ANGRYREBELやNood RATとしても追跡されているNoodle RATは、中国語圏の脅威アクターがWindowsおよびLinuxシステムへの密かなアクセスを維持するために使用する、モジュール型のリモートアクセス型トロイの木馬です。
少なくとも2016年半ばから活動しているこのマルウェアは、かつてはGh0st RATやRekoobeの亜種と誤認されていました。しかし現在では、研究者たちはこれを独自のバックドアファミリーとして分類しており、Windows版とLinux版が別個に開発されています。
このマルウェアは長期的なアクセス維持、データ窃取、ネットワーク内の横展開を目的として設計されています。攻撃者は侵害後に検知を逃れるため、スケジュールタスクやCronジョブ、スタートアップ機構、暗号化通信、プロセス偽装といった手法を駆使しています。
Noodle RATはタイ、インド、日本、マレーシア、台湾を含むアジア太平洋地域全域で、スパイ活動や金銭目的のキャンペーンに使用されてきました。
このマルウェアの使用が確認されている脅威グループには、Iron Tiger、Calypso APT、Rocke、Cloud Snooperなどがあります。運用主体の幅広さから、このマルウェアは国家との関連が疑われるスパイ活動と、サイバー犯罪活動の両方に対応できる柔軟性を備えていることがうかがえます。
Win.NOODLERATと呼ばれるWindows版は、メモリ上で動作するモジュール型バックドアです。攻撃者はMULTIDROPやMICROLOADといったローダーを使い、シェルコード経由でこれを読み込むことができるため、完全なマルウェア実行ファイルをディスク上に保存する必要性を減らせます。
起動後、このWindows版インプラントはファイルのアップロード・ダウンロード、追加モジュールの実行、TCPプロキシの作成、コマンドの実行、そして自己削除を行うことができます。
また、プロセス偽装やマスカレード技術を使って悪意ある活動を隠すこともできます。これらの手法により、マルウェアのプロセスやファイルがユーザーや防御側の目には正規のものに見えてしまう可能性があります。
Noodle RATのLinux版であるLinux.NOODLERATは、攻撃者が公開アプリケーションの脆弱性を突いたり、Webシェル経由でアクセスを得たりした後に展開されるのが一般的です。
このLinux版バックドアは、リバースシェルアクセス、ファイル管理、タスクスケジューリング、SOCKSトンネリング、コマンド実行機能を備えています。これにより攻撃者は侵害したサーバーを遠隔操作し、そこを経由してトラフィックをルーティングできます。
両バージョンは類似したC2(コマンド&コントロール)アーキテクチャと設定フォーマットを共有しており、統一された開発体制がうかがえます。ただし、暗号化方式は異なっています。
Windows版サンプルは、設定データとC2通信の保護にRC4、XOR、独自の暗号化ルーチンを使用しています。一方、Linux版サンプルはHMAC-SHA1認証とAES-128-CBC暗号化を採用しています。
Noodle RATは再起動を乗り越えて攻撃者が常時アクセス可能な状態を保つため、複数の永続化手法を使用します。Windows環境では、レジストリのRunキー、スタートアップフォルダへのエントリ、あるいはスケジュールタスクを作成することがあります。
スケジュールタスクは、起動時、ユーザーのログオン時、あるいは指定された時刻にマルウェアを実行できるため、運用者は手動での再感染なしにアクセスを回復できます。
Linux環境では、攻撃者はCronジョブやRCスクリプトを使ってバックドアを自動実行させることができます。Cronベースの永続化は、悪意あるコマンドを日常的な管理タスクの中に紛れ込ませることができるため、公開サーバー上では特に危険です。
このマルウェアはまた、正規のアカウントを悪用することで通常の認証活動に紛れ込むことも可能だと、cyberintは述べています。
このRATは、Webプロトコルや非アプリケーション層プロトコルを通じて、暗号化・難読化されたC2通信をサポートしています。
また、収集したデータをアーカイブ化してコマンドチャネル経由で窃取する前に、ファイルやディレクトリ、システム情報、保護されていない認証情報を探索することもできます。
16,000以上のSOCチームがANY.RUNを活用し、脅威調査を効率化して手作業の負担を軽減しています。貴チーム向けの詳細はこちら
翻訳元: https://cyberpress.org/noodle-rat-hides-persistently/
