ランサムウェア調査に関連するWindowsポスト侵害ツールキットが、標的ネットワーク内でのアクセス維持のため、リバースシェル、認証情報窃取ユーティリティ、サービスなりすまし、Ethereumベースのコマンド&コントロール(C2)インフラを使用していたことが判明しました。
調査では当初、番号が振られた24個のバイナリをSliverインプラントである可能性が高いと分類していました。しかし、その後の分析により、これらのファイルはSliverのペイロードではなかったことが判明しています。
実際にはこれらは単純なリバースシェルで、侵害されたWindowsシステム上で攻撃者にリモートコマンド実行機能を提供するために設計されたものでした。
この訂正は重要な意味を持ちます。というのも、最初の分析は限定的なレビュー手法に依存していたためです。アナリストは文字列トークン化のアプローチを用いていましたが、この手法ではGo言語のプールされた文字列ブロブ内に格納されたアドレスを検出できませんでした。
その結果、これらのバイナリにはC2アドレスが含まれていないと誤って報告されていました。
さらに詳しく調査したところ、分析対象となったすべてのリバースシェルには、それぞれ独自のC2アドレスが平文の形で含まれていることが判明しました。これらのアドレスは暗号化や複雑な難読化によって隠されていたわけではありません。
見逃されていたのは単に、抽出手法がコンパイル済みのGoバイナリデータ内の該当する部分文字列を読み取れなかったためです。
今回の事例は、インシデント対応でよくある問題を浮き彫りにしています。すなわち、結果が空だからといって、必ずしも悪意あるコンテンツが存在しないことを意味するわけではないという点です。
検知ツールやフォレンジックツールは、自らがどのようなデータを調査したのか、どのフォーマットに対応しているのか、そして可視範囲がどこまでなのかを明確に示す必要があります。
攻撃者はポスト侵害の活動において、広く知られた認証情報ダンプツールであるMimikatzも使用していました。
Mimikatzは、Windowsシステムから認証情報やパスワードハッシュ、認証関連の情報を抽出するために使用可能なツールで、攻撃者はこれを利用して横展開したり、被害環境に対するより広範な制御を獲得したりできます。
報告によれば、このツールセットにはリバースSOCKS通信の機能も含まれており、攻撃者はこれにより侵害済みシステム経由でトラフィックをルーティングできました。この手法は、インターネットに直接公開されていない内部サービスへのアクセスを攻撃者に許してしまう可能性があります。
また、外部への直接接続の必要性を減らしながら、横展開やリモート管理、データ収集を支援する役割も果たし得ます。
研究者らはさらに、既知の運用パターンと一致するサービスなりすましやタスク名も観測しており、これは公表済みのランサムウェアインシデントと関連していることを示しています。
こうした類似点は、活動クラスター同士に何らかの関係がある可能性を裏付ける証拠となります。ただし、この重複が同一の脅威アクターや被害組織の関与を証明するものではありません。
今回のキャンペーンのインフラには、Ethereumベースのc2要素も含まれていました。
ブロックチェーンを基盤とした C2メカニズムは、攻撃阻止の取り組みを複雑にする可能性があります。攻撃者がスマートコントラクトのデータやブロックチェーン上のトランザクションを利用して、設定情報や運用コマンド、更新されたインフラ情報を配布することがあるためです。
調査担当者は、同一系統の公開済み既知コントラクト4件に共通する4つのコントラクト定数を特定しました。
しかし研究者らによると、このフィンガープリントがEthereumブロックチェーン全体において一意なものであるかどうかは確認できなかったとのことです。今回の比較対象は既知のコントラクト群のみであり、関連する可能性のあるすべてのコントラクトを網羅したものではないとハンターらは述べています。
いくつかの調査上の疑問は依然として未解決のままです。IPアドレス77.110.126.46と押収されたドメインの間で共有されていた4つのファイルハッシュは、いまだ特定されていません。これは明確に指摘されたインテリジェンス上の空白であり、これらのハッシュが無害あるいは無関係であることを確認するものではありません。
ANY.RUNのブラウザ内データ検査で、検知・調査・対応をより迅速に-> ANY.RUNでSOCを強化
翻訳元: https://cyberpress.org/hackers-weaponize-ethereum-c2/
