セキュリティ研究者らは、Aeternumと呼ばれるC++ベースのボットネットローダーを発見しました。このマルウェアは、コマンド&コントロール(C2)命令をホストするためにPolygonブロックチェーンを利用します。
従来のサーバーやドメインに依存する代わりに、このマルウェアはスマートコントラクトからコマンドを取得するため、通常のテイクダウン手法では活動を阻止しにくくなっています。
スマートコントラクトとは、ブロックチェーン上に保存・実行されるプログラムです。Aeternumの場合、攻撃者はこれらのコントラクトを、感染デバイス向けの分散型「デッドドロップ」サービスとして利用しています。
このマルウェアはPolygonの公開JSON-RPCエンドポイント(Remote Procedure Call)にリクエストを送信し、コントラクトの値を読み取ったうえで、命令やC2ドメインを取得します。
この仕組みにより、攻撃者は堅牢かつ低コストなインフラを手に入れることができます。セキュリティチームが悪意あるドメインやサーバーを1つブロックしたとしても、攻撃者は別のスマートコントラクトに保存された情報を更新するだけで、感染済みマシンを新たな宛先へリダイレクトできます。
このキャンペーンでは、セキュリティツールを回避するために、解析対策のチェックや仮想マシン検知、アンチウイルス検出も行われています。
Aeternumの主要ローダーは、UPXでパックされた32ビットのWindows実行ファイルで、C++で書かれています。ユーザーのAppDataディレクトリに自身をコピーし、偽装したWindowsスタートアップショートカットを作成することで永続化を実現します。これにより、デバイスが再起動するたびにマルウェアが再度実行される仕組みです。
実行されると、AeternumはRPCサービスにPolygon経由でアクセスし、getDomain()メソッドに紐づく0xb68d1809関数セレクタを使ってスマートコントラクトに問い合わせます。
その応答には、暗号化された、あるいは平文のコマンドが含まれる場合があります。研究者らは、感染システムにリモートURLからファイルをダウンロードさせるコマンドを1件確認しています。
このローダーは、ブロックチェーン経由で配信される一部のコマンドを保護するために、脆弱な暗号方式を使用しています。PBKDF2HMACとAES-GCMを利用してはいるものの、パスワード自体をソルトとして使い回しており、これは重大な設計上の弱点です。
コントラクトアドレスと暗号化されたペイロードが入手可能であるため、アナリストは隠された命令を復元することができます。
ある事例では、Aeternumは正規のPuTTYインストーラーとともに、GitHubリポジトリでホストされている悪意あるDotNetZip.dllファイルをダウンロードしていました。
この悪意あるDLLはシステム情報を収集し、Telegram API経由でハードコードされたTelegramボットに送信していました。窃取された情報には、CPU、RAM、ディスク、GPU、管理者権限の有無、Windowsユーザーアカウント制御(UAC)の状態が含まれます。
研究者らはまた、Aeternumが持つPolygonベースのC2システムを利用して、XWormリモートアクセス型マルウェア、XMRig暗号資産マイナー、そして情報窃取コンポーネントを展開する関連マルウェアの検体も特定しています。
この検体はブロックチェーンからPastebinのURLを取得し、そこからマイニングプール、ウォレットアドレス、CPU設定などを含むXMRigの設定データが配信されていました。
このマイナーには、システム監視ツールが起動された際に自身を一時停止する機能や、セキュリティ製品に関連するプロセスを終了させる機能が備わっていました。この挙動により、リソース使用状況を隠しつつ、マイニングのためにCPU能力を温存できるとunit42は述べています。
注記: IPアドレスおよびドメインは、誤った名前解決やハイパーリンク化を防ぐため、意図的に無害化表記([.]など)しています。再度有効な形式に戻す作業は、MISP、VirusTotal、SIEMなど管理された脅威インテリジェンス基盤上でのみ行ってください。
ANY.RUNのブラウザ内データ検査で、検知・調査・対応をより迅速に-> ANY.RUNでSOCを強化
翻訳元: https://cyberpress.org/aeternum-botnet-uses-polygon/
