中国語で書かれた悪意ある履歴書が、SNOWLIGHTシェルコードとVShellリモートアクセス型トロイの木馬(RAT)を使い、大学院への出願を装って学術研究者を標的にしていることが分かりました。
このZIPアーカイブは、北京理工大学を卒業したばかりの張玉光(Zhang Yuguang)氏の履歴書だと称しています。しかし実際には、文書ファイルを装ったWindows実行ファイルが含まれています。
ファイルを開くと、マルウェアは疑念を抱かせないよう本物のWord文書を起動する一方で、水面下で多段階のファイルレス感染チェーンを展開します。
おとりとなる履歴書は、応募者を、AIを活用した電力網診断、インテリジェント電気システム、再生可能エネルギー制御、電力システム自動化に関心を持つネットワーク工学の卒業生として演出しています。
その文面は、企業の採用担当者ではなく、教授や研究グループのリーダーに向けて作成されたことをうかがわせます。
簡体字中国語、中国本土の教育用語、WPS Officeのメタデータ、指導教員の研究グループへの参加を希望する文言など、複数の要素から、この文書が中国本土の学術現場向けに調整されたものであることが分かります。
ただし、このおとり文書自体は攻撃者の身元や所在地、北京理工大学との関連性を証明するものではありません。
第一段階のマルウェアは32ビットのGo製ローダーで、実行前に複数のチェックを行います。ThreatBookのサンドボックス環境の痕跡を探し、CPUコア数が4未満のシステムでは終了し、Windowsのビープ関数をタイミング検査として利用してサンドボックスによる高速化を検知します。
このローダーは、Base32hex、AES-CBC復号、Base64デコード、バイト反転といった複数のデコード層によって設定情報を隠しています。
38.207.178[.]192:50813から本物のDOCX形式の履歴書おとりファイルを取得し、Windowsの一時ディレクトリに保存した上でMicrosoft Wordで開きます。
同時に、ローダーは同じサーバーから暗号化されたシェルコードをダウンロードします。Windows APIを通じてメモリを確保し、ペイロードをメモリ上にコピーして実行可能に設定し、新しいスレッドを作成します。
これにより、マルウェアは通常の実行ファイルをディスクに書き込むことなく動作できます。ダウンロードされたシェルコードは、SNOWLIGHTのWindows版です。
38.207.178[.]192:50812に接続し、短いシステムチェックインのメッセージを送信すると、より大きな第二段階のペイロードを受信します。続いてSNOWLIGHTは受信データを鍵0x99を使ってXORデコードし、メモリ上で直接実行に移ります。
最終的なペイロードは、完全にメモリ経由で配信される32ビットのGo製VShell RATです。
このマルウェアは、指揮統制サーバーとの間で暗号化されたVShellの登録・ヘルスチェック通信を確立しましたが、サンドボックスでの観測セッション中に、操作者による直接的なコマンドは確認されませんでした。
VShellは、侵害後の対話的なアクセスを目的として構築されています。公開されている調査によれば、リモートシェルアクセス、ファイルの閲覧・転送、スクリーンショットの取得、ホストの偵察、プロキシ機能、ネットワークトンネリングなどの機能を提供できるとされています。
これにより、感染した端末は大学や研究機関のより広範なネットワークへの侵入口となり得ると、himanshuanand氏は指摘しています。
今回観測された挙動から、このキャンペーンの当面の狙いは、ひそかなリモートアクセスの獲得であるとの評価が高い確度で裏付けられます。
学術関係者を装ったおとり文書の内容から、標的となる可能性が高いのは、電力システム、電気工学、再生可能エネルギー、応用AI、あるいはこれらに関連する技術分野に従事する研究者や教員だと考えられます。
ANY.RUNのブラウザ内データ検査で、検知・調査・対応をより高速に-> ANY.RUNでSOCを強化
翻訳元: https://cyberpress.org/resume-lure-delivers-vshell/
