中国と関連のある脅威アクターが、政府の招待状に見せかけた文書と仮想ハードディスク(VHD)ファイルを使い、ミャンマー政府および外交関係者を狙った標的型マルウェアキャンペーンを展開していることが判明しました。
Seqriteの研究者はこの活動を「Operation QUICSILVER」と命名し、QUICAgentと呼ばれるGolang製のカスタムバックドアを特定しました。
このキャンペーンでは、ミャンマー運輸通信省傘下の情報技術・サイバーセキュリティ局を装ったビルマ語のおとり文書が使用されています。
おとり文書の一つは、政府の研修プログラムの修了式への招待状を装ったもので、いかにも本物らしい省の公印まで添えられています。
研究者らは、この作戦がミャンマーの政府機関やIT部門の関係者を狙ったものと見ています。また、削除済みファイルの復元内容からは、攻撃者がASEAN、BIMSTEC、国連会議、マレーシア、中国、そしてミャンマーの外交案件に関心を持っている可能性がうかがえます。
攻撃はTrainingAnnouncement.jpgという名前のファイルから始まりますが、これは実際には画像ファイルではありません。JPG拡張子を偽装したVHDファイルです。これをマウントすると、被害者にはTrainingAnnouncement.pdfという名前のPDFファイルのように見えるものが表示されます。
しかし実際のところ、このファイルは悪意のあるWindowsショートカットTrainingAnnouncement.pdf.lnkです。Windowsは既知の拡張子を隠す仕様になっていることが多いため、被害者にはPDFアイコンしか見えず、安全なファイルだと思い込んでしまう可能性があります。
このLNKファイルを開くと、Microsoftの署名付きの正規ツールであるftp.exeが起動します。このユーティリティの-s:オプションを悪用し、_という名前のローカルスクリプトに保存されたコマンドを実行する仕組みです。この手法により、マルウェアはWindowsの通常の動作に紛れ込むことができます。
このスクリプトは正規のビルマ語おとり招待状を開く一方で、密かに_relsディレクトリ内にある2つの隠しファイル、header.docとbody.docを探し出します。
そして、Windows標準のcopy /bコマンドでこれらのファイルを結合し、被害者の%LOCALAPPDATA%フォルダ内にWindowsupdate.exeを作成します。スクリプトはその後、再構成されたばかりのペイロードを実行します。Seqriteは、VHDのごみ箱ディレクトリ内からも削除済みファイルを発見しています。
これらのファイルには、BIMSTEC、ミャンマー外務省、マレーシアや中国の政治情勢に言及した資料など、外交・政策関連のテーマを扱った文書が含まれていました。
これらのファイルが攻撃に直接使用されたわけではありませんが、攻撃者が関心を寄せている可能性の高い諜報対象を示す手がかりとなっています。最終的なペイロードであるWindowsupdate.exeは、Go 1.20でビルドされた64ビットバイナリで、バックドアとして機能します。
QUICAgentは実行を100~600ミリ秒遅延させ、SHA-256ハッシュ演算を1,000回実行しますが、これは自動解析環境での検知を回避する狙いがあるとみられます。
このマルウェアは、Cloudflare WorkersのURL経由で実際のコマンド&コントロールサーバーの情報を取得します。
解析中、あるエンドポイントはregister[.]mediumser[.]comを返し、これは104[.]64[.]211[.]22に解決されました。QUICAgentはその後、UDPポート443上のQUICとHTTP/3のPOSTリクエストを使ってサーバーと通信すると、Seqriteは述べています。
注: IPアドレスおよびドメインは、誤って名前解決やハイパーリンク化されるのを防ぐため、意図的に無効化表記（例: [.]）としています。再度有効な形式に戻す際は、MISP、VirusTotal、SIEMなど管理された脅威インテリジェンス基盤の中でのみ行ってください。
ANY.RUNのブラウザ内データ検査で、検知・調査・対応をより迅速に-> ANY.RUNでSOCを強化
翻訳元: https://cyberpress.org/china-linked-quicagent-targets-diplomats/
