を一貫して識別できるようになります。
インストール
Azaleaは埋め込みリソース「5a6b6179166849669814fc1f13d7b7e7」から実行ペイロードを取得します。このリソースはDeflateで圧縮されており、マルウェアはDeflateStreamを使ってメモリ内で展開し、埋め込まれたPEファイルを復元します。
インストール先の場所は、埋め込みの設定情報によって制御されます。InstallCreateNewDirectoryが有効な場合、Azaleaは設定済みのディレクトリ名またはランダムな名前を使って、設定済みのベースパス配下に新しいディレクトリを作成します。
代わりにInstallUseRandomSubdirectoryが有効な場合は、既存のサブディレクトリを列挙し、その中からランダムに1つを選択して、そこにペイロードを書き込みます。分析対象の設定では、Azaleaはユーザーの一時ディレクトリ配下の既存サブディレクトリを選択し、復元したペイロードをupdate.exeとして保存します。書き込みに失敗した場合は別のディレクトリで再試行します。ペイロードの書き込みが成功すると、マルウェアはドロップしたupdate.exeを起動して実行を継続します。
永続化
ペイロードをupdate.exeとしてディスクに書き込んだ後、Azaleaは設定で有効化された永続化手法を適用します。標準的なレジストリのRunキー(HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run、フォールバック先としてHKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run)、Explorer Policies Runキー(HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run)、そして「UpdateTask」という名前のスケジュールタスクに対応しています。いずれの手法も、事前にドロップされたupdate.exeペイロードを実行するよう設定されています。
COMベースのUACバイパス
インストールルーチンがペイロードのパスを返さない場合、AzaleaはUACバイパスのロジックを評価します。UacBypassオプションが有効な場合、現在のWindows IDを取得し、WindowsPrincipal.IsInRoleを使ってプロセスがすでに管理者権限で実行されているかどうかを判定します。プロセスが昇格していない場合、AzaleaはHKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\SystemからConsentPromptBehaviorAdminの値を読み取ります。この値が2でない場合、マルウェアは特殊なコマンドライン引数「-a1」に続けて、昇格させるべき実行ファイルのパスとそのファイルに渡すコマンドライン引数を付加して、自身の非表示コピーを起動します。
新たに起動されたプロセスはそのエントリポイントから実行を開始し、起動時に「-a1」パラメータを検知して、COMベースのUACバイパスルーチンを呼び出します。このルーチンはCOMを初期化し、プロセスを一時的にC:\Windows\explorer.exeになりすまさせ、CoGetObjectを通じてElevation:Administratorモニカーを使い昇格済みのCOMオブジェクトを取得し、最後にそのCOMインターフェースを呼び出して、指定した実行ファイルを昇格した権限で起動します。
昇格したプロセスが作成されると、元のプロセスは終了し、新たに昇格したインスタンスが通常のエントリポイントから再起動します。その後マルウェアは、インストールと永続化のチェックを含む通常の起動シーケンスを再度実行し、管理者権限のまま実行を継続します。
初期C2登録
UACのCOMベース昇格段階が完了すると、Azaleaは実行を開始し、C2基盤との通信を準備します。エージェントID、ユーザー名、コンピュータ名、OSバージョン、実行中のプロセス、実行ファイルのパス、プロセスID、整合性レベル、マルウェアのバージョン、通信設定、TLS傍受の状況、パブリックIPアドレスなど、多岐にわたるホスト・プロセス・設定情報を収集します。収集されたデータは、設定済みのTLSで保護されたTCPチャネル経由での送信用にシリアライズされます。
受信するC2メッセージのフォーマット
初期登録が完了した後も、AzaleaはTLS over TCPの接続を維持し、C2サーバーからの指示を待ち続けます。受信する各メッセージには、プロトコルヘッダーとそれに続く任意のペイロードが含まれます。ヘッダーにはFlags、MessageType、DataTypeValue、PayloadLength、AgentId、TaskId、ChannelId、PluginId、SourceAgentId、Checksumが含まれます。
