Goローダー、アンチサンドボックス機能とSNOWLIGHTを使いファイルレスVShell RATをメモリ上で実行

大学院生の履歴書を装ったWindowsマルウェアキャンペーンが確認され、SNOWLIGHTステージャーとファイルレスのVShellリモートアクセス型トロイの木馬(RAT)を、中国の学術・技術研究環境に関連するとみられる標的に配布していたことが分かりました。

この攻撃では、サンドボックスチェックを行い、正規に見えるWord文書をおとりとして開き、多段階のペイロードを直接メモリ内に注入するカスタム32ビットGoローダーが使用されています。

実行されると、被害者にはDOCX形式の履歴書が表示される一方で、裏では攻撃者のためのリモートアクセスが静かに確立されます。

このマルウェアはローカル環境では実行されませんでした。ローカルでの作業は、サンドボックスがすでに取得していたネットワークトラフィックのアーカイブ展開・解析・逆アセンブル・デコードに限定されていました。

ファイル名は、北京理工大学のネットワーク工学専攻を卒業したばかりの学生の履歴書を意味する内容におおむね訳せます。

しかし、埋め込まれた文書の内容には矛盾があります。応募者は、AIを活用した電力網の故障診断、インテリジェント電気システム、再生可能エネルギー変換器の制御、電力システムの自動化に関心を持っているとされています。

言語表現や書式から、このおとりは中国本土の学術ワークフロー向けに作成されたと考えられます。

簡体字中国語、中国本土特有の教育用語、ロケール2052のWPS Officeメタデータが使われており、企業の採用担当者ではなく指導教員や研究室を想定した文面になっています。

北京理工大学(BIT)の名前は、このおとりに一段の信憑性を与えています。同大学は国防関連の技術研究とつながりを持つ大学群「国防七子」の一角ですが、その名前が使われているからといって、同大学がこのファイルを作成・配布した、あるいはその存在を認識していたことにはなりません。

第1段階のペイロードは、Go 1.22.0でビルドされた5MBの32ビットGo実行ファイルです。Kingsoftを名乗る署名が使われていますが検証には失敗しており、正規の署名済みバイナリではなく証明書を装った偽装であることを示しています。

その分析回避ロジックは異例なほど具体的です。AntiWeibuという名の内部関数は、中国のThreatBook(微歩)サンドボックス環境に関連するパスの有無を確認します。

ANY.RUNの研究者らによると、「北京理工大学(BIT)大学院生履歴書」という名前のZIPアーカイブで配布されたこのサンプルには、文書を装った実行ファイルが含まれているとのことです。

このローダーは、論理CPUコア数が4未満であることを検知した場合にも終了します。これは、リソースの少ないサンドボックス仮想マシンによく見られる条件です。

SNOWLIGHTマルウェアチェーン

サンドボックスによる高速化されたタイミングを識別するため、このマルウェアはkernel32!Beepを動的に解決し、より一般的に監視されているSleep APIに頼るのではなく、これを10秒間呼び出します。

経過時間が想定どおりでない場合、実行は停止します。

このローダーは、Base32hex、AES-CBC、PKCS#7、ビット単位のNOT、Base64デコードを重ねたルーチンを使って設定情報を復号します。そして、DOCXのおとり文書と暗号化されたシェルコードの両方を38.207.178[.]192:50813から取得します。

文書をダウンロードした後、ローダーはそれをC:\Windows\Tempに保存し、Microsoft Wordを起動します。続いて、AllocADsMem、VirtualProtect、CreateThreadなどのAPIを使い、ダウンロードしたシェルコードをメモリ上で実行します。

1,454バイトのこのシェルコードは、WindowsのSNOWLIGHTステージャーファミリーと一致する特徴を持っています。SNOWLIGHTは38.207.178[.]192:50812に接続し、被害者のアーキテクチャを特定した上で、実行可能な30MBのメモリを確保し、第2段階のペイロードを受信して0x99でXORデコードし、従来型のペイロードファイルを作成することなく実行を移行させます。

最終的な4.65MBのペイロードは、静的解析とネットワーク上の証拠を組み合わせた結果、VShellと特定された32ビットGo PEにデコードされます。

公開されている研究では、VShellは対話的なコマンド実行、ファイルの閲覧・転送、スクリーンショット取得、ホストの偵察、トンネリング、リバースプロキシ機能を備えたGoベースのリモートアクセス型RATと説明されています。

SNOWLIGHTとVShellの使用は、以前UNC5174やその他の中国系クラスターと関連付けられていた活動と重なる部分があります。

ただし、SNOWLIGHTは広く入手可能なVShellステージャーでもあり、特定の攻撃者専用のものとして扱うべきではありません。研究者らは、UAT-8302に帰属する活動を含む複数のキャンペーンでその使用を記録しています。

最も妥当な見立ては、帰属不明の攻撃者が中国本土向けの学術系おとりと、次第に入手しやすくなっているSNOWLIGHT/VShellのエコシステムを利用しているというものです。

当面の狙いは明確です。研究用ワークステーションへの静かで対話的なアクセスを確保し、被害者が価値のある標的だと判明した場合には、その後の情報収集、認証情報の窃取、あるいは横展開につなげることです。

IOC(侵害指標)

注記: IPアドレスおよびドメインは、意図しない名前解決やハイパーリンク化を防ぐため、意図的に無害化表記(例: [.])にしています。再度有効な形式に戻す作業は、MISP、VirusTotal、SIEMなど管理された脅威インテリジェンスプラットフォーム内でのみ行ってください。

★ 削減すべきセキュリティツールはどれか? 1ページで評価する – 「継承されたセキュリティスタック」ガイドをダウンロード

InstallingSecurity Systems