独自開発によるフルスタックのマルウェア・アズ・ア・サービス（MaaS）プラットフォームが登場し、サイバー攻撃者は組織の企業ネットワークを侵害するために必要なものをすべて手に入れられるようになりました。カスタムマルウェアを用いたサイバー犯罪ビジネスの立ち上げコストが、住宅ローンの返済額よりも安くなりつつある現状を示す事例です。
SOCRadarの研究者らは、これまで報告されていなかったプラットフォーム「VectraRAT」を発見しました。これはフル機能のWindowsインプラント、コマンド＆コントロール（C2）インフラ、そして既存のマルウェアを流用するのではなくゼロから構築されたオペレーターパネルを備えているとする最新のレポートが公表されています。この点が、組織ネットワークへの初期侵入を目的とする他のMaaSプラットフォームとは一線を画しています。それらの多くは通常、既存のマルウェアを活用・改変して構築されているとレポートは指摘しています。
「クライムウェアフォーラムで販売されているリモートアクセスツールの大半は、借り物の品です。リークされたAsyncRATのビルド、クラックされたXWormのライセンス、新しいアイコンと名前を付けただけのQuasarRATの派生版といった具合です」と、SOCRadarのレポートは述べています。
VectraRATはこれとは事情が異なります。レポートによれば、「Linuxの制御サーバー、Windowsインプラント、両者間のプロトコル、オペレーターに課金を続けさせるライセンス機構に至るまで、そのすべての層が同一の開発者によって書かれており」、「そのいずれについても公にドキュメント化されたことはなかった」とのことです。しかも、その利用コストは顧客にとって月額わずか250ドルです。
セキュリティ企業Suzu LabsのCTO（最高技術責任者）であるDenis Calderone氏はDark Reading誌の取材に対し、「本当に驚くべきは、このソリューションがいかにフル機能であるか、そして他のMaaSソリューションからの派生ではなく完全にゼロから構築されている点です」と語っています。「非常に高度な作りで、ユーザーアカウント制御（UAC）のバイパスを行い、C2には独自プロトコルを使用しており、価格設定は中堅のSaaS（Software-as-a-Service）アプリケーションと変わりません」
VectraRATマルウェアの概要
VectraRATの背後にいるオペレーターは、検出されることなく4年近くにわたって活動を続けていました。研究者らは、2022年8月まで遡るYouTubeチャンネルを持つ「Nyxel」という以前の名義を発見しています。もっとも、今回のリブランドは表面的な「マーケティング上の装い」にすぎないようです。研究者らは、オペレーターが「旧来のNyxel Hubと新しいVectraHubを並べて提示しており、両者の間に機能的な違いは一切なかった」と観測しています。
SOCRadarがこのプラットフォームを発見したのは6月23日のことです。研究者らはあるオープンディレクトリを目にしたことをきっかけに調査を開始し、最終的に10台を超えるサーバー、数十件のサンプル、実際のオペレーターに属するパネルログ、さらにはプラットフォーム開発者本人とのTelegramでのやり取りにまで行き着きました。
その会話の中で開発者は、完全に検出回避が可能なクリプティングサービスなどのアドオンサービスを月額100ドルから350ドルで提供しているほか、クリプティングやその他のサービスをまとめたパッケージを2,000ドル以上で提供していることも明らかにしています。開発者はまた、名指しのアンチウイルス（AV）製品に対するスキャン結果も示しましたが、研究者らによれば「検出率は製品、バージョン、設定によって異なる」との但し書きも添えられていたということです。
SOCRadarによれば、典型的なバージョンのVectraRATは、成熟したリモートアクセス型インプラントに共通する機能一式を備えています。このマルウェアはAmadeyローダーとClickFixページを介して配布されます。後者は攻撃者に人気のソーシャルエンジニアリング手法です。インストールされると、隠しデスクトップ、リモートでのCMDおよびPowerShellアクセス、キーロギング、ファイル転送、プロセス探索、クリップボード操作、SOCKS5プロキシ機能などを攻撃者に提供します。
レポートによれば、このプラットフォームは被害者が攻撃者のインフラに最初に接続した時点で、ブラウザの認証情報を自動的に収集するほか、価値のありそうな.env、.conf、.configファイルを検索します。これにより攻撃者は機密データにアクセスできるだけでなく、侵害した端末への継続的な対話型アクセスも獲得し、そこを足掛かりにその他の悪意ある活動を展開できます。SOCRadarによれば、こうした活動には環境内部の探索、追加の認証情報の窃取、機密ファイルへのアクセス、そして組織内部へのさらなる侵入の試みなどが含まれる可能性があるとのことです。
ユーザーアカウント制御バイパス機能が他製品との差別化要因に
VectraRATにはさらに、被害者に通常のUAC昇格プロンプトを表示することなく高権限プロセスを取得できるUACバイパス技術も組み込まれています。レポートによれば「これこそが、VectraRATを50ドル階層の製品群と一線を画す部分」です。この機能により攻撃者は、最初に侵害した一般ユーザーのワークステーションを、その後の活動に向けたより強力な足場へと変貌させることができます。
SOCRadarは今回のVectraRATに関する調査において、特定の地域やセクターを狙った標的型の傾向は確認していませんが、被害者データにおいて最も多く見られた地域は米国、ロシア、ドイツであったと指摘しています。
さらにオペレーターは、事後の手動によるデータ窃取のために価値の高いホストを選別していたことも判明しています。被害者エントリの48%は、Windows Enterprise、Enterprise LTSC、IoT Enterprise LTSC、Windows Server 2025を含む、法人向けWindowsエディションに該当していました。加えて研究者らは、侵害されたシステムからのファイル窃取も確認しています。「これは明らかに、より価値の高い法人ターゲットを攻撃するためのソリューションとして売り出されています」とCalderone氏は述べています。
VectraRATがサイバー防御側にもたらす意味
防御側にとって、VectraRATの登場は単に検知すべきRATがもう一つ増えたというだけの話ではありません。研究者らが指摘するように、これはサイバー犯罪エコノミーが、サブスクリプション型でプロフェッショナルに開発された攻撃基盤へと着実にシフトし続けていることの表れでもあります。こうした流れは犯罪者側の技術的な参入障壁を一貫して押し下げる一方、防御側には対処すべき高度な脅威をまた一つ突きつけることになります。
「以前であれば、これを開発するのに1年以上はかかり、しかもバグだらけになっていたはずです」とCalderone氏は語ります。「割に合わない労力だったものが、今では『バイブコーディング』でさっと作り上げられてしまいます。この種のものは今後、減るどころかむしろ増えていくと予想しています」
幸いなことに、一般的な防御対策にとってVectraRATは追跡可能な痕跡を残しており、SOCRadarは組織に対して侵害指標（IoC）やその他注意すべき手がかりを提供しています。これには、C2オーバーライドファイルという形で現れる特定のIoC、アウトバウンドTCP 3308ポートを介した自動昇格の悪用、デバッグAPIのシーケンス、隠しPowerShellなどが、レポートに記載されたその他の項目とともに含まれています。
人的な観点からも、研究者らは初期侵入経路であるClickFixへの対策について指針を示し、「相手に実行ダイアログを開かせてコマンドを貼り付けさせるような確認ページは、決して正規のものではない」と注意を促しています。さらにレポートによれば、研究者らが確認した「最も活発なキャンペーン」で使われていた配布経路については、たった一つのルールで封じることができたということです。
翻訳元: https://www.darkreading.com/endpoint-security/vectrarat-hack-windows-enterprises
