ClickFixのプロンプトが、最終的にリモートアクセスの足がかりを与えてしまうケースがあります。CNCMachineRMSは、BabaDedaローダーのチェーンの最後に展開される未報告のx64版RATで、ユーザー操作によって実行されたイベントを永続的なハンズオンキーボードアクセスへと変える働きをします。
1.14MBのこのインプラントは、一般的な情報窃取型マルウェアとは異なり、アクセス基盤兼二次ペイロード配信の仕組みとして機能します。実際の被害の程度は、侵害後に攻撃者側の管理者がどのペイロードを展開するかによって左右されます。
感染チェーンは、署名済みのIBM SPSS WinWrap Basic IDE(WinWrapIDE.exe)から始まります。この署名付きバイナリ自体は悪意あるものではありませんが、攻撃者はそのCOM対応スクリプトエンジンを悪用し、投下されたDLLを起動させます。
続いて、Import Address Table(インポートアドレステーブル)のリダイレクトを含む標準的なインポート解決を通じて、4つのおとりDLLが読み込まれます。この手法により、セキュリティ製品が優先的に監視するランタイムのライブラリ読み込みパターンを回避します。
最後のおとりDLLはmodel.datからシェルコードを読み込み、ノイズで満たしたバッファ内に隠したうえで、EnumTimeFormatsExコールバックを通じて実行します。
つまり、Windowsの日付書式列挙機能そのものがシェルコードを実行することになり、マルウェアからペイロードのエントリポイントへ直接呼び出しが行われることはありません。
アンチウイルス&マルウェア
このシェルコードがBabaDedaステージであり、設定ファイルなしで実行された場合は無害に見えることがあります。
HelperStandardizationApplication.binは、エントロピー値がほぼ最大値であるにもかかわらず、暗号化ではなく、シリアライズされたプロパティツリーに2層の難読化を施したものです。デコードされたブロブには、タスクスクリプトと組み込まれたCNCMachineRMSペイロードが含まれています。
この分離構造はサンドボックス回避の罠であり、ストレージ用のアーティファクトを伴わずにローダーが実行されると、メッセージボックスが表示されて処理が停止し、インプラントの存在が隠蔽されます。
CNCMachineRMS RAT
LevelBlueの研究者らによると、CNCMachineRMSは検出される機会を最小限に抑えるよう設計されています。インポートテーブルを一切公開せず、APIはハッシュ値による解決で呼び出し、文字列は実行時にスタック上で構築します。
このRATはまた、ディスク上の設定情報、メモリ常駐の設定情報、ローカルの状態情報、そしてC2(コマンド&コントロール)通信のいずれにも、同一のカスタム「Storage」コンテナを使用しています。
この設計により、指標(インジケータ)による検出が困難になるとともに、単一のパーサーで設定情報と攻撃者からの命令の両方を扱えるようになっています。
その機能セットの豊富さから、感染が確認された端末はインシデント対応上の最優先事項となります。復元された文字列からは、対話型シェル、ファイル管理、画面キャプチャ、ローカルアカウントの作成や特権グループの改変、7種類の永続化手段、そして追加コンテンツのステージングと実行のための20種類のコマンドが確認されています。
このインプラントはC2との通信を開始する前に、ドメイン参加状況、SID、権限の状態、マザーボードおよびBIOSのシリアル番号、インストール済みのアンチウイルス製品を調査します。
600秒ごとにnotepadreleased.comまたは85.158.110.78に対し、TCP/443経由でビーコン通信を行い、ドメイン名の解決にはDoH(DNS over HTTPS)プロバイダーを利用します。生のTCPチャンネルは、WinHTTPへのフォールバックも可能です。
攻撃者側の管理者は、このRATにRunキー、スケジュールタスク、またはスタートアップフォルダによる永続化を指示することもでき、ローカルアカウント作成機能により、環境内への代替の復帰経路も確保されます。
防御側は、CNCMachineRMSを単なる情報収集用の自己完結型ペイロードではなく、実運用のアクセス基盤フレームワークとして扱う必要があります。通常とは異なるディレクトリから実行される署名済みIDE、CNCMachineRMS\tasksという作業領域、そして%LOCALAPPDATA%\SProject\sp.binの有無を確認してください。
後者はランダムなデータでパディングされており、書き込みのたびにサイズとハッシュ値が変化します。検出にあたっては、既知のStorageヘッダーの演算方法を検証する必要があります。
コンピュータサイエンス
有用なテレメトリとしては、DoH通信に続く定期的なTCP/443接続、「IBM SPSS WinWrap Basic IDE」という不審なRunキーやSYSTEM権限でのログオンタスク、そしてローカルアカウント作成と特権グループへの追加を示すイベントID 4720および4732が挙げられます。
侵害指標(IOC)
| カテゴリ | 指標/アーティファクト | 詳細 |
|---|---|---|
| ネットワークC2 | notepadreleased[.]com:443/TCP |
C2エンドポイントと推定される |
| ネットワークC2 | 85[.]158.110.78:443/TCP |
C2のIPアドレスと推定される |
| ビーコン通信 | 600秒 | 10分間隔のビーコン通信 |
| 再試行動作 | 60秒 | C2接続失敗後の再試行間隔 |
| DNS回避 | dns.google |
DNS over HTTPSリゾルバ。クエリが社内のDNSログを迂回する可能性がある |
| DNS回避 | cloudflare-dns.com |
DNS over HTTPSリゾルバ。クエリが社内のDNSログを迂回する可能性がある |
| DNS回避 | dns.quad9.net |
DNS over HTTPSリゾルバ。クエリが社内のDNSログを迂回する可能性がある |
| ホストアーティファクト | %TEMP%\CNCMachineRMS\tasks\*\task_payload.bin |
タスクに紐づくペイロードバイナリ。*はタスク固有のサブディレクトリ/ファイルを1つ以上表す |
| ホストアーティファクト | %LOCALAPPDATA%\SProject\sp.bin |
見かけ上ランダムまたは可変のファイルサイズを持つ、数メガバイト規模のバイナリ |
| 永続化 | IBM SPSS WinWrap Basic IDEという名前のRunキー |
IBM SPSS/WinWrap Basicソフトウェアを装ったレジストリのRunキーによる永続化 |
| 永続化 | IBM SPSS WinWrap Basic IDEという名前のスケジュールタスク |
同じ偽装名を使ったスケジュールタスクによる永続化の可能性 |
| ファイルシステムアーティファクト | C:\Intel |
空で説明のつかないディレクトリ。ステージングや偽装用の場所として作成された可能性がある |
注: IPアドレスおよびドメイン名は、誤って名前解決やハイパーリンク化されることを防ぐため、意図的に無害化表記(例: [.])にしています。再度有効な表記に戻す作業は、MISP、VirusTotal、あるいは自組織のSIEMといった管理されたスレットインテリジェンス基盤内でのみ行ってください。
[ライブウェビナー] Elasticと UnderDefenseが開催するウェビナーにご参加ください。小規模セキュリティチームがAIの可視化とエージェント型対応を単一の運用モデルへ統合する方法を学べます。 -> 今すぐ登録
クラウドセキュリティサービス
翻訳元: https://gbhackers.com/cncmachinerms-rat/
