Rubrik Zero Labsは、アンダーグラウンドのサイバー犯罪フォーラムで最近宣伝されていたマルウェア・アズ・ア・サービス(MaaS)製品「Azalea RAT」を発見し、分析を行いました。モジュール型マルウェアプラットフォームとして宣伝されているAzalea RATは、侵害後に利用できる幅広い機能を備えており、リモート管理、ステルス機構、権限昇格、永続化、情報窃取、そして拡張可能なプラグインアーキテクチャを組み合わせています。本レポートでは、このマルウェアのアーキテクチャ、実行フロー、回避技術、運用機能について包括的な技術分析を行い、防御側がその手口を理解し、検知の機会を得られるよう情報を提供します。
初期感染
感染は、пропозиція.pdf.lnkという名前の悪意あるWindowsショートカットから始まります。このショートカットを開くとcmd.exeが起動し、Windows標準のcurlユーティリティを使ってhxxp://159.100.18.98:80/fbbef44e-51f2-4f0c-be82-09a32ddbb320から次段のペイロードを取得します。取得したペイロードは%TEMP%\zydrnobipiw.exeとして保存され、start /bを使ってバックグラウンドで実行されます。
第一段階ローダー
LNKファイルが%TEMP%\zydrnobipiw.exeをダウンロードして起動すると、マルウェアはmain_1.pdfというファイル名を含む埋め込みの小さなデータブロックを復号します。そして%LOCALAPPDATA%\Temp配下にこの空のおとりファイルを作成し、explorer.exeでその場所を開きます。この動作はおそらく注意をそらすための偽装であり、マルウェアが実際のペイロードをメモリ上に直接復号・展開・ロードしている間、あたかもPDF関連の操作であるかのように見せかけていると考えられます。
解析対策・サンドボックス回避
実際のペイロードを復号してロードする前に、マルウェアは通常のWindowsシステム上で動作しているかどうかを判定するために3種類のチェックを実行します。いずれかのチェックが失敗すると、自動化サンドボックスの観測時間を消耗させることを狙った長時間の計算処理に入ります。
メモリ圧迫チェック
マルウェアはメモリ操作を5ラウンド実行します。各ラウンドでは、約351KBの領域を52個確保し、データを書き込んでから権限を実行可能かつ書き込み可能に変更し、その後解放します。
これにより1ラウンドあたり約18MBの同時メモリ負荷が発生します。確保処理や権限変更に失敗した場合、リソースが制限されたサンドボックス環境である可能性を示します。
スリープタイミングチェック
マルウェアはGetTickCountを使って1秒間のスリープ呼び出しを2回行い、その経過時間の合計が1秒から3秒の範囲に収まることを確認します。このチェック中、経過時間を測定する前に確保済みのメモリページをPAGE_NOACCESSに変更します。この処理は、スリープ呼び出しを高速化したり実行に大きな遅延を発生させたりする解析環境を検知することを狙っています。
高精度タイミングチェック
マルウェアは、高精度な時刻源であるQueryPerformanceCounterを使った追加のタイミングチェックも実行します。1秒間のスリープ呼び出しを2回行い、経過時間の合計が1秒から3秒の範囲に収まることを確認します。高精度タイマーを使って同様の検証を行うことで、観測された遅延が一貫しているかどうかを確認でき、スリープ呼び出しを高速化したりタイミング動作を操作したりする環境の検知に役立ちます。
前述のチェックのいずれかが失敗すると、マルウェアはペイロード処理を続行する前に、計算コストの高いネストしたループ処理に入ります。この処理は非常に多くの回数にわたってバッファを繰り返し変更し、CPUリソースを消費させながら、それ以降の悪意ある活動を大幅に遅延させます。この動作は自動解析を妨げることを狙ったものと見られ、短時間しか稼働しないサンドボックスでは、マルウェアが次段のペイロードを復号・実行する前に解析処理が終了してしまう可能性があります。
ペイロードの復号と実行
マルウェアは埋め込みペイロードを暗号化した状態で保持し、実際の内容を隠すために大量のランダムなパディングで包んでいます。ローダーはまずこのパディングデータを取り除き、元のペイロードバッファを再構築します。その後、軽量なXORベースの処理を使って再構築した内容を復号します。復号が完了すると、データはWindowsのPEファイルであることが判明し、ディスクに書き込むことなくメモリ上で直接ロード・実行されます。
第二段階ローダー
第二段階のDLLは、次段ペイロードの取得・準備・実行を担う専用のワーカースレッドを作成することから始まります。このスレッドは最初の動作の一つとして、Windows Management Instrumentation(WMI)を使ってMSFT_MpPreferenceクラスを呼び出し、Microsoft Defenderの設定を変更して、マルウェアの作業ディレクトリをDefenderの除外リストに追加します。
