OctLurk関連ハッカー集団、中東政府機関にBINDCLOAKバックドアを展開

今回、BINDCLOAKと呼ばれる、これまで報告されていなかったモジュール型バックドアの実態を明らかにする2部構成の技術分析レポートのうち、第2部が公開されました。BINDCLOAKは東アジア系とされる脅威アクター「OctLurk」によって、中東の政府機関を標的に展開されていました。

今回の公開は、同一の多段階侵入チェーンの前段で使用されたTELESHIMバックドアとMIXEDKEYローダーの詳細を扱った第1部に続くものです。

研究者らは、共通するコード構造と重複するC2(command-and-control)インフラを根拠に、BINDCLOAKはOctLurkの亜種であると高い確度で評価しています。

分析の中心となっているのは、MD5ハッシュ値7a14a99d70d42d3f7bf72f843185fc07を持つDLLサンプルです。このサンプルはcurl_easy_escapeとmn_dcodeという偽装された2つの関数をエクスポートしており、前者はMIXEDKEYから直接呼び出されます。

実行されると、このマルウェアは被害者のコンピュータ名のASCII値の合計値とC:ドライブのボリュームシリアル番号を組み合わせ、4バイトの一意なホスト識別子を生成します。この値は後に、そのマシンに紐づくすべてのC2メッセージにタグ付けする際に使用されます。

Malwareremoval service

このバックドアのアーキテクチャは、C2とCommandという2つのコアモジュールを中心に構築されており、それぞれに固有のデフォルト識別子が割り当てられています。さらに、オペレーターはINIT_PLUGIN_MODULEコマンドを通じて、独立したDLLとして追加のプラグインモジュールを展開できます。

この設計により、オペレーターは感染後にインプラント全体を再展開することなく機能を拡張できます。これは成熟したモジュール型マルウェアファミリーに共通する特徴です。

BINDCLOAKの最も特徴的な点は、階層化されたC2メッセージのルーティング方式です。最初のビーコン通信を含め、やり取りされるすべてのメッセージは28バイトのヘッダーで始まり、その後に可変長のバイナリブロブが2つ続きます。ビットフィールドフラグによって、制御用メッセージとデータを伴うコマンド通信とが区別されます。

Zscaler ThreatLabzの研究者によると、BINDCLOAKはC++で書かれた64ビットWindows向けバックドアであり、侵害後の活動においてMIXEDKEYローダーによって復号され、メモリ上にリフレクティブロードされるとのことです。

展開されたBINDCLOAKバックドア

1,568バイトに固定されたビーコンメッセージは、OSバージョン情報、コンピュータ名、ユーザー名、ホスト名、ローカルIPアドレス、システム時刻を収集します。これは、オリジナルのOctLurkバックドアが使用していたビーコン構造と全く同じです。

暗号化は複数段階の方式で行われます。メッセージはまずzlibで圧縮され、圧縮前のサイズが先頭に付加された後、ハードコードされた105バイトのローリングXORキーで暗号化されます。続いて、GetTickCountを起点に生成されるランダムな83バイトのキーによる2回目の暗号化が施されます。

このランダムキーは、C2サーバーが暗号を復元できるようペイロードとともに平文のまま送信され、メッセージ長のパターンを隠すために14〜41バイトのランダムなパディングが付加されます。

ThreatLabzによれば、主要なXORキー自体はOctLurkのものと異なるものの、その構造はOctLurkの旧キーと強い類似性を示しているとのことです。

BINDCLOAKは、トークン管理、モジュール制御、プラグインのロード、さらには感染ホストのスリープを防止するSET_THREAD_EXECUTION_STATEといった各種機能を含む、11種類のコマンドをサポートしています。

COLLECT_USER_TOKENやGET_STATUSといったトークン関連コマンドを使えば、オペレーターは認証情報を窃取し、実行中のプロセスを列挙して、ImpersonateLoggedOnUserによる権限昇格を行うことができます。

特筆すべきは、プラグインローダーがRtlQueueWorkItemを呼び出してLoadLibraryWを間接的に起動することでインポートを解決している点です。この手法は、実体を持たずRWX権限が付与されたメモリ領域から発生する不審なAPI呼び出しをEDR製品にフラグ付けさせないよう、意図的に設計されたものです。

ThreatLabzは、共有されているSSL証明書のインフラを根拠に、BINDCLOAKとOctLurkを関連付けています。C2ドメインであるcert.hypersnet[.]comは証明書のシリアル番号59fe1ef7707fe497d89f34505222862fを使い回しており、これはOctLurkのabout.blsouqs[.]comドメインで使用されている証明書と同一のものです。

侵害後の偵察活動においても、オペレーターがcontacts.ftabnews[.]comとともに両ドメインへpingを送信していたことが確認されています。また、ドメイン登録には一貫してTucowsが、ネームサーバーにはNjallaが、ホスティングにはASN 14956が使用されていました。

IOC(侵害指標)

注: IPアドレスおよびドメインは、誤った名前解決やハイパーリンク化を防ぐため、意図的に無害化表記(例: [.])としています。再度有効な形式に戻す作業は、MISP、VirusTotal、あるいは自社のSIEMなど、管理された脅威インテリジェンス基盤の中でのみ行ってください。

100万ドルのデータ侵害保証は本物の補償なのか?: 10項目からなる無料のAI SOC侵害保証ガイドをダウンロード

Databreach response