ヘッダーを検証した後、AzaleaはPayloadLengthで指定されたバイト数を読み取り、圧縮フラグが設定されている場合はペイロードを展開します。コマンドメッセージの場合、内部のルーターがDataTypeValueをコマンド識別子として使用し、対応する登録済みハンドラを特定して、被害者のマシン上で要求されたコマンドを実行します。
エージェントがサポートするコマンド&コントロール機能
Azaleaは、従来型のリモートアクセス機能といくつかの特殊な機能を組み合わせた、包括的な侵害後コマンドフレームワークを実装しています。
標準的な機能には、キーロギング、クリップボード監視、プロセス・レジストリの操作、ファイルシステムへのアクセス、ペイロードの実行、永続化、画面ストリーミング、データ持ち出しが含まれます。より特徴的な機能としては、キーワードベースのWindowsイベントログフィルタリング、Active Directoryオブジェクトの探索および変更、HVNC、マウスドライバパッケージのインストール、トランザクション型プロセスホローイング、DLLインジェクション、トークンなりすまし、UACバイパスへの対応が挙げられます。
次の表は、特定されたコマンドIDの全体と、それぞれに対応する検証済みの説明を示しています。
DarkWebInformerが共有したフォーラムの広告では、Active Directoryとの連携やキーワードベースのWindowsイベントログ回避機能を備えた高機能RATとしてAzaleaが宣伝されています。私たちのリバースエンジニアリングの結果は、これらの主張を部分的に裏付けるものでした。
コマンド17000～17005を使うと、オペレーターはActive Directoryオブジェクトを検索・検査したり、ディレクトリオブジェクトを作成・削除したり、グループメンバーシップを変更したりできます。これらの機能は、侵害されたセキュリティコンテキストに十分なActive Directory権限がある場合、ドメイン内の偵察、永続化、権限昇格を支援する可能性があります。
また別に、コマンド9300～9304は、フックの展開、状態確認、キーワード管理をサポートするイベントログフィルタリングのサブシステムを管理します。売り手の説明によれば、Sysmonが生成するイベントを含め、設定されたキーワードを含むイベントはWindowsイベントログに到達しないよう阻止されるとのことです。
分析対象のエージェントには、このDLLを展開・制御するために必要なコードが含まれていましたが、DLL自体は入手できなかったため、フックされているAPI、フィルタリングの段階、正確な抑制動作について独自に検証することはできませんでした。
モジュール式プラグインの実行
Azaleaは数値のプラグインIDを使って、異なるプラグインモジュールを識別・実行します。分析対象のビルドでは、これらのプラグインは含まれている場合、エージェント内に埋め込みリソースとして保存されることが想定されています。特定されたプラグインIDは4つで、Stealer(ID 5)、Remote Injector(ID 19)、AntivirusKiller(ID 22)、Miner(ID 26)です。このペイロードにはStealerプラグインのリソースのみが含まれていました。Remote Injector、AntivirusKiller、Minerの各プラグインについてはコードパスは存在するものの、対応する埋め込みリソースは含まれていません。
Stealerプラグインは、Chromiumベースのブラウザを標的として、保存済みパスワード、Cookie、決済カード情報、閲覧履歴、ダウンロード履歴、ブックマーク、オートフィルデータを抽出します。また、システム、ハードウェア、ソフトウェア、ネットワークに関する情報の収集にも対応しており、Discord、Telegram、Steam、FileZilla、MobaXterm、RDCMan、Thunderbird、Foxmailに特化したモジュールも含まれています。収集されたデータは構造化されたレポートおよびアーカイブにまとめられた後、持ち出し(exfiltration)のためにメインのAzaleaエージェントへと返されます。
結論
Azaleaは、侵害後のライフサイクル全体を支援するよう設計された、よく作り込まれたモジュール式のマルウェアフレームワークであることを示しています。単一の機能に頼るのではなく、ステルス性、権限昇格、メモリ内実行、永続化、包括的なシステム偵察、そして拡張可能なプラグインベースの機能を統合プラットフォームへと組み合わせています。このモジュール式の設計により、オペレーターは運用上の目的に応じて機能を選択的に展開でき、Azaleaは多様な侵入シナリオに適応可能なものとなっています。回避性、運用上の柔軟性、拡張性を重視する姿勢は、長期的なアクセスの維持、情報収集、後続の作戦を効率的に支援できるマルウェアフレームワークへと進化していく傾向を浮き彫りにしています。
侵害指標(IOC)
すべてのIOCは、Rubrik製品での検知向けにRZLの脅威フィードで入手可能です。
ファイル指標
翻訳元: https://zerolabs.rubrik.com/blog/azalea-rat-stealthy-loader-full-system-control