除外設定を行った後、ワーカースレッドはレジストリキーHKCU\Software\Microsoft\Windows\CurrentVersion\DefaultAppPoolを確認し、以前にダウンロードした暗号化ペイロードを含むGUID名のREG_BINARY値を探します。有効なレジストリ値が見つかった場合、マルウェアはC2インフラに接続することなく、直接展開・復号段階に進みます。
レジストリ値が存在しない場合、ワーカースレッドはWinHTTP APIを使ってHTTPS接続を確立し、hxxps://13.57.6.116:443/babe8d03-0088-4c34-b80d-6dc46f139d36にGETリクエストを発行します。取得した暗号化レスポンスは動的に確保したメモリバッファにダウンロードされた後、同じレジストリの場所にGUID名のREG_BINARY値として保存されます。
暗号化データがレジストリまたはリモートサーバーのいずれかから取得できたら、マルウェアはパッケージ内に埋め込まれたランダムなパディングを取り除いて元のペイロードを再構築し、繰り返し使用される4バイトのXORキーを使って復号します。
再構築したパッケージを検証し、その内部構造を確認した後、マルウェアは共通言語ランタイム(CLR)を使って結果の.NETアセンブリを直接メモリ上にロードします。このアセンブリは単独の実行ファイルとしてディスクに書き込まれることは一切ありません。代わりに、マルウェアはメモリ上にバイト配列を作成し、そのアセンブリを現在のアプリケーションドメインにロードした上で、必要な引数を渡してマネージドエントリポイントを呼び出します。
プロセスインジェクション
マルウェアは、リモートプロセスインジェクションに基づく代替の実行経路も備えています。この手法では、RuntimeBroker.exeを起動し、VirtualAllocExを使ってプロセス内に実行可能なメモリを確保し、WriteProcessMemoryでそのメモリにネイティブなPEペイロードをコピーした上で、CreateRemoteThreadを使って実行を開始します。
RPCベースのUACバイパス
マルウェアには、Windows内部のRPCインターフェイスとネイティブのデバッグサブシステムを組み合わせて利用する、RPCベースのUACバイパス処理も含まれています。まずwinver.exeを一時的なヘルパープロセスとして起動し、そのデバッグオブジェクトを取得します。
その後、マルウェアはこのデバッグオブジェクトを保持したままComputerDefaults.exeを起動します。新しいプロセスのハンドルを取得した後、ComputerDefaults.exeを次段ペイロードの親プロセスとして使用します。この手法は、標準のUACプロンプトを表示させることなく、ペイロードを昇格権限で実行することを狙ったものです。
Azalea RAT
感染チェーンの最終段階で確認されたペイロードは、Azalea Agentという機能豊富な.NET製リモートアクセス型トロイの木馬(RAT)で、侵害されたWindowsシステムに対して永続的かつ対話的な制御を提供するよう設計されています。実行されると、このRATを使ってオペレーターは感染ホストを管理し、コマンドや追加ペイロードを実行し、機密情報を収集し、システムリソースを操作し、広範なコマンド&コントロール(C2)フレームワークを通じてリモートアクセスを維持できます。分析対象のビルドには、Windows環境向けの複数機能を含む、組み込みのコマンドハンドラーが87種類含まれていました。
ランタイムの初期化
実行されると、Azaleaはコンソール出力や一部のWindowsエラーダイアログを抑制し、プロセスのDPIアウェアネスを設定し、例外ハンドラーとプロセス終了時のクリーンアップハンドラーを登録し、.NETのネットワーク通信向けに複数のSSL/TLSプロトコルバージョンを有効化することで、実行環境を準備します。また、COMベースの権限昇格ヘルパーを含む特殊な起動モードにも対応しており、特定の条件下ではウィンドウを表示せずに自身を再起動することがあります。これらの初期化処理が完了すると、マルウェアは設定情報をロードし、以降の実行に必要なコンポーネントを初期化します。
埋め込み文字列テーブルの復号
Azaleaは暗号化されたランタイム文字列テーブルを、最終的な.NET RATアセンブリ内の埋め込みリソースとして保持しています。_dという名前のリソースには暗号化された文字列データが、_eには32バイトのAES-256キーが格納されています。起動時、マルウェアはアセンブリからこれら両方のリソースを直接読み込みます。_dの先頭16バイトを初期化ベクトルとして使用し、残りのデータをAES-256-CBCで復号します。復号後の出力はGZipで解凍され、RAT全体で使用される平文の文字列テーブルが復元されます。
