イランと関連が指摘される脅威アクターが、バックドアとリバースSSHトンネリングユーティリティを新たにマルウェアツールセットに追加していたことが分かりました。また、新たに特定されたインフラからは、欧州および中東地域を標的とする活動の広がりが示唆されています。
Group-IB Threat Intelligenceは、Kasperskyが7月に同グループに関する調査結果を公表したことを受けてTortoiseshellの調査を開始し、今回、追加のインフラと未報告のマルウェアサンプルを新たに特定しました。
8月26日に公開された技術レポートの中でGroup-IBは、同社がTortoiseshell、Kasperskyが「Mirage Kitten」として追跡しているこのサイバースパイグループが、少なくとも2018年から活動しており、主に中東および米国の防衛、航空宇宙、ITサービスプロバイダー、軍事関連組織を標的としてきたと述べています。
Tortoiseshellがバックドアとリバースsshトンネルを追加
新たに特定されたサンプルの一つは、Windows Terminal Server APIのDLLであるwtsapi32.dllに偽装したリバースSSHトンネリングユーティリティでした。このマルウェアは、正規のDLLから関数をフォワードエクスポートする一方で、WindowsのOpenSSHクライアントを利用してTortoiseshellのインフラに接続していました。
これによって形成されるリバーストンネルは、コマンド&コントロール(C2)サーバーからのトラフィックを侵害されたネットワーク内にリダイレクトすることが可能でした。Group-IBによると、この挙動はGoogle Threat Intelligence Group(GTIG)がUNC1549について過去に報告した手法と一致しているとのことです。
2つ目のサンプルは、C++で記述されたバックドアで、Group-IBはGTIGが2025年後半に報告したTWOSTROKEマルウェアとの類似性が見られると指摘しています。このマルウェアもwtsapi32.dllに偽装しており、DLLサーチオーダーハイジャッキングによって読み込まれるよう設計されていたとみられます。
このバックドアは、ハードコードされた複数のC2サーバーとHTTPS通信を確立し、被害者の完全修飾ホスト名から一意の識別子を生成していました。ファイルおよびシェルコマンドの実行、DLLのメモリ内実行、ファイル転送、ディレクトリ一覧の取得、ファイル削除といった機能に対応していました。
イラン関連のサイバー活動についてさらに読む: Iran-Linked MuddyWater Poses as Ransomware Gang to Mask Cyber Espionage
インフラから見える標的範囲の広がり
Group-IBはさらに、既知のTortoiseshellのC2ドメインに関連するインフラも特定しました。locat[.]sbsとtiktok-u[.]sbsという2つのドメインは関連するサーバーに解決されており、UAE、サウジアラビア、英国、ベルギー、カナダ、オーストラリア、日本といった国・地域名を用いたサブドメインが含まれていました。
このインフラは、中東および欧州諸国を対象とする標的範囲の拡大を示している可能性がありますが、Group-IBは、関連するマルウェアサンプルが特定されていないため、実際の用途は依然として不明であると強調しています。
さらにGroup-IBは、tiktok-u[.]sbsドメインがレジストラによって停止された後もサーバー自体は使用され続けていたと指摘しています。過去のDNSデータによれば、そのサブドメインはかつてlocat[.]sbsに関連するサーバーと同一のサーバーに解決されていたことが分かっています。
同社は、継続的な脅威ハンティングの実施に加え、wtsapi32.dllの不審なサイドローディングや、既知のTortoiseshellインフラに関連する外向き通信の監視を推奨しています。
翻訳元: https://www.infosecurity-magazine.com/news/tortoiseshell-new-backdoor-ssh/
