脅威アクターが、インターネットに公開されたGeoVisionの監視ソフトウェアを悪用して企業ネットワークに侵入し、Microsoft Defenderを無効化したうえで、暗号資産マイニングマルウェアをひそかにインストールしています。Huntressの新たな調査で明らかになりました。
Huntressのセキュリティオペレーションセンター（SOC）がこの活動を確認したのは11月8日です。攻撃の大半は11月8日から10日にかけて発生し、その後もここ1週間にわたって続いています。これまでに、さまざまな業種の13組織が被害を受けました。GeoVisionは、台湾の監視・アクセス制御機器ベンダーです。
すべてのインシデントは、同じ起点であるGeoStartupAgentService.exeに行き着きました。これはGeoVisionのサービスで、多くのマシンでSYSTEM権限のまま動作していました。被害組織の外部IPアドレスをShodanで検索したところ、GeoVisionのデバイスや管理インターフェースがインターネット上に無防備に公開されていました。
まず防御を無力化
攻撃者は足がかりを得ると、GeoVisionのサービスからコマンドシェルを起動し、攻撃者が管理するサーバーから一連のPowerShellスクリプトをダウンロードしました。ペイロードをインストールする前に、被害組織のセキュリティツールを無力化する作業を進めていました。
スクリプトはMicrosoft Defenderが動作しているかを確認し、脆弱なカーネルドライバーwsftprm.sys（kvckiller.sysに偽装）をダウンロードしました。このドライバーは過去に、アンチウイルスを改ざんするBring Your Own Vulnerable Driver（BYOVD）攻撃で悪用された実績があります。さらに攻撃者は、Windowsの正規のデバッグ機能であるImage File Execution Options（IFEO）を使い、Defenderのアンチウイルスエンジンとwindows Securityのコンポーネントを乗っ取りました。これらはsystray.exeを代わりに起動するようリダイレクトされており、保護機能の起動そのものを阻止する狙いとみられます。
永続化され、排除しにくい
防御を弱めた後、最終スクリプトがGo言語で書かれたカスタムローダーを投下しました。このローダーは、ドメインcctv-update[.]topに関連するインフラと通信します。このドメインは、攻撃開始前日の11月7日に登録されていました。
このローダーは耐障害性の高さが際立っています。BitTorrent Mainline DHTクライアントとPKARRリゾルバーを備えており、BitTorrentのピアツーピアネットワーク上で公開鍵を使って、攻撃者の現在のサーバーを探し出せます。このため、運用者は新たなドメインを登録しなくてもインフラを移動でき、サーバーを1台止めただけではアクセスを遮断できません。
一部のマシンでは、ローダーがPackageUpdaterとPackageUpdater_Startupという名前のスケジュールタスクを作成し、15分ごとと起動時に自身を再起動するようにしていました。続いて、ApplyUpdate.exeに偽装したXMRigマイナーをインストールし、被害者の計算資源を乗っ取りました。
カメラも攻撃対象領域の一部
Huntressによると、今回のキャンペーンは、攻撃者がカメラシステムを標的にした一連のインシデントの最新例です。同社は、カメラ管理ソフトウェアを、ビル警備の別問題として扱うのではなく、企業の攻撃対象領域の一部として捉えるよう組織に促しています。
Huntressは、GeoVisionソフトウェアを運用する組織に対し、次の対策を推奨しています。
- GeoVisionのデバイスや管理インターフェースの不要なインターネット公開をやめ、VPNの背後に置くか、信頼できるIPアドレスからのアクセスに限定する。
- GeoStartupAgentService.exeが起動した予期しないコマンドシェルやPowerShellを調査する。
- GeoVisionのプロセスWebCamServer.exeからのUDP DHTの外向き通信（ポート6881など）、システムのDNSクライアント以外のプロセスによるパブリックリゾルバーへのDNSクエリ、update.exeが起動したschtasks /Createコマンドを監視する。
- 影響を受けたホストを隔離し、ファイルの削除や設定変更を行う前に証拠を保全する。
侵害指標（IoC）やMITRE ATT&CKのマッピングを含む詳細なアドバイザリーは、Huntressのブログで公開されています。https://www.huntress.com/blog/geovision-camera-software-xmrig-cryptominer