この復元される文字列はマルウェアの設定情報ではありません。代わりに、インストールおよび永続化に関するメッセージ、プロセス・ファイル操作関連の文字列、レジストリパス、HTTPビーコンのパラメータ、プラグイン管理処理、リモートデスクトップ機能、SOCKS5プロキシ対応、AMSIバイパスメッセージ、プロセスインジェクション処理、多数のデバッグ・エラーメッセージなど、インプラントが動作時に必要とする文字列を提供します。これらの文字列をバイナリ内に平文で保持する代わりに、Azaleaは起動時に復号し、必要になるたびに取得することで、静的解析を大幅に困難にしています。
埋め込みMsgPackライブラリのロード
ランタイム文字列テーブルの初期化後、Azaleaは埋め込みの設定情報をロードします。この設定情報は、最終的な.NET RATアセンブリ内にBase64エンコードされたMessagePack形式のデータとして保存されています。これをデシリアライズするには、マルウェアはMsgPack.dllを必要としますが、これも別ファイルとして配布されるのではなく、アセンブリ内に格納されています。
起動時、Azaleaはアセンブリからgゴ…ではなくgGsIhf1Hog6AoKj2F7.STxi9BMJ3QrwFInRQ3という保護されたリソースを読み込み、.NET Reactor風のローリング復号処理とそれに続くDeflate解凍を使ってMsgPack.dllを再構築します。復元されたライブラリは、Assembly.Load()を使って直接メモリ上にロードされます。
Azaleaはメモリ上のMsgPack.dllアセンブリを使って、Base64デコード済みの設定情報をデシリアライズします。ロードが完了すると、この設定情報からマルウェアはC2サーバー、通信設定、インストール・永続化オプション、プラグイン設定、実行に必要なその他のパラメータを取得します。
設定情報の分析
埋め込みのMsgPack.dllライブラリがロードされると、AzaleaはBase64エンコードされたMessagePack形式の設定情報をデシリアライズします。この設定情報はインプラントの中枢的な制御ポイントとして機能し、C2サーバー、通信動作、インストール設定、永続化オプション、解析対策チェック、プラグイン管理、実行時に有効化する機能を定義しています。
図7に示すように、この設定情報には2つのC2サーバー、ダウンロードURL、/api/healthというビーコンパス、ビーコンおよびハートビートの間隔、再接続のタイミング、TLSの使用有無、TCPキープアライブ設定、HTTPのUser-Agentが含まれています。また、インストール先ディレクトリとファイル名、スケジュールタスクおよびExplorer Policies Runによる永続化、ミューテックスのチェック、アンチデバッグ、アンチサンドボックス、アンチ仮想マシンの各チェックも定義されています。
この設定情報はさらに、プラグインのヘルスモニタリング、復旧試行、タスクのバッファリング、モジュールの自動起動も制御します。分析対象のサンプルでは、キーロガー、情報窃取モジュール、暗号資産クリッパーが自動起動するよう設定されていました。マイナー、イベントログフック、アンチウイルス除外モジュール、AMSIパッチ適用、UACバイパスの各オプションは、この設定ではfalseに設定されていました。
AMSIパッチ適用
Azaleaには、セキュリティ製品によるペイロードの検査を受けにくくするため、Windowsのアンチマルウェアスキャンインターフェイス(AMSI)をバイパスする機能が備わっています。この機能はPatchAmsiScanBufferという設定オプションで制御されており、このオプションが有効な場合にのみ実行されます。
この機能が呼び出されると、マルウェアはamsi.dllをロードし、AmsiScanBuffer関数を特定した上で、その先頭の命令部分を小さなパッチで上書きします。このパッチにより、AmsiScanBufferは通常のスキャン処理を実行する代わりに、直ちにエラーコード0x80070057(E_INVALIDARG)を返すようになります。その結果、関数が返る前にAMSIが渡された内容を検査することはなくなります。
単一インスタンスの強制
処理を続行する前に、Azaleaは埋め込みの設定情報で指定されたミューテックス5c9358d1-3fec-4350-b93f-06ebc384e8e5の作成を試みます。ミューテックスの作成に成功すると、マルウェアは初期化を続行し、同じ識別子を使ってローカルの名前付きパイプサーバーを起動します。
