MuddyWaterに関連する脅威アクターが、正規のDenoランタイムを悪用して悪意あるコードを実行し、セキュリティ検知を回避するDindoorという名称のバックドアを使用していることが分かりました。
Binary Defenseの研究者は、米国のソフトウェア企業や銀行、カナダの非営利団体で感染を発見した後、2026年初頭からDindoorの追跡を開始しました。このマルウェアはイランのAPTグループMuddyWaterと関連付けられています。
Dindoorは独自のインタープリターに依存しません。代わりに、署名済みで広く使われているJavaScript・TypeScriptランタイムであるDenoを利用します。Denoがインストールされていない場合、マルウェアはcurl.exeを使ってdeno.landからDenoをダウンロードします。
このアプローチにより、Dindoorは通常の活動に紛れ込みやすくなります。セキュリティ製品はDenoを正規の開発者向けツールとして信頼する一方、マルウェアはBase64エンコードされた引数の中にスクリプトを隠しています。
Dindoorは主に、スピアフィッシング攻撃における後段のペイロードとして配布されます。攻撃者が初期アクセスを獲得すると、ローダーは侵害されたWindowsシステム上にDenoが存在するかを確認します。その後、バックドアを含むBase64エンコード済みスクリプトとともにDenoを起動します。
この攻撃チェーンには3段階のペイロードが含まれています。第1段階では感染デバイスの指紋情報を収集し、コマンド&コントロールサーバーに接続した上で、第2段階のペイロードをコンパイルします。このペイロードはリモートサーバーから最終段階を取得・実行します。
主要機能を有効化する前に、最終ペイロードは自身が仮想マシン内、あるいはマルウェア自動解析用のサンドボックス内で実行されているかどうかを確認します。cmd.exe経由でPowerShellを起動し、Win32_VideoControllerというWMIクラスを照会します。
このクエリでは、インストールされているグラフィックアダプタの名称を収集します。仮想化環境では識別可能なアダプタ名が表示されることが多く、VMware SVGA、VirtualBox、QXL、Hyper-Vディスプレイドライバなどが該当します。
Dindoorはこうした環境のいずれかを検知すると、動作を停止します。これにより、調査者は攻撃チェーン全体ではなくPowerShellによるWMIクエリのみを観測することになりかねず、サンドボックスでの解析が難しくなります。
実際のユーザーデバイスだと判断したシステム上では、DindoorはWindowsのRunレジストリキーを通じて永続化を確立します。このキーはwscript.exeを起動し、ユーザーのAppData Localディレクトリ配下に保存されたVBScriptを実行します。
観測された永続化コマンドは、SerialサブディレクトリからLynx_system59.vbsという名前のファイルを起動します。永続化は仮想マシンチェックの後にのみ行われるため、サンドボックスがこの重要な挙動を捕捉できない場合があります。
コマンド&コントロール通信には、Denoのlisten関数を使ってTCPリスナーを作成します。マルウェアは通信データをBase64エンコードしており、これは実行チェーン全体を通じて用いられているのと同じ難読化手法です。
Dindoorは、curl.exe、deno.exe、wscript.exe、PowerShellなど、複数の正規のWindowsツールおよび開発者向けツールを利用しています。いずれも署名済みバイナリであり、単体で見れば正常に見える可能性があります。その結果、静的ハッシュや署名ベースの検知では、新たにエンコードされたDindoorの亜種を見逃す恐れがあるとBinary Defenseは述べています。
Dindoorは、MuddyWaterが既知の手法を信頼されたソフトウェアと組み合わせることで検知を減らせることを示す事例です。個々の手法自体は目新しいものではありませんが、Denoをマルウェアの実行エンジンとして利用することで、同グループは柔軟かつ正規に見える形で悪意あるコードを実行する手段を手にしています。
ANY.RUNのブラウザ内データ検査で、検知・調査・対応をより迅速に-> ANY.RUNでSOCを強化
翻訳元: https://cyberpress.org/dindoor-abuses-deno-runtime/
