Dropping Elephantとしても知られるPatchworkは、少なくとも2015年12月から活動しているスパイ活動特化型の高度標的型攻撃(APT)グループです。
同グループはこれまで、アジア・欧州・トルコ・米国にまたがる政府機関、防衛、エネルギー、航空、研究、金融、テクノロジー、製薬、NGO、シンクタンクなどの組織を標的としてきました。
最新の活動でも、標的型フィッシング、偽装文書による誘導、隠密性の高いWindowsマルウェア、そしてトロイの木馬化したAndroidアプリへの継続的な注力がうかがえます。
攻撃者は偽のPDFショートカットを使ってメモリ常駐型のリモートアクセス型トロイの木馬(RAT)を配布する一方、モバイル向けのインプラントはメッセージ、ファイル、通話履歴、キー入力、音声、画像を窃取できます。
同グループはこれまでも、地域や政治情勢に合わせてツールや誘導手口を繰り返し調整してきました。2023年7月には、中国の研究機関を標的にフィッシング文書とEyeShellバックドアを使用しています。
2024年7月には、悪意あるショートカットとBrute Ratel C4をブータン関連の標的に対して使用しました。その1年後には、カンファレンスをテーマにした誘導文書、VLCのDLLサイドローディング、暗号化ペイロードを用いてトルコの防衛関連企業を狙っています。
2026年6月には、Patchworkは中国をテーマにしたショートカットの感染チェーンを使い、改良版のメモリ常駐型RATを展開しました。
こうした活動からは、スパイ活動という一貫した目的を保ちながら、配布インフラとマルウェアの手法を更新し続ける同グループの能力がうかがえます。
Windows向けの感染チェーンは、PDF文書に偽装した悪意ある.lnkショートカットから始まります。あるサンプル(GRES3001.lnkという名前)は、中国のエネルギー分野向けの契約完了を装った誘導手口を使用していました。
このショートカットはブラウザ風のPDFアイコンを表示するため、標的にとっては無害なファイルのように見えます。開かれると、ショートカットはconhost.exeを通じてPowerShellを起動します。
このスクリプトはおとり用のPDFをダウンロードして開く一方で、水面下で追加のマルウェアコンポーネントを取得します。また、単純なセキュリティルールによる検知を減らすため、iwrの代わりにiw''rのようにコマンド名を分割する手法も使用しています。
マルウェアは、C:\Users\PublicやC:\Windows\Tasksといった書き込み可能な既知の場所にファイルを保存します。
その後、GoogleErrorReportまたはNewErrorReportという名前のスケジュールタスクを作成し、感染プロセスが1分ごとに再起動するようにします。永続化が確立された後、初期攻撃の痕跡を消すためにオリジナルのショートカットは削除されます。
PatchworkはDLLサイドローディングも悪用します。あるチェーンでは、正規のFondue.exeファイルが同じフォルダ内の悪意あるAPPWIZ.cplコンポーネントを読み込みます。別のケースでは、正規のVLC実行ファイルが悪意あるlibvlc.dllファイルを読み込みます。
これらのローダーは、editor.datやvlc.logといったファイルに隠されたシェルコードを含む、暗号化されたペイロードを復号します。
復号されたペイロードはDonutローダーを使ってメモリ上で実行されます。これにより、最終的なRATファイルをディスク上に残さずに済み、フォレンジック調査による検知が困難になります。
このRATは、AMSI、Windows Lockdown Policy、Event Tracing for Windowsの各機能にパッチを当て、ローカルのスキャンやテレメトリを弱体化させることも可能だと、picussecurity社は述べています。
動作を開始すると、このRATはコンピュータ名、ユーザー名、OSの詳細情報、パブリックIPアドレス、国、実行中のプロセス、ネットワーク情報を収集します。
さらに、cmd.exeを通じたコマンドの実行、選択したファイルのアップロード、スクリーンショットの取得、QueueUserAPCを介した他プロセスへのペイロード注入も可能です。
ANY.RUNのブラウザ内データ検査で、検知・調査・対応をより迅速に。フィッシングの可視性を高め、SOCを強化してMTTRを短縮しましょう
翻訳元: https://cyberpress.org/patchwork-apt-expands-espionage/