ミューテックスが既に存在する場合、つまり別のAzaleaインスタンスが稼働中であることを示している場合、新たに起動したプロセスはこの名前付きパイプを通じて既存のインスタンスに接続し、バージョン情報と整合性レベル情報を交換します。分析対象のインプラントは自身をバージョン1.19.1として識別していました。
Azaleaは両方のインスタンスのバージョンと権限レベルを比較し、どちらを稼働し続けるべきかを判断します。新しいインスタンスの方が優先度が高い場合、既存のプロセスを終了させて処理を引き継ぎます。これにより、Azaleaのインスタンスが常に1つだけ稼働している状態が保たれます。
アンチデバッグチェック
Azaleaは起動時に複数のアンチデバッグチェックを実行します。これには、.NETおよびWindows APIによるチェック、プロセス環境ブロック(PEB)の直接検査、プロセスのデバッグフラグ・デバッグポート・デバッグオブジェクトハンドルの問い合わせが含まれます。これらのチェックのいずれかでデバッガーが検知されると、マルウェアは直ちに自身を終了させます。
アンチサンドボックスチェック
スリープを利用したサンドボックス検知
Azaleaは、長時間のスリープ処理を短縮したりスキップしたりするサンドボックスを検知するため、タイミングベースのチェックを使用します。1時間スリープした後、目覚めるとプロセスを終了させるワーカースレッドを起動します。その一方で、メインスレッドはランダムに生成された同じ16文字の文字列に対して、SHA-256ハッシュの計算を10万回繰り返し実行します。
通常のシステムでは、このハッシュ計算ループは1時間の遅延が終了する前に完了するため、Azaleaはスリープ中のワーカースレッドを中断し、処理を継続できます。サンドボックス環境がスリープを高速化またはスキップしている場合、ワーカースレッドが早期に目覚め、ハッシュ計算ループが完了する前にマルウェアを終了させてしまいます。
AntiSandbox設定オプションが有効になっている場合、Azaleaは複数のアンチサンドボックスチェックも実行します。Windowsレジストリを調べてDADY HARDDISKやQEMU HARDDISKといった仮想ディスクの識別子を探し、SbieDll.dll、cmdvrt32.dll、cmdvrt64.dll、SxIn.dll、cuckoomon.dllといった既知のサンドボックス監視モジュールがロードされていないかを確認し、現在のユーザー名を一般的に使われる解析用アカウントのリストと照合します。
これらの兆候のいずれかが検知されると、Azaleaはそのシステムをサンドボックスまたはマルウェア解析環境と判断し、直ちにプロセスを終了させます。
アンチVMチェック
このRATは、被害者のマシン上で以下のアンチVMチェックを実行します。
- Windowsのシステムディレクトリ内でqemu-gaやqemuwmiといったQEMU関連ファイルを検索
- prl_sf、prl_tg、prl_ethといったParallels Toolsのファイルを検索
- BIOSのレジストリ値やWMI情報にVMware、VirtualBox、VBOX、Innotekの記載がないか検査
- System32\driversディレクトリ内でballoon.sys、netkvm.sys、vioinput、viofs.sys、vioser.sysといった仮想マシン用ドライバーを検索
- 実行中のプロセスを列挙し、vboxservice、VGAuthService、vmusrvc、qemu-gaといった仮想化関連サービスがないか確認
- 既知のCuckoo、VMware、VirtualBox関連の名前付きパイプおよびデバイスパスを確認
- BIOS、ファームウェア、SMBIOS、ACPI、ディスプレイドライバーの情報を検査し、virtual、hyper-v、vmware、vbox、innotekといった文字列がないか確認
これらの兆候のいずれかが検知されると、Azaleaはそのシステムを仮想化環境または解析環境と判断し、プロセスを終了させます。
エージェントIDの生成
Azaleaは、設定済みのミューテックス、被害者のコンピューター名、固定文字列を組み合わせることで、感染システムごとに固有の安定した識別子を生成します。この値のSHA-256ハッシュを計算し、先頭16バイトを取得してGUID形式に変換します。これにより、C2サーバーは複数回の実行にわたって同一の被害者を一貫して識別できます。
インストール
Azaleaは、5a6b6179166849669814fc1f13d7b7e7という埋め込みリソースから実行ファイル形式のペイロードを取得します。このリソースはDeflate形式で圧縮されており、マルウェアはDeflateStreamを使ってメモリ上で解凍し、埋め込みのPEファイルを復元します。
