新たなSirius型バックドア、Windowsの正規プロセス内に潜伏してパスワードを窃取し検知を回避

優先顧客の調査の過程で、これまで文書化されていなかったSiriusバックドアの亜種が確認されました。調査からは、正規のWindowsプロセス内に悪意あるコードを潜ませる多段階の攻撃キャンペーンの実態が明らかになっています。

提供された分析では、ステルス性の高いリモートアクセスと永続化の手口が詳しく説明されています。ただし、パスワードを具体的に窃取する機能までは裏付けられていません。

金銭面の緊急性をあおる内容や地域に合わせた作り込みは、見慣れたブランドへの信頼を悪用する従来のフィッシング手法と共通しています。

見た目は白紙のPDFですが、/OpenActionおよび/LaunchオブジェクトでPowerShellを呼び出します。その際、ウィンドウ非表示、非対話、実行ポリシー回避の引数が指定されます。

重要なのは、実行にはPDFリーダーのセキュリティ確認プロンプトを被害者が承認する必要がある点です。添付ファイルを開くだけで感染が保証されるわけではありません。

Securityflaw patching

Base64でエンコードされたPowerShellコマンドは、埋め込まれたデータをAESのCBCモードで復号し、GZipで展開します。その結果得られる.NETアセンブリを、リフレクションによって直接メモリ上にロードします。

これにより、従来型のファイルスキャンで検出できる実行ファイルの痕跡が減ります。ファイルレスマルウェアの典型的な特徴です。

最初のローダーはさらに難読化の層を加えます。XOR演算とSHA256ハッシュでRC4の鍵を導出し、内部リソースを復号します。続いて、3バイトごとに1バイトを抽出して次のアセンブリを再構築します。

間に挟まれた不要なバイトを捨てることで、リフレクションによる実行の前に実行ファイルのMZヘッダーが復元されます。

Trellixの研究者らによると、このキャンペーンはFedExの請求通知を装った韓国語のメールから始まります。217,740韓国ウォンの支払いを求める偽の税務請求書が、受信者をFedex_tax_receipt.zipへ誘導します。このZIPには、武器化されたPDFが含まれています。

2つ目のローダーは、EtwEventWriteとNtManageHotPatchにパッチを当て、セキュリティテレメトリへの干渉を試みます。

Securityflaw patching

こうした改変は、自身の活動に対する可視性を狙ったものです。ただし、提供された証拠では、Windowsのログ記録やエンドポイント検知のすべてが無効化されるとまでは示されていません。

Siriusバックドアの亜種

次にインジェクターは、dubaitechnicalservice[.]aeからzeus.datを取得します。ダウンロード処理は複数の.NETネットワークインターフェースに対応しています。また、RC4で暗号化されたURLにより、接続先はバイナリ内で隠されています。

Siriusのようなネイティブ型のペイロードの場合、ローダーは正規プロセスを中断状態で作成し、そのメモリに悪意あるコンテンツを書き込みます。そして、非同期プロシージャコール（APC）を通じて実行をキューに入れます。

ホストとなり得るプロセスには、msbuild.exeやsvchost.exeがあります。これによりバックドアは、一見見慣れたプロセスの文脈の中で動作できます。

研究者らは、この実行経路をプロセスホロウイングとEarly Bird APCインジェクションの組み合わせだと説明しています。

この違いは運用上、重要です。防御側は実行ファイル名を信用するのではなく、プロセスの親子関係、メモリの内容、実行時の挙動を調べる必要があります。

エンドポイント検知基盤は、こうしたプロセスや通信の証拠を相関分析し、不審な活動を調査します。

SiriusはMicrosoft Visual C++製のバックドアです。設定情報はCaffee_Configリソースに格納される場合と、メモリ上のSIRIUS_STUB_CONFIGマーカーの後ろに置かれる場合があります。

分析した設定では、185.114.206[.]45:4449がコマンド&コントロール（C2）のエンドポイントとして指定されています。また、Microsoftを模したインストールパスが使われています。

挙動を制御するフラグにより、ミューテックスの確認、隠しファイル属性、地理的な制限、レジストリのRunエントリ、スケジュールタスク、スタートアップのショートカットが有効になります。

さらに権限や設定に応じて、デフォルトプロファイルの改変、セットアップスクリプト、リカバリ用プロビジョニングパッケージによる永続化も試みます。

こうしたインストール機構があるため、感染全体を完全なファイルレスと表現するのは適切ではありません。メモリ常駐型の配信と、ディスクに書き込まれるペイロードや永続化の痕跡は併存し得ます。

セキュリティチームにとって当面の優先事項は、PDFを起点としたPowerShellの実行を、通常とは異なる子プロセスや外部への通信と突き合わせることです。

Securityflaw patching

添付ファイルの検査、エンドポイントの監視、ネットワークの可視化を組み合わせれば、ファイルシグネチャだけに頼ったり、個別のインフラ指標をブロックしたりするより強力な防御になります。

IOC（侵害指標）

注: IPアドレスとドメインは、誤って名前解決されたりハイパーリンク化されたりするのを防ぐため、意図的に無害化（デファング、例: [.]）しています。無害化を元に戻す（リファング）のは、MISP、VirusTotal、自社のSIEMなど、管理されたスレットインテリジェンス基盤の中だけにしてください。

サイバー脅威を被害が出る前に阻止し、MTTRを21分短縮。ANYRUNのサンドボックスをSOCに導入。