Mustang Pandaとしても知られるHoneyMyte APTグループが、CoolClientバックドアをカーネルモードのルートキットで強化していることが判明しました。これにより、侵害されたWindowsシステム上でコマンド&コントロール(C2)インフラを隠蔽できるようになりました。
この新機能は、これまで主にユーザーモードのスパイ活動用ツールとして知られていたこのマルウェアにとって大きな転換点となります。CoolClientは、アジアおよびロシア各地の組織を標的としたHoneyMyteのキャンペーンとの関連が確認されています。
このバックドアは、キーロギング、クリップボード窃取、認証情報の収集、ファイル操作、システム偵察、そしてプラグインによる機能拡張に対応しています。直近ではミャンマー、モンゴル、パキスタン、ロシアで攻撃が確認されており、政府機関を標的にしたケースも含まれています。
研究者らによると、HoneyMyteは侵害後の初期インプラントとしてPlugXを使用することが多いとされています。その後、PlugXがCoolClientと関連ファイルの展開を支援します。
マルウェアをインストールする前に、攻撃者は偽のWindows Defenderディレクトリと、defender.exeという名前にリネームされた実行ファイルに対してMicrosoft Defenderの除外設定を追加します。
攻撃者はC:\Program Files\Microsoft\Windows Defender\のようなディレクトリにファイルをコピーし、正規のインストールに見せかけます。
さらに、通常Sang.exeという正規のSangfor製アプリケーションを悪用し、defender.exeにリネームしたうえでDLLサイドローディングに利用します。この信頼された実行ファイルが起動すると、悪意のあるDLLであるlibngs.dllが読み込まれます。
CoolClientは、スケジュールされたタスクとgoopdateという名前のAutoRunレジストリエントリを通じて永続化を実現します。
このスケジュールタスクは、システム起動時に偽のDefender実行ファイルをSYSTEM権限で起動できます。これにより、マルウェアは再起動後も生き延び、高い権限で動作し続けます。
この感染プロセスは複数のコンポーネントで構成されており、それぞれ異なる役割を担っています。正規のSangforプログラムがサイドローダーとして機能する一方、libngs.dllは第一段階のローダーとして動作します。これがメモリ上で直接、第二段階のペイロードであるloadcert.iniを復号します。
第二段階のコンポーネントは、永続化、権限チェック、プロセスインジェクション、ドライバの展開、そして最終インプラントであるcert.iniの読み込みを担当します。
このコンポーネントはsynchost.exeという名前のプロセスにインジェクションを行います。この名前は正規のWindowsプロセスsvchost.exeと酷似しており、うっかりした確認では見逃されかねません。
CoolClientはmedia_updatenという名前のWindowsサービスとして自らをインストールすることもできます。この手法を実行する前に、360 Total Securityのエンドポイントソフトウェアが稼働しているかどうかを確認します。
管理者権限を取得している場合、このマルウェアは親プロセスIDの偽装と合わせてRPCベースのUACバイパス技術を使用することがあります。これにより、権限昇格されたCoolClientプロセスが、信頼されたWindowsプログラムによって起動されたかのように見せかけられます。
十分な権限を取得した後、CoolClientはmsagent.sysという名前の署名済みカーネルドライバを展開してインストールします。
このドライバはサービスとして登録され、Windowsカーネルに読み込まれます。その後、CoolClientはDeviceIoControlリクエスト(IOCTLとも呼ばれます)を通じてこのドライバと通信します。
観測された攻撃では、3つのIOCTLコマンドが中心的な役割を果たしています。1つ目はCoolClientプロセスを信頼済みとして登録するものです。2つ目は設定済みのC2 IPv4アドレスをドライバに渡します。3つ目は、ドライバが保護または隠蔽すべきパスとレジストリの場所を送信するものだと、securelistは述べています。
注: IPアドレスおよびドメインは、意図的に無害化表記(例: [.])にしています。誤って名前解決やハイパーリンク化されるのを防ぐためです。無害化解除は、MISP、VirusTotal、ご利用のSIEMなど、管理された脅威インテリジェンスプラットフォーム内でのみ行ってください。
ANY.RUNのブラウザ内データ検査で、検知・調査・対応をより迅速に。完全なフィッシング可視化でSOCを強化し、MTTRを削減しましょう
翻訳元: https://cyberpress.org/honeymyte-rootkit-hides-c2/
