研究者らは、実行ファイルのヘッダーを破損させながらファイルをディスクに書き込むなど、複数の低ノイズ手法を用いて検知を回避するWindows向けのカスタムバックドアを発見しました。
このマルウェアは、不審なWMI永続化メカニズムを調査する過程で、1台の64ビットWindows 7企業向けワークステーション上から見つかったものです。
バックドアはRealtekのオーディオソフトウェアを装い、Realtekという名前のWMIイベントサブスクリプションを使って毎日19時50分に起動していました。
ペイロードはRtkNGUI64.exeという名前で、Realtekを模したパス配下に配置され、Realtekのオーディオコントロールパネルの正規名を使用していました。
このマルウェアはわずか12KBと小さく、備えるコマンドも限られたものでした。しかし、その設計は、オンアクセススキャンの回避、文字列の隠蔽、コマンド＆コントロール(C2)設定の秘匿に細心の注意が払われていることをうかがわせるものでした。
研究者らは、既知の脅威グループとの明確な関連は確認できなかったとしています。このバックドアは監視対象システムのうち1台のみで発見され、公開リポジトリに一致するサンプルもなく、独自の設定形式を使用していました。
これらの特徴は標的型侵入であることを示唆していますが、初期侵入経路や攻撃者の正体は依然として不明です。
このバックドアは、C2ドメインを平文、暗号化データ、あるいはエンコードされたBLOBとして保存していませんでした。代わりに、C:\ProgramData配下にあるdesktop.iniファイルの各行に配置されたスペースの数にアドレスを隠していました。
マルウェアはファイル名を\DESKTOP.とiniという2つの断片に分けて構築します。この2つの断片は無関係なコードによって分離されているため、desktop.iniという完全な文字列は実行ファイル内に直接は現れません。
これにより、単純な文字列ベースの検知の有効性が下がる可能性があります。ファイルを開いた後、マルウェアは通常のWindowsのdesktop.iniヘッダーに一致する最初の174バイトをスキップします。
続いてUTF-16LEのテキストを読み込み、各行のスペースの数を数えます。それぞれの数は1文字のASCII値を表します。
例えば、スペース100個は文字d、スペース105個はi、スペース97個はaを表します。空白のみで構成された10行から文字列diagrtrackが再構築され、その後マルウェアは.comを付加してC2ドメインdiagrtrack[.]comを生成します。
このドメインは、Windowsの「Connected User Experiences and Telemetry」サービスであるDiagTrackを模倣したものです。この命名により、インフラがWindows関連のものであるように見せかけつつ、マルウェアがWindowsシェル設定ファイルを利用している点とも整合性が取れています。
また、このマルウェアは一風変わったWMI永続化手法も用いています。__EventFilterがWin32_LocalTimeを監視し、19時50分にのみペイロードを起動します。WMIサブスクリプションは再起動後も維持されるため、インプラント自体は永続化されますが、システム起動時に自動的には実行されません。gendigitalはそう述べています。
注: 誤って名前解決やハイパーリンク化されるのを防ぐため、IPアドレスとドメインは意図的に無害化表記（例: [.]）としています。再度有効な形式に戻す場合は、MISP、VirusTotal、SIEMなど管理されたスレットインテリジェンス基盤内でのみ行ってください。
ANY.RUNのブラウザ内データ検査で、検知・調査・対応をより迅速に。フィッシングの可視性を完全に確保し、SOCを強化してMTTRを削減しましょう
翻訳元: https://cyberpress.org/pe-corruption-evades-scanners/
