フォローする
概要
Prometeiはロシアに関連するボットネットであり、Windowsサーバーを侵害して持続サービスをインストールし、資格情報を盗み、Moneroをマイニングし、ホストを保護して競合する侵入者をブロックします。カスタムXORおよびRC4暗号化を使用し、クリアウェブHTTPおよびTor経由で通信し、ステージド7-zipアーカイブを介して追加モジュールを取得します。マルウェアは収集と持続性のために正当なWindowsユーティリティに依存しています。
調査
eSentireの脅威対応ユニットは、2026年1月に建設部門のWindowsサーバーで感染を発見しました。悪意あるコマンドチェーンがXORキーのファイルを作成し、Base64ペイロードをダウンロードし、ローリングXORルーチンで復号してUPlugPlayサービスをインストールしました。レジストリ値にはホスト識別子と暗号化されたキーが格納され、アウトバウンドHTTP GETトラフィックは暗号化されたシステムの詳細を運びました。ステージドダウンロードは、マイニング用に使用される追加コンポーネントも展開しました。
緩和策
強力でユニークなRDPパスワードを施行し、MFAを有効にし、不要なリモートサービスを無効にし、アカウントロックアウトポリシーを適用します。AppLockerまたはWDACを使用してLOLBinの悪用を制限し、信頼できないツールの実行をブロックします。Windows Defenderまたは次世代AVをカスタムシグネチャで展開し、ファイアウォールルールが改変されて不正なインバウンドアクセスを許可されないようにします。
対応
ホストを隔離し、UPlugPlayを停止し、関連するファイルとレジストリキーを削除し、危険にさらされた資格情報をリセットします。他の感染したシステムをスキャンし、特定されたC2 IP/ドメインをブロックし、プロセス作成パターンの繰り返しや疑わしいファイアウォールルールの変更を監視します。
graph TB %% クラス定義セクション classDef action fill:#99ccff classDef tool fill:#ffcc99 classDef malware fill:#ff9999 classDef process fill:#ccffcc %% ノード定義 initial_access[“<b>アクション</b> – <b>T1021.001 Remote Services: Remote Desktop Protocol</b><br/>侵害されたRDP認証情報を使用してWindows Serverにログイン”] class initial_access action tool_cmd[“<b>ツール</b> – <b>名前</b>: cmd.exe<br/><b>説明</b>: Windowsコマンドシェル”] class tool_cmd tool malware_xor_key[“<b>マルウェア</b> – <b>ファイル</b>: C:\Windows\mshlpda32.dll<br/><b>目的</b>: cmd経由で書き込まれたXORキーを保存”] class malware_xor_key malware tool_powershell[“<b>ツール</b> – <b>名前</b>: PowerShell<br/><b>説明</b>: スクリプト実行とbase64-XORペイロードのデコード”] class tool_powershell tool malware_zsvc[“<b>マルウェア</b> – <b>ファイル</b>: C:\Windows\zsvc.exe<br/><b>目的</b>: 復号されたペイロードを書き込み実行”] class malware_zsvc malware malware_sqhost[“<b>マルウェア</b> – <b>ファイル</b>: C:\Windows\sqhost.exe<br/><b>目的</b>: サービス実行用にコピーされたペイロード”] class malware_sqhost malware service_node[“<b>アクション</b> – <b>T1569.002 System Services: Service Execution</b><br/>自動起動に設定されたWindowsサービス’UPlugPlay’を作成”] class service_node action firewall_rule[“<b>アクション</b> – <b>T1562.004 Impair Defenses: Disable or Modify System Firewall</b><br/>sqhost.exe用の受信ルールを追加しWinRMを無効化”] class firewall_rule action defender_exclusion[“<b>アクション</b> – <b>T1564.012 Hide Artifacts: File/Path Exclusions</b><br/>C:\Windows\dellにMicrosoft Defender除外を追加”] class defender_exclusion action tool_mimikatz[“<b>ツール</b> – <b>名前</b>: Mimikatz (miWalk32/miWalk64)<br/><b>説明</b>: LSA Secretsから資格情報を取得”] class tool_mimikatz tool credential_dump[“<b>アクション</b> – <b>T1003.004 OS Credential Dumping: LSA Secrets</b><br/>資格情報窃取のためMimikatzバイナリを展開”] class credential_dump action discovery[“<b>アクション</b> – <b>T1016 System Network Configuration Discovery</b><br/>ホスト名、ドメイン、IP構成を収集”] class discovery action archive[“<b>アクション</b> – <b>T1560.003 Archive via Custom Method</b><br/>流出前にLZNT1でデータ圧縮”] class archive action obfuscation[“<b>アクション</b> – <b>T1027.015 Obfuscated Files or Information: Compression</b><br/>LZNT1圧縮、RC4暗号化、二重base64使用”] class obfuscation action c2_web[“<b>アクション</b> – <b>T1102.002 Web Service: Bidirectional Communication</b><br/>パラメータ i r add h enckey answ を伴うHTTP GET/POST”] class c2_web action c2_http[“<b>アクション</b> – <b>T1071.001 Application Layer