セキュリティ研究者らは、中東の政府機関を標的とする東アジア関連の脅威アクターと結びつく新たなモジュール型Windowsバックドア「BINDCLOAK」を発見しました。
このマルウェアは、これまで中央アジアの標的への攻撃で確認されていたバックドア「OctLurk」の亜種とみられています。
ThreatLabzは、多段階の侵入チェーンを調査する過程でBINDCLOAKを発見しました。第一段階では、攻撃者はバックドア「TELESHIM」とローダー「MIXEDKEY」を使用していました。
MIXEDKEYはBINDCLOAKを復号し、リフレクティブにメモリへ読み込みます。これにより、マルウェアは通常の実行ファイルをディスク上に残さずに済みます。
BINDCLOAKは64ビットのC++バックドアで、侵害したWindowsシステムに対して操作者に広範な制御権を与えます。
このマルウェアは、ユーザーやプロセスのトークンを収集し、窃取した権限でモジュールを起動し、追加のマルウェアをメモリ内に直接読み込み、攻撃者が管理するC2(コマンド&コントロール)サーバーとTLSで通信することができます。
このマルウェアは、感染したシステムごとに、コンピューター名とC:ドライブのシリアル番号を基にした4バイトの識別子を生成します。この識別子はC2への通信メッセージに含まれ、攻撃者は個々の被害者を追跡できるようになります。
BINDCLOAKにはC2機能とコマンドモジュールが組み込まれていますが、攻撃者はホストを侵害した後に新たなプラグインDLLを送り込むこともできます。
バックドアはこれらのプラグインをリフレクティブに読み込みます。つまり、DLLは通常のWindowsのプロセスを経由せず、確保されたメモリ上にマッピングされて実行される仕組みです。
この機能が重要なのは、攻撃者がディスク上に目に見えるペイロードを書き込むことなく新たな機能を展開できるためです。
プラグインローダーは読み取り・書き込み・実行の各権限を持つメモリを確保し、インポートを解決したうえでDLLのエントリポイントを実行します。
このマルウェアは、エンドポイント検出・対応(EDR)による警告を減らそうともします。疑わしい、実体を伴わないメモリから直接LoadLibraryWを呼び出す代わりに、RtlQueueWorkItemを使って必要なDLLを読み込みます。
セキュリティ製品は、正規の実行ファイルのイメージに紐付いていないメモリ領域から発生するAPI呼び出しをしばしば検知対象としてフラグ付けします。
BINDCLOAKのコマンドモジュールは11種類のコマンドに対応しており、なかでも特に懸念されるのはWindowsアクセストークンに関わる機能です。
COLLECT_USER_TOKENコマンドは、与えられた認証情報を使ってLogonUserWを呼び出し、認証に成功した場合は取得したトークンハンドルを保持します。
また、実行中のプロセスに関する詳細情報(プロセスID、セッションID、関連するユーザー名、ドメイン、トークンの権限など)を収集することも可能です。
操作者はこの情報を利用して、有用な権限で動作しているプロセスを特定できます。
BINDCLOAKはDuplicateTokenExを使い、ユーザーやプロセスのトークンを複製し、そのトークンのセキュリティコンテキスト下でモジュールを起動することができます。
このマルウェアはImpersonateLoggedOnUserを呼び出すため、より高い権限を持つトークンが利用可能な場合、プラグインやモジュールが昇格した権限で動作できるようになると、Zscalerは述べています。
注: IPアドレスおよびドメインは、誤って名前解決やハイパーリンク化されるのを防ぐため、意図的に無効化表記(defang、例: [.])としています。再有効化(re-fang)は、MISP、VirusTotal、あるいは自社のSIEMなど、管理された脅威インテリジェンスプラットフォーム内でのみ行ってください。
SOC調査の死角を減らし、ANY.RUNで脅威をより早期に封じ込めることで、対応コストと業務への影響を抑えましょう。
翻訳元: https://cyberpress.org/bindcloak-backdoor-steals-tokens/
