金銭目的の脅威アクターが、Windows向けの新たなツールキット「Gryxa」を使用していることがわかりました。このツールキットは、リモート監視・管理(RMM)ツールの悪用、AI支援による開発、ブラウザ認証情報の窃取、そして不完全な駆除処理を乗り越えるよう設計された強力な永続化機構を組み合わせたものです。
このツールキットの最も特異な特徴は、防御側がどのように可視的なアクセスを排除したかという証拠を収集し、その情報を攻撃者側に送り返す機能を備えている点です。
ReliaQuestの評価によると、今回の攻撃活動は、脅威アクターがAIコーディングエージェントを活用してこの規模の攻撃エコシステムを開発・運用した事例としては、同社が観測した中で初めてのケースだといいます。
攻撃者の公開リポジトリを分析したところ、大半のコミットに商用のAIコーディングエージェントが共著者として記載されていたほか、エンジニアリング上のルール、セッション引き継ぎ用のメモ、インストール失敗とその後のコード修正を記録したケースファイルも見つかりました。
攻撃者は、コマンド生成や窃取データの処理といった単発のタスクにのみAIを利用するのではなく、ツールキット本体やWebベースのフリート管理コンソールの構築など、開発ライフサイクル全体を通じてAIを活用していたとみられます。
このコンソールには324台の侵害済みホストが表示されており、ReliaQuestが分析した時点でそのうち69台がオンライン状態でした。ただし、リストに表示された全てのシステムが実際の被害者であると確認されたわけではありません。
Gryxaはまず、正規のRMMソフトウェアを悪用して密かにアクセス経路を確立するところから始まります。
インストーラーは請求書を装った自己解凍型の実行ファイルとして配布されている可能性が高く、攻撃者が管理するインフラや公開コードホスティングサービスからHTTPS経由で追加のコンポーネントをダウンロードします。
その後、隠しファイルをProgramData配下の複数の場所に配置します。ここには主要なWinRTCSディレクトリのほか、Windowsのエラーレポートや診断キャッシュを装ったフォルダも含まれます。
このマルウェアの真骨頂は、復旧を見据えたエンジニアリングにあります。Gryxaは、少なくとも7つのスケジュールタスク、恒久的なWindows Management Instrumentation(WMI)イベントサブスクリプション、そして本来の設置場所とは別の場所に保存されるバックアップファイルなど、複数の独立した永続化レイヤーを備えています。
このうち3つのタスクはSYSTEM権限で動作し、1分・5分・15分間隔でそれぞれ実行されるため、削除されたコンポーネントを迅速に復元できます。
対応担当者が可視的なRMMクライアントや主要なインストールディレクトリのみを削除した場合、生き残った仕組みによって攻撃活動が復元されてしまい、多くの場合わずか数分で元に戻ってしまいます。
ReliaQuestの研究者らによると、このツールキットは不完全な封じ込め対応を、逆に防御側にとっての弱点に変えてしまう恐れがあるといいます。中継用インフラに接続できなくなると、Gryxaのガードコンポーネントが接続失敗の回数を追跡し始めます。
接続失敗が2回連続すると、Microsoft Defenderの無効化や、ハードコードされたEDRサービスの停止を試みます。
3回目の失敗が発生すると、Windowsレジストリからエンドポイントセキュリティ製品のアンインストールコマンドを取得し、サイレントアンインストールを試みます。この一連の流れは、およそ10分から13分程度で完了します。
SecurityProducts & Services
つまり、対応担当者はまず可視的なRMMセッションを単純に終了させるだけでは不十分だということです。
推奨される対応手順としては、まずネットワーク境界で既知の攻撃者インフラをブロックし、可能であれば被害端末を隔離した上で、スケジュールタスク、WMIによる永続化機構、隠しワーキングディレクトリ、バックアップファイル、RMM実装を一つの協調した対応の中で一括して除去することが挙げられます。
アンインストール保護機能を備えたエンドポイント製品については、対応作業を開始する前にその保護機能を有効にしておく必要があります。
Gryxaは、暗号資産取引所や金融関連サービスのアカウントを含め、Chromiumベースのブラウザに保存された認証情報も標的にしています。
このコードには、ブラウザプロセス以外からの認証情報復号を困難にするために導入された保護機能である、Chromeのアプリバウンド暗号化(App-Bound Encryption)を突破することを狙った複数の手法が含まれています。
ReliaQuestはコードレビューを通じてこれらの手法を検証しましたが、ツールキットが対応をうたう全てのブラウザおよびバージョンにおいて復号が実際に成功することまでは、独自には確認していません。
復号された認証情報はTelegramボットを通じて外部に送信されるとみられ、一方でウォレット用のブラウザ拡張機能については後で手動でアクセスできるようリスト化されるとのことです。
このツールキットは、アクセス可能なデータをまず復号した上で標的リストと照合して絞り込む仕組みになっているため、組織としては暗号資産関連サービスの認証情報に限らず、アクセス可能なブラウザプロファイルに保存された全ての認証情報が漏えいしたものとして扱うべきです。
最も深刻な影響が生じるのは、駆除作業の後です。防御側が可視的なインプラントを除去しても、Gryxaのコンポーネントが一部動作し続けたままになるケースがあります。
残存したコードは、Windowsのイベントログやサービスログ、プロセス生成の記録、スケジュールタスクおよびWMIの詳細情報、RMMのインベントリデータ、そして攻撃者の生き残ったチャネルを示す痕跡などを収集します。
そして、これらの証拠をアーカイブ化してアップロードするため、対応担当者が使用したツールやアカウント、対応の一連の流れが攻撃者側に露見してしまう可能性があります。
今回の事例は、より大きな運用面での変化を裏付けるものといえます。AIによって、かつては小規模な開発チームでなければ実現できなかった規模のマルウェアエコシステムを、個人の攻撃者が単独で構築・運用できるようになりつつあるのです。
防御側は、不審なSYSTEM権限でのタスク作成、WMIイベントサブスクリプション、許可されていないRMMの活動を対象とした、振る舞いベースの検知を優先すべきです。
また、集中管理された更新パイプラインによって迅速に変更されうる静的なハッシュ値のみに依存するのではなく、Defenderのポリシー変更や、エンドポイントエージェントの突然のアンインストール試行といった挙動にも注目する必要があります。
侵害指標(IOC)
| アーティファクト | 詳細 |
|---|---|
| wirbe[.]com | 攻撃者が管理するドメイン |
| world.wirbe[.]com | 攻撃者が管理するドメイン |
| cdn.wirbe[.]com | 攻撃者が管理するドメイン |
| ver.wirbe[.]com | 攻撃者が管理するドメイン |
| mesh.wirbe[.]com | 攻撃者が管理するドメイン |
| seczio[.]com | 攻撃者が管理するドメイン、旧インフラだが現在も使用中 |
| debian.seczio[.]com | 攻撃者が管理するドメイン、旧インフラだが現在も使用中 |
注: 誤ってアクセスやハイパーリンク化されることを防ぐため、IPアドレスおよびドメインは意図的にディフェンジング処理(例: [.])を施しています。再度有効な形式に戻す(re-fang)のは、MISP、VirusTotal、あるいは自社のSIEMといった管理された脅威インテリジェンス基盤内でのみ行ってください。
★ 削減すべきセキュリティツールはどれか?1ページでスコアリング — 「継承されたセキュリティスタック」ガイドをダウンロード
SecurityProducts & Services
翻訳元: https://gbhackers.com/gryxa-toolkit-uses-ai/
