悪意あるツールは通常のネットワークトラフィックへの紛れ込みを図るものですが、新たに発見されたMiraakフレームワークはさらに一歩進み、クラウド上のPostgreSQLデータベースを感染端末制御のための本格的なチャネルへと変貌させました。Blackpoint Cyberの専門家たちは、攻撃者自身がインフラの一部をインターネット上に露出させるという失態を犯したことをきっかけに、これまで知られていなかったこのツールセットを発見しました。
フル装備の侵害後活動用ツール群
Miraakは初期侵害後のシステムで動作するよう設計されており、オペレーターに幅広い機能を提供します。本フレームワークはコマンドの実行、対象コンピューターとユーザーに関する情報の収集、プロセス管理、スクリーンショットの取得、ファイルのアップロードとダウンロード、サーバーとの通信間隔の調整、そしてバックグラウンドでの長時間タスクの実行を行います。
コマンドインフラとしてのPostgreSQL
Miraakの最大の特徴は、そのコマンドインフラにあります。一般的なHTTPリクエストの代わりに、エージェントはPostgreSQLに直接接続し、データベースのテーブルをコマンドキューとして利用します。感染したコンピューターはデータベース内のレコードを通じて自身を登録し、新たな指示を受け取り、実行結果を返します。接続には標準ライブラリlibpqが使用され、調査対象となった構成ではサーバーはTiger Dataのクラウドインフラ上に置かれ、SSL暗号化が必須とされていました。
検知が一層困難になる理由
この仕組みにより、従来型のコマンドサーバーの特徴に基づく検知は一段と難しくなります。ネットワーク上のやり取りは、クラウド上のPostgreSQLインスタンスへの通常の暗号化接続のように見えてしまうためです。そのため、防御システムは接続先アドレスだけでなく、接続を確立したプロセス、DNSクエリ、そして通常とは異なる外部への接続にも注意を払う必要があります。
.NETファイルへの偽装
Miraakを起動するにあたり、攻撃者は悪意あるコンポーネントを見慣れた.NET環境のファイルに偽装します。複数の検体はhostfxr.dllという名前を持っていましたが、これは通常のインストールでは.NET起動ライブラリに属するファイルです。このDLLの大きい版はエンベッドされたエージェントを復号し、Windowsの一時フォルダにmsedgeupdate.exeという名前で保存して起動した後、まもなくそのファイルを削除します。より小型の亜種はmiraak.confから設定を読み込み、その設定で指定された実行ファイルを起動します。
Cobalt Strike BOFへの対応
本フレームワークはBOF、すなわちCobalt Strikeエコシステム由来の小型モジュールであるBeacon Object Fileにも対応しています。Miraakの開発者は必要なBeaconインターフェースを再現しており、オペレーターは別途Beaconを展開することなく、既存のBOFモジュールをエージェント内で直接実行できます。
付随するトンネリングツール
専門家たちがMiraakを分析する過程で、リバースTCPトンネリング用の関連ツールも発見されました。このF#製コンポーネントは感染したコンピューターを中継ノードに変え、他の内部サービスへそれを経由してアクセスできるようにします。共有されたインフラと、miraak-socksという名前を持つ自己署名TLS証明書がMiraakとの関連性を裏付けていますが、Blackpoint Cyberはこのトンネルをフレームワークに組み込まれたモジュールではなく、独立した関連コンポーネントと位置付けています。
オペレーターのミスが招いたツールセットの露見
Miraakをこれほど詳細に調査できたのは、主にオペレーター側のミスによるものです。ローダー、エージェント、補助ファイルが公開ディレクトリに置かれたままになっていたほか、コントロールパネルの不備により、認証チェックが完了する前からインターフェースの一部が見えてしまう状態になっていました。
帰属はまだ特定されず
Blackpoint CyberはMiraakを特定のグループに結び付けておらず、影響を受けた組織についての詳細も明らかにしていません。とはいえ、その機能の充実ぶりは、本フレームワークが侵害したネットワークを長期にわたって制御するための本格的なプラットフォームとして構築されたことを示しています。
翻訳元: https://meterpreter.org/miraak-framework/
