Core Werewolfは、独自開発の新しいリモートアクセス型トロイの木馬（RAT）「CoreRAT」を使い、ロシアの公共部門および防衛関連組織を標的にしています。
このマルウェアを使えば、攻撃者は感染したWindowsシステムを広範囲にわたって操作できます。コマンドの実行、情報の収集、ペイロードのダウンロード、さらに作戦終了後には証拠の消去まで可能です。
この一連のキャンペーンは、現在進行中の地政学的緊張と関連しているとみられます。攻撃グループは正規のリモートアクセスソフトウェアであるUltraVNCに頼るのではなく、C++ベースの独自RATを展開しました。
この変更により、既知のリモート管理ツールを対象としたセキュリティ検知を回避できる可能性があり、攻撃者のマルウェア開発能力が向上していることがうかがえます。
Core Werewolfはこれまで、比較的小規模な独自バックドアを使用していましたが、CoreRATは同グループにとって初の本格的なリモートアクセス型トロイの木馬です。偵察、コマンド実行、ファイル転送、ネットワーク探索、自己削除といった機能を備えています。
攻撃者は、軍事・行政・政府関連の文書を装ったフィッシングの誘い文句を用いていました。
実行ファイルの名称にはロシア語が使われているものが複数あり、再教育訓練の通知やパスポート関連の書類、指示書など、公式な通信文を装うように作られていました。
研究者は、主に2つの配布手法を確認しました。1つは7z自己解凍アーカイブ（7zSFX）を用いたドロッパー、もう1つはRustベースのドロッパーです。いずれの手法でも、一見正規に見えるおとりのPDFがCoreRATのペイロードとともに含まれていました。
7zSFXドロッパーは、デスクトップやダウンロード、ドキュメントといった一般的なユーザーフォルダにPDFファイルをコピーします。それと同時に、ユーザーのLinksフォルダ内にFirepoin.exe、Baresl.exe、LiteEdit.exeといったファイル名でCoreRATを配置します。
続いてドロッパーがマルウェアとおとり文書の両方を起動し、被害者にとって感染が正常な状態に見えるようにします。一方Rust製のドロッパーは、ZIPアーカイブを%TEMP%ディレクトリに展開します。
まずおとりのPDFを表示させ、続いてping.exeコマンドを使ってマルウェアの起動を遅延させたうえで、CoreRATを実行します。この遅延処理により、基本的なサンドボックス解析を困難にする狙いがあるとみられます。
おとりに使われたPDFには、不自然な文言や編集の痕跡、偽の署名といった偽造の兆候が見られました。誘い文句の1つは、以前Vortex Werewolfに関連付けられていたPDFと類似していました。
研究者は、これがツールやインフラの共有を示唆している可能性があるとしつつも、両グループ間の直接的なつながりを裏付ける証拠は現時点で確認されていないとしています。
CoreRATは、内部の文字列とC2（コマンド&コントロール）アドレスをAES-CBC暗号化によって保護しています。C2インフラへの通信を開始する前に、仮想化環境や解析環境かどうかを確認します。
このマルウェアはCPUIDを用いてVMwareの兆候を確認するほか、VirtualBox、Xen、KVMについても同様のチェックを行います。さらにBIOSのレジストリ値を調べ、最近のWindowsショートカットの利用状況を確認し、一部の検体では仮想化プラットフォームに関連付けられたネットワークアダプタのMACアドレスのプレフィックスも調査します。仮想マシンやサンドボックスを検知した場合は、動作を終了します。
これらのチェックを通過すると、CoreRATはデバイス名、BIOSバージョン、実行中のプロセス、デスクトップ上のファイル、ネットワークアダプタの詳細、アクティブなTCP接続、ARPテーブル情報を収集します。
これらの情報をJSONオブジェクトにまとめ、Base58でエンコードしたうえで、HTTPS POSTリクエストを通じてC2サーバーに送信すると、bi.zoneは述べています。
注記: IPアドレスおよびドメインは、誤ったアクセスやハイパーリンク化を防ぐため、意図的に無害化表記（例: [.]）にしています。再度有効な形式に戻す作業は、MISP、VirusTotal、SIEMなど管理されている脅威インテリジェンス基盤の中でのみ行ってください。
ANY.RUNのブラウザ内データ検査で、検知・調査・対応をより迅速に-> ANY.RUNでSOCを強化
翻訳元: https://cyberpress.org/corerat-gives-werewolf-control/
