Aeternumと名付けられた新種のマルウェア活動が、Polygonブロックチェーンをコマンド&コントロール(C2)チャネルとして利用していることが確認されました。これにより、従来のボットネットよりもインフラの除去が困難になっています。
感染デバイスは単一のサーバーやドメインに依存せず、パブリックブロックチェーン上にホストされたスマートコントラクトから命令を取得します。
スマートコントラクトとは、ブロックチェーン上に保存され、データの保持と返却が可能なプログラムです。Aeternumはこの機能を悪用し、暗号化または平文のC2コマンドを保存しています。
ブロックチェーンのデータは多数のパブリックノードに分散しているため、防御側は単一のサーバーを押収するだけでは活動を停止させることができません。
このマルウェアは、JSON-RPCリクエストを使ってPolygonのリモートプロシージャコール(RPC)の公開エンドポイントに接続します。
関数セレクタ0xb68d1809を用いてスマートコントラクトに問い合わせを行います。これはgetDomain()メソッドに紐づいたものです。応答には、暗号化されたペイロード、平文コマンド、または次段階のインフラへのURLのいずれかが含まれます。
この設計により、攻撃者は低コストで耐障害性の高いデッドドロップ型のリゾルバーを手に入れています。運用者はスマートコントラクトに新しい値を書き込むだけでC2情報を更新でき、感染システム側はパブリックブロックチェーンサービスへの問い合わせを続けることで最新の命令を受け取り続けます。
Aeternumの主要なローダーは、UPXでパックされた32ビットWindows実行ファイルで、C++で書かれています。自身をAppData\Local配下のフォルダにコピーし、Windowsのスタートアップディレクトリにショートカットを作成することで永続化を図ります。
このショートカットには、Wmi_Framework_APIKEY_wmsnet_<random>.lnkのような紛らわしいファイル名が使われます。
主要な処理を実行する前に、このマルウェアはアンチウイルス製品、デバッガー、仮想マシンを検知するための複数のチェックを行います。こうしたチェックは、攻撃者が自動化されたサンドボックスやセキュリティ研究者の目を逃れる助けとなります。
ローダーはXOR難読化で隠された設定文字列を復号します。これらの文字列には、Polygon RPCエンドポイント、ファイル拡張子、HTTPヘッダー、スマートコントラクトのメソッド、C2関連のコマンドが含まれます。
その後、PolygonのエンドポイントにHTTP POSTリクエストを送信し、コントラクトに命令を求めます。
研究者らは、このローダーの暗号化が脆弱であることを発見しました。PBKDF2HMACとAES-GCMを使用しているものの、パスワードがソルトとしても使い回されているのです。
この予測可能な設計により、コントラクトアドレスと暗号化されたペイロードが分かれば、アナリストはコマンドを復元できます。
復号されたコマンドの一つは、感染ホストにリモートの場所からファイルをダウンロードするよう指示するものでした。あるケースでは、このマルウェアは正規のPuTTYインストーラーを、GitHubでホストされたリポジトリから悪意のあるDotNetZip.dllファイルと共にダウンロードしていました。
この正規ファイルはおとりまたはステージング用のコンポーネントとして機能し、実際の悪意ある活動はDLLが担っていると見られます。
このDLLは、ハードコードされたボット情報を使ってTelegramのAPIと通信します。CPU、RAM、ディスク、GPU、管理者権限、ユーザーアカウント制御(UAC)の状態など、システム情報を収集します。
スクリーンショットの取得も可能で、収集したデータはTelegramのsendDocument APIメソッドを通じて送信されます。
GitHub、Telegram、パブリックブロックチェーンのRPCエンドポイントといった正規サービスを利用することで、攻撃者は通常のWebトラフィックに紛れ込むことができます。
また、防御側は単一の不審なドメインをブロックするだけでは対応できず、リクエストの挙動や内容そのものを精査する必要に迫られると、Unit 42は指摘しています。
注記: IPアドレスおよびドメインは、誤った名前解決やハイパーリンク化を防ぐため、意図的に無害化表記([.]など)しています。再度有効な形式に戻す作業は、MISP、VirusTotal、あるいは自組織のSIEMなど、管理された脅威インテリジェンス基盤内でのみ行ってください。
ANY.RUNのブラウザ内データ検査機能で、検知・調査・対応をより迅速に。フィッシングの可視性を高め、SOCを強化しMTTRを削減しましょう
翻訳元: https://cyberpress.org/aeternum-botnet-exploits-polygon/
