PATCHCORDのインフラがリモートコマンド用SuperShell C2とウェブシェル管理をホスト

アフガニスタンの通信事業者と南アジアの重要インフラを標的とする新たなスパイ活動が発覚し、カスタム実装、なりすまし配信ポータル、クラウドを利用したコマンド&コントロール(C2)チャネルによって構築された多層的な攻撃者エコシステムが明らかになりました。

このキャンペーンはセクター特化型のソーシャルエンジニアリングの誘い文句から始まりました。その中には、アフガニスタン電気通信公社(Afghan Telecom)の通信管理ソフトウェアを装ったZIPアーカイブに偽装して配布された、悪意あるInno SetupパッケージTMS_AfghanTelecom.exeが含まれていました。

このインストーラーのメタデータ、発行元文字列、ポータルURLは正規のAfghan Telecom環境を模倣するよう作り込まれており、攻撃者が意図した被害者層に合わせて欺瞞工作を調整していたことがうかがえます。

起動されると、PATCHCORDはMicrosoft Edge、Google Chrome、Mozilla Firefoxのブラウザショートカットを乗っ取ることで永続化を確立します。

正規のブラウザショートカットのターゲットを自身の実行ファイルに置き換える一方で、元のブラウザパスを引数として保持し、想定されたアイコンもそのまま維持します。

ユーザーがブラウザを起動すると、まずマルウェアが実行され、疑念を持たれないよう本物のアプリケーションを起動したうえで、バックグラウンドでの活動を続けます。

アンチウイルスとマルウェア

その後、PATCHCORDはホストの情報収集(フィンガープリンティング)を行い、ホスト名、ユーザー名、OSバージョン、プロセスID、実行ファイルパス、プロセス名などの詳細情報を収集します。

そして、ハードコードされたC2ドメインappstoore[.]solutionsに被害者を登録します。このドメインはTCPポート8080上のIPアドレス46.30.188[.]13に紐づいていました。

このインプラントは/api.jspをポーリングしてコマンドを取得し、Beacon/1.0.0というユーザーエージェントを使用して、接続・送信・受信のタイムアウトはいずれも30秒に設定されています。

特に注目すべきはリモートアクセス機能です。PATCHCORDはビーコンの送信間隔を変更したり、実行中のプロセスを列挙したり、cmd.exe /cを通じて任意のコマンドを実行したり、ブラウザ乗っ取りによる永続化をリモートで管理したりすることができます。

さらに、オペレーターから提供されたシェルコードをデコード・復号し、VirtualAllocで実行可能メモリを確保し、ペイロードをディスクに書き込むことなくCreateThread経由で実行することも可能です。

このメモリ内のみで完結する実行チェーンにより、オペレーターはディスク上に痕跡をほとんど残さずに後続のツールを展開できる手段を手にしています。

Acronis Threat Research Unit(TRU)は、このWindows向けコアバックドアをPATCHCORDとして追跡しています。そのうえで、この活動が脅威クラスターAPT36(別名Transparent Tribe)と重複するとの評価を、中程度の確度で示しています。

インフラの分析により、PATCHCORDのサーバーは、Metasploitの痕跡、認証情報窃取ツール、ブルートフォース用素材、CVE-2024-6387(通称regreSSHion)向けのエクスプロイトツール、さらに複数のRATおよびC2プロジェクトを含む、外部に露出したステージング環境と関連付けられました。

PATCHCORDのインフラがSuperShellをホスト

regreSSHion用ツールの存在は運用面で重要な意味を持ちます。脆弱でインターネットに露出したOpenSSHの展開環境は、エンドポイントマルウェアを展開する前段階として、通信事業者、政府機関、その他の高価値環境への初期アクセス経路を提供しうるからです。

アンチウイルスとマルウェア

最も重要な発見の一つは、ステージングインフラ上に存在していた、オープンソースの中国語C2・ウェブシェル管理プラットフォームであるSuperShell v2.0.0でした。

SuperShellは、ブラウザからアクセス可能なリモートコマンド実行、ファイル管理、リバースシェル機能、そして共同でのC2運用を提供します。

そのログインインターフェースはポート443経由でインフラ上に露出しており、一方で関連するSuperShellの痕跡は、別のホストのポート8080上でも観測されました。

Acronisは、Kasperskyが以前SilverFox/ValleyRATの活動に関連付けたサーバーとのインフラの重複を発見しましたが、この重複が両者のグループ間の連携や帰属を裏付けるものではない点を強調しています。

このキャンペーンはPATCHCORDにとどまりません。NICを装った偽ポータルnic-support[.]siteは、「国防省職員の情報漏えいに関する更新情報」を装って、Go言語製の後継マルウェアSHEETCORDを配布していました。

SHEETCORDはPowerShellコマンドを実行し、Startupフォルダ内のVBScriptとRunキーを通じて永続化を確立します。ブラウザショートカットの乗っ取りでは6種類のブラウザを標的とし、ハードコードされたサービスアカウント認証情報を使ってGoogle Sheets APIを利用し、被害者ごとにタブを作成してタスク割り当てと応答収集を行います。

3つ目のインプラントであるHACKERAI C2 Agentは、タスク割り当てとデータ持ち出しにGitHub Gistsを利用します。カスタムHTTP、Google Sheets、GitHub Gistsという各チャネルを組み合わせている点は、オペレーターがネットワーク検知を困難にするためC2の通信経路を積極的に多様化させていることを示しています。

防御側にとって優先すべき対策としては、判明したドメインおよびIPアドレスのブロックと調査、ブラウザショートカットの改変状況の確認、不審なRunキーの値やStartupフォルダ内のスクリプトの探索、そしてエンドポイントからの異常なGoogle Sheets APIやGitHub Gistsの活動の監視が挙げられます。

IOC(侵害指標)

注: IPアドレスおよびドメインは、誤った名前解決やハイパーリンク化を防ぐため、意図的に無害化表記(defang、例: [.])としています。再度有効な形式に戻す作業は、MISP、VirusTotal、SIEMなど管理された脅威インテリジェンスプラットフォーム内でのみ行ってください。

[ライブウェビナー] ElasticとUnderDefenseが共催するウェビナーにご参加ください。小規模なセキュリティチームがAIの可視性とエージェント型対応を一つの運用モデルに統合する方法を学べます。 -> 今すぐ登録