中国語圏のサイバー犯罪集団「UAT-10147」が、世界各地の脆弱なWindowsおよびLinux Webサーバーを標的にBadIISマルウェアを展開し、データを窃取した上で検索エンジンの表示結果を不正操作し、金銭的利益を得ていることが分かりました。
アンチマルウェアソフトウェア
Talosはブラジル、ボリビア、中国、カナダ、ベトナムで被害を確認しており、対象は政府機関、教育機関、メディア、テクノロジー企業、ゲーム関連組織など多岐にわたります。
運用上のセキュリティミスにより、攻撃者のダウンロードサーバー139.180.197[.]150が露見しました。研究者はここで公開ディレクトリと、約17万件のURLからなる標的リストを発見しています。
この集団はリストを約1万件ずつ、17個のファイルに分割していました。これは、インターネットに公開されたインフラを組織的かつ大規模に特定・悪用していることを示しています。
初期侵入は主に、公開済みのリモートコード実行(RCE)の脆弱性の悪用に依存しています。
Talosは今回の活動を、Zimbraの脆弱性CVE-2022-27925、AjaxProのCVE-2021-23758、NacosのCVE-2021-29441およびCVE-2021-29442、Telerik UI for ASP.NET AJAXのCVE-2019-18935の悪用と関連付けています。
Nacosの悪用活動は特に注目に値します。攻撃者は基本的なホストのテレメトリ情報を収集し、攻撃者が制御するNacos設定サービスへ送信できるため、騒がしい対話型シェルを維持しなくても侵害の成功を確認できるからです。
Cisco Talosの研究者によると、今回のキャンペーンは犯罪的なWebサーバー攻撃活動における注目すべき進化を示しています。攻撃者は公開されている脆弱性と、AIを活用したエクスプロイト開発・検証・偵察・永続化とを組み合わせているのです。
UAT-10147によるWebサーバー侵害の手口
Windows IIS サーバーでは、UAT-10147はリモートコード実行に成功した後、段階的に構成されたバッチスクリプトを実行するのが一般的です。このスクリプトはcertutilを使ってペイロードを取得します。取得されるものには、権限昇格用のEfsPotatoや、svchosts.exeに偽装したQuasarRATが含まれます。
権限昇格後、攻撃者はPowerShellとレジストリの変更を通じてSystem32\inetsrvおよびSysWOW64\inetsrvをMicrosoft Defenderの除外対象に追加します。これにより、BadIISモジュールが展開されるIISディレクトリ周辺に検知の死角を作り出します。
その後、この集団はappcmdを通じてIISサイトを列挙します。これはおそらく最も価値の高い注入ポイントを特定するためとみられます。さらに、Administratorグループおよびリモートデスクトップユーザーグループに所属する不正なローカルユーザーを作成することで、長期的なアクセスを確立できます。
Talosはまた、「Google Chrome Start」を装ったスケジュールタスクによる永続化も観測しています。これはユーザーのログオン時に最高権限でマルウェアを起動するよう設定されていました。
アンチマルウェアソフトウェア
Linuxでは、脆弱なアプリケーションを悪用した後にWebシェルを展開し、続いて既知の脆弱性を幅広く組み合わせてローカル権限昇格を試みます。対象にはDirty Pipe(CVE-2022-0847)、Baron Samedit(CVE-2021-3156)、CVE-2022-0995が含まれます。
root権限でのアクセスを獲得すると、NoodleRAT、Meterpreter、そしてSPECTREといったインプラントの展開が可能になります。SPECTREはクロスプラットフォーム対応のバックドアで、Talosによれば、C2(コマンド&コントロール)通信、認証情報の窃取、プロセスインジェクション、解析回避機能、そしてLinuxルートキットやBYOVD(Bring Your Own Vulnerable Driver)関連の機能に対応しているといいます。
BadIISはこの攻撃活動における収益化モデルの中核を担っています。このIIS標的型マルウェアは、トラフィックのリダイレクト、クローラーへの応答の改ざん、コンテンツの乗っ取り、バックリンクの注入が可能で、リバースプロキシ機能を利用して検索順位を操作し、ユーザーを不正なサイトへ誘導します。
Talosはこれまでにも、BadIISの一部の亜種を、中国語圏の犯罪者間で提供または共有されるコモディティマルウェアと評価しています。設定可能なビルダーによってSEO不正操作の展開が効率化されている点も特徴です。
UAT-10147を特徴づけているのは、エージェント型AIツールの活用です。
Talosは、エクスプロイトを洗練させ、ファイルシステムの権限を確認し、帯域外コールバックを通じてViewStateのリモートコード実行を検証し、インプラントを展開し、Webシェルを作成する、AI生成のプレイブックとPython自動化スクリプトを発見しました。
攻撃者はMetasploit、ysoserial、PentestGPT、DeepAuditといったツールも使用しており、これによって侵害後の作業に通常伴う手作業の負担を軽減し、大規模かつ反復可能な侵入を可能にしています。
防御側にとって、今回のキャンペーンは以下の対応の必要性をあらためて浮き彫りにしています。公開されているWebアプリケーションを迅速にパッチ適用すること、IISモジュールとDefenderの除外設定を監査すること、想定外のスケジュールタスクや権限を持つローカルアカウントを調査すること、そしてcertutil、PowerShell、appcmd、不審な外部向けコールバックを注意深く監視することです。
また組織は、特定されたCVEに対する悪用の試みがないかWebサーバーのログを確認し、不正なASHXハンドラー、改ざんされたIIS設定、異常な検索エンジンクローラーの挙動がないか調査することも推奨されます。
★ 削減すべきセキュリティツールはどれか?1ページでスコアリング – 「継承されたセキュリティスタック」ガイドをダウンロード
クラウドセキュリティサービス
翻訳元: https://gbhackers.com/uat-10147-compromises-web-servers/