Protocol: Web Protocols</b><br/>clearwebおよびTOR上のHTTP通信”] class c2_http action c2_tor_proxy[“<b>アクション</b> – <b>T1090 Proxy</b><br/>C2通信をTOR隠しサービス経由でルーティング”] class c2_tor_proxy action c2_multi_hop[“<b>アクション</b> – <b>T1090.003 Proxy: Multi-hop Proxy</b><br/>マルチホップ匿名化にTORネットワークを使用”] class c2_multi_hop action lateral_movement[“<b>アクション</b> – <b>T1021 Remote Services</b><br/>RDPブルートフォース対策および横展開の可能性のためrdpcIip.exeをダウンロード”] class lateral_movement action tool_rdpcIip[“<b>ツール</b> – <b>名前</b>: rdpcIip.exe<br/><b>説明</b>: RDP失敗を監視しファイアウォール規則を更新”] class tool_rdpcIip tool netdefender[“<b>アクション</b> – <b>T1562.004 Impair Defenses: Disable or Modify System Firewall</b><br/>イベントID4625を監視しブルートフォースIPをブロック”] class netdefender action %% フロー接続 initial_access –>|executes| tool_cmd tool_cmd –>|writes| malware_xor_key initial_access –>|executes| tool_powershell tool_powershell –>|downloads_and_decrypts| malware_zsvc malware_zsvc –>|copies_to| malware_sqhost malware_sqhost –>|installs| service_node service_node –>|creates| firewall_rule service_node –>|adds_exclusion| defender_exclusion service_node –>|spawns| credential_dump credential_dump –>|uses| tool_mimikatz credential_dump –>|collects| discovery discovery –>|archives| archive archive –>|obfuscates| obfuscation obfuscation –>|sent_via| c2_web c2_web –>|communicates_via| c2_http c2_http –>|routed_through| c2_tor_proxy c2_tor_proxy –>|provides| c2_multi_hop c2_multi_hop –>|supports| lateral_movement lateral_movement –>|uses| tool_rdpcIip tool_rdpcIip –>|adds| netdefender
攻撃フロー
検知
Powershellによるダウンロードやアップロード（cmdline経由）
表示
コマンドとスクリプトインタープリタを介したアーカイブソフトウェアの実行（process_creation経由）
表示
疑わしいDefender除外の変更（cmdline経由）
表示
Powershellの難読化インジケータの可能性（powershell経由）
表示
Powershellからの疑わしい.NETメソッドの呼び出し（powershell経由）
表示
疑わしいPowershell文字列（cmdline経由）
表示
システム列挙の可能性（cmdline経由）
表示
IOCs（DestinationIP）を検知：Tenant from Hell：PrometeiのWindowsサーバーへの不正アクセス
表示
IOCs（HashSha256）を検知：Tenant from Hell：PrometeiのWindowsサーバーへの不正アクセス
表示
IOCs（SourceIP）を検知：Tenant from Hell：PrometeiのWindowsサーバーへの不正アクセス
表示
Prometeiペイロード実行およびWindows Defender回避の検知 [Windows Powershell]
表示
Prometei C2通信の検出HTTP経由 [Windowsネットワーク接続]
表示
Prometeiシステム情報収集 [Windowsプロセス作成]
表示
シミュレーション実行
前提条件: テレメトリとベースラインの事前検査が完了している必要があります。
理論: このセクションでは、検出ルールをトリガーするために設計された敵の技術 (TTP) の正確な実行を詳細に説明します。コマンドと説明は、特定されたTTPに直接反映され、検出ロジックによって期待される正確なテレメトリを生成することを目的としています。
-
攻撃の説明とコマンド:
敵は被害ホスト上でのリモートコード実行を取得し、インベントリおよび将来のペイロードのカスタマイズのために低レベルのハードウェアおよびOSバージョンの詳細を収集したいと考えています。物理リソースを消耗しないために、アクターは通常ブロックされることのないWindowsの組み込みユーティリティを使用します:- OSバージョンの照会 –
cmd.exe /c ver（古典的なバージョン文字列） - マザーボードの製造元を取得 –
wmic baseboard get Manufacturer. - コンピュータのモデルを収集 –
wmic ComputerSystem get Model.
これらのコマンドは、一つのPowerShellスクリプト内で順次実行され、現実的な事後エクスプロイトモジュールを模倣します。各コマンドは、Sigmaルールの条件に一致する過程生成イベントを生成します。
- OSバージョンの照会 –
-
回帰テストスクリプト:
# Prometeiスタイルのシステムフィンガープリンティングシミュレーション # ------------------------------------------------ # 1. OSバージョン cmd.exe /c ver # 2. マザーボードの製造元 wmic baseboard get Manufacturer # 3. コンピュータのモデル wmic ComputerSystem get Model -
クリーンアップコマンド:
# ローカルテストマシンから生成されたイベントログを削除（オプション） wevtutil cl Microsoft-Windows-Sysmon/Operational wevtutil cl Security
レポートの終わり