インストール先の場所は、埋め込みの設定情報によって制御されます。InstallCreateNewDirectoryが有効な場合、Azaleaは設定済みのベースパス配下に、設定されたディレクトリ名またはランダムな名前を使って新しいディレクトリを作成します。
代わりにInstallUseRandomSubdirectoryが有効な場合は、既存のサブディレクトリを列挙し、その中からランダムに1つを選んでペイロードを書き込みます。分析対象の設定では、Azaleaはユーザーの一時ディレクトリ配下にある既存のサブディレクトリを選択し、復元したペイロードをupdate.exeとして保存します。書き込みに失敗した場合は、別のディレクトリで再試行します。ペイロードの書き込みに成功すると、マルウェアは展開したupdate.exeを起動して処理を続行します。
永続化
ペイロードをupdate.exeとしてディスクに書き込んだ後、Azaleaは設定で有効化されている永続化手法を適用します。対応している手法には、標準的なレジストリRunキー(HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run、失敗時はHKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Runにフォールバック)、Explorer Policies Runキー(HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run)、UpdateTaskという名前のスケジュールタスクがあります。いずれの手法も、先にディスクへ展開したupdate.exeペイロードを実行するよう設定されています。
COMベースのUACバイパス
インストール処理でペイロードのパスが返されなかった場合、AzaleaはUACバイパス処理の実行可否を判断します。UacBypassオプションが有効な場合、現在のWindowsのアイデンティティを取得し、WindowsPrincipal.IsInRoleを使ってプロセスが既に管理者権限で実行されているかどうかを判定します。プロセスが昇格していない場合、AzaleaはHKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\SystemからConsentPromptBehaviorAdminの値を読み取ります。この値が2でない場合、マルウェアは特殊なコマンドラインパラメータ-a1と、昇格させたい実行ファイルのパス、そしてその実行ファイルに渡すコマンドライン引数を付けて、自身の隠れたコピーを起動します。
新たに起動したプロセスはエントリポイントから実行を開始し、起動時に-a1パラメータを検知して、COMベースのUACバイパス処理を呼び出します。この処理はCOMを初期化し、自身のプロセスを一時的にC:\Windows\explorer.exeに偽装した上で、CoGetObjectを通じてElevation:Administratorモニカーを使い昇格済みのCOMオブジェクトを取得し、最終的にそのCOMインターフェイスを呼び出して、指定した実行ファイルを昇格権限で起動します。
昇格済みプロセスが作成されると、元のプロセスは終了し、新たに昇格したインスタンスが通常のエントリポイントから再起動します。その後、マルウェアはインストールおよび永続化のチェックを含む通常の起動シーケンスを再度実行し、管理者権限のまま処理を続行します。
初期C2登録
UACのCOMベース権限昇格段階が完了すると、AzaleaはC2インフラとの通信準備として実行を開始します。エージェントID、ユーザー名、コンピューター名、OSのバージョン、実行中のプロセス、実行ファイルのパス、プロセスID、整合性レベル、マルウェアのバージョン、通信設定、TLS傍受の状態、パブリックIPアドレスなど、ホスト・プロセス・設定に関する広範な情報を収集します。収集したデータはシリアライズされ、設定済みのTLS保護されたTCPチャネル経由で送信されます。
受信するC2メッセージの形式
初期登録が完了すると、AzaleaはTLS-over-TCP接続を維持したまま、C2サーバーからの指示を待ち受けます。受信する各メッセージは、プロトコルヘッダーとオプションのペイロードから構成されます。ヘッダーにはFlags、MessageType、DataTypeValue、PayloadLength、AgentId、TaskId、ChannelId、PluginId、SourceAgentId、Checksumが含まれます。
ヘッダーを検証した後、AzaleaはPayloadLengthで指定されたバイト数を読み取り、圧縮フラグが立っている場合はペイロードを解凍します。コマンドメッセージの場合、内部のルーターがDataTypeValueをコマンド識別子として使用し、対応する登録済みハンドラーを特定して、被害者のマシン上で要求されたコマンドを実行します。
