「Aeternum」と呼ばれる新たに分析されたマルウェア攻撃キャンペーンが、公開ブロックチェーンであるPolygonをコマンド&コントロール(C2)チャネルとして悪用していることが判明しました。これにより攻撃者は、従来型のサーバーやドメインに依存せずボットネットへの命令を配信できるようになります。
InstallingAntivirus Software
この設計は、防御側の中核的な前提を覆すものです。インフラの押収はペイロードのホスティングを妨害できても、すでに公開ブロックチェーンに書き込まれた命令までは消去できません。
ローダーは攻撃者が保有するホスト名を解決する代わりに、読み取り専用のブロックチェーンクエリを実行し、コントラクトのストレージから現在の命令を取得します。これにより、単一のC2ノードがグローバルに複製された台帳へと置き換えられることになります。
主な技術的特徴は、スマートコントラクトの関数セレクタ0xb68d1809で、これはgetDomain()ルーチンに関連付けられています。確認された攻撃活動では、マルウェアがtoフィールドに対象コントラクトのアドレスを、dataフィールドにこのセレクタを含むeth_callリクエストを送信します。
応答には16進数のペイロードが返され、そこにはC2ドメイン、ダウンロード先、あるいはタスク命令が含まれる場合があります。
研究者らは複数の関連サンプルを通じてこのセレクタを特定しており、エンドポイント、プロキシ、ネットワークのテレメトリにおける有効な調査起点(ハンティングピボット)になるとしています。
ローダーのサンプルの一つであるBuild.exeは、UPXでパッキングされたC++製の32ビットPEファイルです。ユーザーのローカルAppDataパスに自身をコピーし、Wmi_Framework_APIKEY_wmsnet_<random>.lnkという形式のランダムな名前を持つスタートアップフォルダのショートカットを作成することで、永続化を図ります。
その後、Polygon RPCエンドポイントと通信し、複数のスマートコントラクトアドレスに命令を問い合わせたうえで、GitHub上にホストされた場所から後続のペイロードをダウンロードします。
ブロックチェーンを利用するこの仕組みは耐障害性には優れているものの、暗号強度自体はさほど高くありません。Aeternumは一部の応答の保護にPBKDF2-HMACとAES-GCMを使用していますが、そのセルフソルト実装は予測可能な値から鍵を導出しています。
コントラクトのアドレスと暗号化された応答は外部の観測者からも取得可能であるため、研究者は鍵導出プロセスを再現し、命令を復号することができました。
Unit 42の研究者らがGBhackersと共有したレポートの中で述べたところによると、Aeternumは「Aeternum C2 BotNet Loader」として売り出されているC++製のWindows向けローダーです。運用者はPolygonのスマートコントラクトに平文または暗号化された命令を書き込みます。
Aeternumがマルウェアの命令を隠蔽する仕組み
あるケースでは、復元された命令は感染システムにファイルの取得を指示するall:url:タスクでした。この弱点は、攻撃者が命令を隠そうとしている場合でも、防御側がその内容を監視できる手がかりを与えてくれます。
DLLとして動作する場合、マルウェアのエントリーポイントであるDllMain()は、まず fwReason の値が1であるかを比較し、正しく呼び出されているかを確認します。
InstallingAntivirus Software
取得されたコンテンツは、より広範なペイロードチェーンを促進する可能性があります。分析の結果、Aeternumローダーの活動は、ハードコードされたボットの認証情報とチャットIDを使ってTelegram Bot APIと通信する悪意あるDotNetZip.dllと関連付けられました。
このDLLはCPU、メモリ、ディスク、GPU、管理者権限のコンテキスト、UACの状態などのホスト情報を収集し、TelegramのsendDocument機能を通じて送信していました。
Telegramとgithubの利用は、悪意ある活動を利用者の多い正規サービスに紛れ込ませるものであり、レピュテーションのみに基づくブロックを困難にしています。
関連する2つ目のサンプルでは、AeternumのPolygonルックアップ機能を利用して、Pastebin上にホストされたXMRig用の設定を取得し、あわせてXWorm RATを展開していました。
報告によれば、このマイナーの設定には回避制御機能が含まれており、監視ツールの動作中はマイニングを一時停止し、特定のセキュリティ関連プロセスや分散コンピューティング関連プロセスを終了させる仕組みになっていました。
同じ攻撃チェーンではHTTP POST通信を通じて暗号化された情報の窃取も行われており、このことは、ブロックチェーンが堅牢な名前解決およびタスク配信レイヤーではあるものの、すべての段階における唯一の伝送経路とは限らないことを示しています。
3つ目のPythonベースの亜種はDBeaverのインストーラーになりすまし、実行前に環境チェックを行っていました。
サンドボックスを示唆するようなユーザー名やホスト名がないかを調べ、少なくとも8GBのメモリを要求し、ダウンロードゾーンのメタデータを確認したうえで、スタートアップによる永続化を作成し、署名済みのWindowsバイナリに対してEarly Bird APCインジェクションを実行していました。
この亜種の認証情報窃取ロジックは暗号資産関連の拡張機能やデスクトップウォレットを標的としており、Telegramが偵察やデータ窃取を支援する役割を担っていました。
防御側にとって、Aeternumは封じ込めの手順そのものを変える存在です。Polygonインフラに対する不審なアウトバウンドJSON-RPC通信、特に0xb68d1809を含むeth_callリクエストを監視し、それらを未署名バイナリ、不審なスタートアップショートカット、GitHub/Pastebinからのダウンロード、Telegram API経由のアップロードと関連付けて分析することが重要です。
不要な公開RPCへのアクセスをブロックまたはアラート対象とすること、エンドポイントの挙動テレメトリを維持すること、そしてコントラクトアドレスや運用者のウォレットの活動を追跡することは、リスクの低減につながります。
ブロックチェーンの永続性は攻撃者にとって運用面での利点となる一方で、防御側にとっては攻撃者側のインフラの変更履歴という、異例なほど耐久性の高い記録を残すことにもなります。
侵害指標(IOC)
| 種別 | 値 | 説明 |
| SHA256ハッシュ | 5bfb25b8255b61e5ffdf6804451534bcfa9f1dfd225e6c8cdcefb5f50d846898 | Aeternum C++ローダー実行ファイル |
| SHA256ハッシュ | 1505eda3da68e2ff9919b55a31018bd30a991236f041aee835f3bc4e430ce505 | ダウンロードされた悪意ある DotNetZip.dll |
| ファイル名 | DotNetZip.dll | ローダーが実行する悪意あるペイロード |
| ファイル名 | putty.exe | テスト/ステージング用にダウンロードされた無害なファイル |
| ファイル名 | Wmi_Framework_APIKEY_wmsnet_<random_value>.lnk | 永続化用のスタートアップリンク |
注: IPアドレスおよびドメインは、誤った名前解決やハイパーリンク化を防ぐため、意図的に無害化表記(例: [.])にしています。再有効化(re-fang)は、MISP、VirusTotal、あるいは自組織のSIEMなど、管理されている脅威インテリジェンスプラットフォーム上でのみ行ってください。
[ライブウェビナー] ElasticとUnderDefenseが共同開催するウェビナーで、小規模なセキュリティチームがAIによる可視化とエージェント型対応をどのように単一の運用モデルへ統合できるかをご紹介します。 -> 今すぐ登録
InstallingSecurity Systems
翻訳元: https://gbhackers.com/aeternum-hides-malware-commands/
