研究者らは、GitHubリポジトリ、フィッシングの誘導文、VBScript、PowerShell、そして正規のWindowsユーティリティであるInstallUtilを利用してAsyncRATを被害者のシステムに展開する、Blind Eagle関連のマルウェアオペレーションを発見しました。
今回の調査は、マルウェアローダーの構成要素をホストするために使われていたGitHubアカウント「cabeto850128」の発見から始まりました。
このアカウントのcomicsamリポジトリにはAutoItインタプリタと別個のスクリプトコンテンツが保存されており、攻撃者は改変済みの実行ファイルを繰り返しアップロードすることなく、悪意あるロジックを更新できるようになっていました。
あるGitHubのコミットでは、作者メタデータにメールアドレスが露出していました。研究者らはこのアドレスを手がかりに調査を進め、流出したインフォスティーラーのログ集の中に同じアドレスを発見しました。
さらに侵害情報を追跡した結果、このアドレスは「Ghost」という名前のデバイスに関連づけられていることが判明しました。このデバイスは、今回の件とは無関係な情報窃取型マルウェアファミリーに感染していたとみられます。
回収されたスティーラーのログは、攻撃者側のワークステーションとみられる環境を垣間見る、貴重な手がかりとなりました。
ログにはブラウザのアーティファクト、ローカルディレクトリ、フィッシングテンプレート、RAT構築ツール、大量メール送信ソフトウェア、ホスティング記録、そして商用クリプター利用の痕跡が含まれていました。
これらの調査結果は、今回のGitHubリポジトリがより広範なマルウェア配布パイプラインの一部にすぎないことを示唆しています。
分析されたサンプルは、請求書やPDFを装った添付ファイルなど、一見正規のファイルに見せかけた自己解凍型RARアーカイブでした。開封すると、アーカイブはVBScriptベースのドロッパーを起動します。
最初のスクリプトはwscript.exeを使用して、難読化されたPowerShellコマンドを実行します。このPowerShellの段階は、ウィンドウを非表示にするオプションや実行ポリシーのバイパスといった設定で動作し、マルウェアがユーザーにほとんど気づかれずに動くのを助けています。
その後、ペイロードは追加のスクリプトコンテンツを%ProgramData%ディレクトリにコピーします。続いて2段階目のWScriptとPowerShellの処理が実行され、感染チェーンは最終的にInstallUtil.exeへと到達します。
InstallUtilはMicrosoftが署名した.NETユーティリティで、本来はアプリケーションコンポーネントのインストールやアンインストールに使用されるものです。
脅威アクターがこのツールを悪用する理由は、セキュリティ製品が署名済みのWindowsバイナリを、正体不明の実行ファイルよりも信頼できるものとして扱う場合が多いためです。今回のキャンペーンでは、InstallUtilはAsyncRATの最終展開プロセスの一部として使用されています。
研究者らは、関連する通信をDuckDNSのホスト名dccomicrat81[.]duckdns[.]orgに結びつけました。このホスト名は、AsyncRATのコマンド&コントロール(C2)インフラとして機能しているとみられます。
このホスト名には「comic」という単語も含まれており、GitHubの`comicsam`リポジトリ名と一致していることから、何らかの命名規則が運用上使われている可能性がうかがえます。
侵害されたワークステーションには、AsyncRAT、DcRat、Remcos、XWormなど、複数のリモートアクセス型トロイの木馬(RAT)用のフォルダが存在していました。
また、司法機関やボゴタ市の交通当局を含む、コロンビアの各種機関を装ったフィッシングテンプレートも見つかっています。
ある交通違反をテーマにしたテンプレートは、被害者をsimpmit[.]coへ誘導し、Windows搭載のPCまたはノートPCでパスワード保護されたアーカイブを開くよう指示していました。
また別のテンプレートはconsultanotificacionesjuridicas[.]siteを参照し、司法通知をテーマにした内容となっていたと、levelblueは述べています。
注記: IPアドレスおよびドメインは、誤って名前解決やハイパーリンク化されることを防ぐため、意図的に無害化表記([.]など)にしています。再度有効な表記に戻す作業は、MISP、VirusTotal、SIEMなど管理された脅威インテリジェンス基盤内でのみ行ってください。
ANY.RUNのブラウザ内データ検査で、検知・調査・対応をより迅速に-> ANY.RUNでSOCを強化する
翻訳元: https://cyberpress.org/blind-eagle-deploys-asyncrat/