エージェントが対応するコマンド&コントロール機能
Azaleaは、従来型のリモートアクセス機能といくつかの特殊な機能を組み合わせた、包括的な侵害後コマンドフレームワークを実装しています。
標準機能には、キーロギング、クリップボード監視、プロセス・レジストリの操作、ファイルシステムへのアクセス、ペイロードの実行、永続化、画面ストリーミング、データ窃取が含まれます。より特徴的な機能としては、キーワードベースのWindowsイベントログフィルタリング、Active Directoryオブジェクトの探索・変更、HVNC、マウスドライバーパッケージのインストール、トランザクション型プロセスホローイング、DLLインジェクション、トークンなりすまし、UACバイパスへの対応が挙げられます。
以下の表は、確認されたコマンドIDの全体と、それぞれに対応する検証済みの説明をまとめたものです。
DarkWebInformerが共有したフォーラムの広告は、AzaleaをActive Directoryとの連携やキーワードベースのWindowsイベントログ回避機能を備えた、機能豊富なRATとして宣伝しています。我々のリバースエンジニアリングの結果は、これらの主張を部分的に裏付けています。
コマンド17000～17005を使うと、オペレーターはActive Directoryオブジェクトの検索・確認、ディレクトリオブジェクトの作成・削除、グループメンバーシップの変更ができます。これらの機能は、侵害されたセキュリティコンテキストが十分なActive Directory権限を持っている場合、ドメイン内の偵察活動、永続化、権限昇格に利用される可能性があります。
別途、コマンド9300～9304は、フックの展開、状態確認、キーワード管理に対応するイベントログフィルタリングサブシステムを管理します。販売者の説明によれば、Sysmonが生成するイベントを含め、設定済みのキーワードを含むイベントはWindowsイベントログに到達しないよう阻止されるとのことです。
分析したエージェントには、このDLLを展開・制御するために必要なコードが含まれていましたが、DLL自体は入手できなかったため、フックされているAPI、フィルタリング段階、正確な抑制動作については独自に検証することができませんでした。
モジュール型プラグインの実行
Azaleaは、異なるプラグインモジュールを識別・実行するために数値のプラグインIDを使用します。分析対象のビルドでは、これらのプラグインは組み込まれている場合、エージェント内に埋め込みリソースとして格納されることになっています。確認されたプラグインIDは4種類で、Stealer(ID 5)、Remote Injector(ID 19)、AntivirusKiller(ID 22)、Miner(ID 26)です。今回のペイロードに含まれていたのはStealerプラグインのリソースのみでした。Remote Injector、AntivirusKiller、Minerの各プラグインについてはコードパスは存在するものの、対応する埋め込みリソースは含まれていませんでした。
Stealerプラグインは、Chromiumベースのブラウザを標的とし、保存されたパスワード、Cookie、決済カード情報、閲覧履歴、ダウンロード履歴、ブックマーク、自動入力データを抽出します。また、システム、ハードウェア、ソフトウェア、ネットワークに関する情報の収集にも対応しており、Discord、Telegram、Steam、FileZilla、MobaXterm、RDCMan、Thunderbird、Foxmailに特化したモジュールも備えています。収集したデータは構造化されたレポートおよびアーカイブとしてまとめられた後、Azaleaのメインエージェントに渡され、外部への持ち出しが行われます。
結論
Azaleaは、侵害後のライフサイクル全体を支援するよう設計された、完成度の高いモジュール型マルウェアフレームワークであることを示しています。単一の機能に頼るのではなく、ステルス性、権限昇格、メモリ上での実行、永続化、包括的なシステム偵察、拡張可能なプラグインベースの機能を一つの統合プラットフォームに組み合わせています。このモジュール設計により、オペレーターは運用目的に応じて機能を選択的に展開でき、Azaleaは多様な侵入シナリオに適応可能なものとなっています。回避性、運用上の柔軟性、拡張性を重視する姿勢は、長期的なアクセスの維持、情報収集、後続の攻撃活動を効率的に支援できるマルウェアフレームワークへと進化しつつある傾向を浮き彫りにしています。
侵害指標(IOC)
IOCはすべて、Rubrik製品での検知に利用できるようRZL脅威フィードで提供されています。
ファイル指標
翻訳元: https://zerolabs.rubrik.com/blog/azalea-rat-stealthy-loader-full-system-control
