この攻撃は最終的にリモートアクセス型トロイの木馬を正規のWindows関連プロセスの内部に隠し、通常のエンドポイント活動に紛れ込ませます。
このキャンペーンでは、恐怖心と緊急性につけ込むよう設計された「Resolución Denuncia Jurídica(法的告訴の決定)」という偽の法的通知を誘い文句として使用します。被害者は、一見無害に見えるものの実際にはJavaScriptが埋め込まれたSVG添付ファイル付きのフィッシングメールを受け取ります。
開くと、このSVGはユーザーをコロンビアの司法ポータルを装った偽サイトへ誘導し、DOC-16-ENE-2026 RESOLUCION DENUNCIA JURIDICA.7zという名前のパスワード保護されたアーカイブを作成します。
このJavaScriptは二重にBase64エンコードされており、Blobオブジェクトを使ってブラウザ上でアーカイブを再構築します。
これはHTMLスマグリングと呼ばれる手法の一種で、悪意あるコンテンツを、実行ファイルよりもメールセキュリティ対策をすり抜けやすいファイル形式の中に隠すものです。
このアーカイブには、おとり用の実行ファイル、補助的なDLLファイル、そして隠されたマルウェアチェーンが含まれています。ローダーは正規の圧縮技術であるBrotliに関連する名前を使用しており、libbrotlidec.dllやlibbrotlienc.dllなどが該当します。
これらの名前により、被害者やアナリストから見て怪しまれにくくなっています。被害者がおとり用の実行ファイルを起動すると、Windowsは必要なDLLをローカルディレクトリから探し出そうとします。
マルウェアはこの挙動を悪用し、実行ファイルの隣に悪意あるDLLを配置します。すると正規のBrotliライブラリの代わりに、攻撃者が用意したバージョンが読み込まれてしまいます。
この手法はDLLサイドローディングとして知られており、信頼されたアプリケーションを装いながら悪意あるコードを実行させることを可能にします。
その後、ローダーはユーザープロファイル内にフォルダを作成し、自身と依存ファイルをそこにコピーして、バッチスクリプトを書き込みます。レジストリのRunキーを通じて永続化を確立し、ユーザーがログインするたびにマルウェアが再起動するようにします。
実行時には、ローダーが.rdataセクションに格納された埋め込みペイロードを復号します。
復号されたデータには標準的なMZヘッダーとPEヘッダーが含まれており、Windows実行ファイルがメモリ上で直接再構築されたことを裏付けています。これにより、ディスクに書き込まれる不審なペイロードの量が減らされます。
ペイロードの復号後、マルウェアはAddInProcess32.exeを一時停止状態で起動します。CreateProcessInternalW、WriteProcessMemory、Wow64GetThreadContext、Wow64SetThreadContext、ResumeThreadといったWindows APIを使用し、正規のプロセスコードを自身のコードに置き換えます。
このプロセスホロウイングという手法により、セキュリティツールからは悪意あるペイロードが通常の信頼済みプロセスであるかのように見えてしまいます。
AddInProcess32.exeはプロセス一覧上には表示され続けますが、そのメモリ内容は元の命令ではなくDCRatのコードに置き換わっています。最終的に展開されるDCRatペイロードは、コンパクトな.NETクライアントスタブです。
このスタブは分析回避のためのチェックを実行し、サンドボックス環境を見破られないよう実行を遅延させ、DcRatMutex_qwqdanchunという名前のミューテックスを作成し、AMSI保護を回避したうえで、永続化の維持を試みます。
さらにハードウェア識別子を収集し、実行時にAES-256を使って設定情報を復号するとTrellixは報告しています。
注: IPアドレスおよびドメインは、意図的に無害化表記([.]など)にしています。誤ってアクセスしたりリンク化されたりするのを防ぐためです。再度有効な形式に戻す場合は、MISP、VirusTotal、SIEMなど管理された脅威インテリジェンス基盤内でのみ行ってください。
ANY.RUNのブラウザ内データ検査で、検知・調査・対応をより迅速に。フィッシングの全体像を完全に把握し、SOCを強化してMTTRを短縮しましょう
翻訳元: https://cyberpress.org/dcrat-hides-inside-windows/
