このツールキットは正規のリモート監視管理(RMM)ソフトウェアを悪用して密かにアクセスを維持し、複数の復旧メカニズムを備え、ブラウザに保存された認証情報を窃取するほか、エンドポイントセキュリティツールを無効化して報復することもできます。
最も特異な機能は、防御側が可視化されたRMMインプラントを除去した後に発動します。生き残ったコンポーネントがWindowsログとホストのアーティファクトを収集し、対応がどのように行われたかを明らかにする可能性があるのです。
ReliaQuestは、Gryxaの活動を公開コードリポジトリと攻撃者が運用する管理コンソールに関連付けました。このコンソールには324台のホストが登録されており、調査時点で69台がオンライン状態として表示されていました。
研究者らによると、リポジトリ内の多数のコミットには商用AIコーディングエージェントの共著者メタデータが含まれていたとのことで、これは攻撃者がこのツールキットや制御コンソール、更新システムの構築・運用に人工知能を活用したことを示唆しています。
研究者らは、今回の調査結果はサードパーティの脅威に関するものであり、ReliaQuestのシステムやデータに脆弱性が存在することを示すものではないと強調しています。
Gryxaは不完全な駆除作業を生き延びるよう設計されています。ファイルを複数の隠しディレクトリに分散配置しており、その中にはC:\ProgramData\WinRTCS、Windowsエラー報告に似せたパス、そして削除されたコンポーネントを復元するために使われるオフパスのバックアップフォルダが含まれます。
このマルウェアは少なくとも7つのスケジュールタスク、恒久的なWindows Management Instrumentation(WMI)イベントサブスクリプション、そして冗長なファイルストレージを利用します。
一部のタスクはSYSTEM権限で1分、5分、あるいは15分ごとに実行されます。防御側がRMMクライアントやメインのインストールディレクトリだけを削除した場合、残存するコンポーネントがツールキットを再構築してしまう可能性があります。
Gryxaは攻撃者インフラとの接続を失った際にも反応します。監視プロセスが5分ごとに中継先の状態を確認します。
2回連続でチェックに失敗すると、Microsoft Defenderの無効化を試み、あらかじめハードコードされたリストに基づいてエンドポイント検知・対応(EDR)エージェントを停止または無効化しようとします。
3回目の失敗後には、Windowsレジストリからエンドポイントエージェントのアンインストールコマンドを取得し、密かにアンインストールする場合もあります。
つまり、中途半端な封じ込め対応が深刻なリスクを生む可能性があるということです。この調査によると、攻撃者のサービスを遮断する際にGryxaの永続化メカニズムを同時に除去しなければ、防御側はおよそ10分から13分以内にエンドポイント保護が無効化または削除されてしまう事態に直面する可能性があります。
このツールキットはChromiumベースのブラウザに保存された認証情報も狙います。ChromeのApp-Bound Encryption保護を回避するコードを備えており、窃取した認証情報を暗号資産取引所や金融サービスのドメインと照合します。
さらにインストール済みの暗号資産ウォレット拡張機能も特定しており、これにより攻撃者が高価値な標的を優先的に狙う手助けになっている可能性があると、ReliaQuestは述べています。
Note: IP addresses and domains are intentionally defanged (e.g., [.]) to prevent accidental resolution or hyperlinking. Re-fang only within controlled threat intelligence platforms such as MISP, VirusTotal, or your SIEM.
Detect, investigate, and respond faster with in-browser data inspection from ANY.RUN-> Power your SOC with ANY.RUN
翻訳元: https://cyberpress.org/gryxa-tracks-defender-removal/
