研究者らは、Kimsukyによるものとみられるキャンペーンに関連する運用上の痕跡を発見しました。これにより、脅威アクターがマルウェアをどのようにテストし、感染ホストのデータをどう扱い、公開コードリポジトリをコマンド&コントロール(C2)インフラとしてどう利用していたかが明らかになっています。
今回の発見は、Operation GitPowerと呼ばれる継続中の活動クラスターの一部です。研究者は、これがKimsukyが以前から用いてきたFlowerPower型の手法——悪意あるWindowsショートカットファイル、PowerShell、Gitベースのサービスの利用——を引き継ぐものだと評価しています。
このキャンペーンは、スピアフィッシングメールを通じて、政策・学術・外交・国際協力・セキュリティ関連の組織を標的としています。
被害者は、正規の文書に見せかけた悪意あるLNKショートカットファイルを含むZIPアーカイブを受け取ります。これらは、イベント資料、支払いフォーム、法律文書、研究資料、大使館とのやり取りなどを装っています。
より新しい事例では、生成AIで作成されたとみられる、金融・仮想資産・投資関連の精巧な文書がおとりとして使われていました。
被害者がLNKファイルを開くと、難読化されたPowerShellコマンドがバックグラウンドで実行されます。マルウェアは疑念を抱かせないよう正規に見えるPDFを表示する一方、GitHubのRaw Content機能から追加のスクリプトやペイロードをダウンロードします。
その後、一時フォルダやAppDataフォルダ内に隠しPowerShellファイルを作成し、定期的に実行されるスケジュールタスクを通じて永続化を確立します。
今回明らかになった運用上のセキュリティ上の失敗の中でも特に顕著だったのが、キャンペーンに関連する痕跡に内部IPアドレスが残されていた点です。
研究者らは、172.16.11[.]141-0313_0319-0956_info.txtという名前の感染情報ファイルに関するGitHubへのアップロード記録を発見しました。これは、攻撃者のテスト環境で使用されていたとみられるプライベートネットワークアドレスを露呈させるものでした。
このファイル名は、このキャンペーンで使われるホストプロファイリングスクリプトが生成する形式と一致していました。このスクリプトは、稼働中のネットワークアダプタのIPアドレスを収集し、タイムスタンプを付加した上で、システム詳細情報を含むテキストファイルを作成します。
これらの詳細情報には、OSのバージョン、アーキテクチャ、システム構成、インストール履歴・起動履歴、実行中のプロセスなどが含まれます。
収集されたデータは、攻撃者が侵害済みのシステムを特定し、次にとるべき行動を判断する助けとなります。調査担当者は、このテスト用痕跡と、Cursor AI開発ツールを用いてレビューされたTest-com1.jsonというファイルとの関連性も特定しました。
ログの証拠から、運用担当者が実運用での使用前後に、感染情報のアップロード機能が正しく動作しているかを確認していたことが示唆されます。
開発活動と実運用インフラがこのように重なり合っていたことで、本来であれば防御側から隠されているはずの情報が露呈する結果となりました。
別の痕跡には、169.254.33[.]137というIPアドレスが含まれており、画像ファイルを装ったファイル群と共にマルウェアのテストで使用されているのが確認されています。
apple.pngやrabbit.pngといったこれらのファイルは、実際にはRC4で暗号化された.NET製のAsyncRATペイロードであり、公開GitHubリポジトリに格納されていました。他のペイロード亜種では、112.216.9[.]171がコマンド&コントロールアドレスとして使用されていたと、Genians社は述べています。
注記: IPアドレスおよびドメインは、誤った名前解決やハイパーリンク化を防ぐため、意図的に無害化表記(例: [.])としています。再有効化する際は、MISP、VirusTotal、SIEMなど管理された脅威インテリジェンス基盤内でのみ行ってください。
ANY.RUNのブラウザ内データ検査で、検知・調査・対応をより迅速に。フィッシングの可視性を高め、SOCの強化とMTTR短縮を実現しましょう
翻訳元: https://cyberpress.org/kimsuky-testing-artifacts-exposed/