アフィリエイトを炙り出す: SmokedHam、Qilin、いくつかのGoogle広告とボスウェア

SOC Prime Team

フォローする

アフィリエイトを炙り出す: SmokedHam、Qilin、いくつかのGoogle広告とボスウェア

Detection stack

AIDR
Alert
ETL
Query

脅威レポート
攻撃フロー
検出
シミュレーション

概要

Orange Cyberdefenseは、2026年初頭にランサムウェア・アフィリエイトが、正規のユーティリティソフトウェアに偽装した悪意のある広告を通じて、SmokedHamバックドアを配布したと報告しました。確認された少なくとも1つの侵入では、そのバックドアは後にQilinランサムウェアを配信するために使用されました。研究者は、この活動を以前DarkSide、LockBit、およびHunters Internationalのオペレーションに関連付けられていたロシア語話者のアフィリエイトUNC2465に中程度の信頼性で帰属させました。

調査

この調査では、2025年および2026年に収集された30以上のSmokedHamサンプルをレビューし、Cloudflare Workersを使用したドメイン尊主化とAWSホスティングインフラストラクチャを組み合わせたマルバタイジングドメインを特定しました。アナリストはまた、PuTTYやTotal Commanderのような正規のツールの悪用を記録し、悪質な活動を通常の管理業務に馴染ませるために使われたとしています。報告書では、UNC2465との戦術的な重なる活動についても強調されていました。

緩和策

防御者は既知のマルバタイジングドメインをブロックし、RVToolsやRemote Desktop Managerのようなツールのアプリケーション許可リストを施行し、正規の管理用ユーティリティの異常な使用を監視するべきです。エンドポイント検出のカバレッジを強化して、SmokedHamバックドアの挙動や関連する侵害後の活動を識別する必要があります。クラウドベースの脅威インテリジェンスフィードを使用することで、検出と拡充の取り組みをさらに改善することができます。

対応

疑わしい活動が確認された場合は、影響を受けたホストを直ちに隔離し、フォレンジックアーティファクトを収集して、SmokedHamおよびQilinに関連する指標を検索します。調査者はまた、資格情報の盗難やランサムウェアの暗号化がすでに発生しているかどうかを判断する必要があります。関連インフラストラクチャ全体でのより広範な脅威ハンティングと、確立されたランサムウェアインシデント対応手順のアクティベーションが推奨されます。

graph TB classDef action fill:#99ccff classDef malware fill:#ff6666 classDef tool fill:#cccccc classDef service fill:#ffd966 classDef impact fill:#ff9999 action_initial[“アクション – T1659 コンテンツインジェクション（マルバタイジング） RVTools/Remote Desktop Managerを装った悪意のあるインストーラ”] class action_initial action action_user_exec[“アクション – T1204 ユーザー実行 被害者が偽装されたインストーラを実行する”] class action_user_exec action malware_smokedham[“マルウェア – T1127 信頼された開発者ユーティリティのプロキシ実行 バックドア SmokedHam がインストールされる”] class malware_smokedham malware action_embedded_payload[“アクション – T1027.009 埋め込みペイロード SmokedHam ペイロードは正規ユーティリティ内に難読化されている”] class action_embedded_payload action action_polymorphic[“アクション – T1027.014 ポリモーフィックコード バリアントはパッキングとコード変異を使用する”] class action_polymorphic action action_rat[“アクション – T1219 リモートアクセスツール SmokedHam は正規ツールを使用して C2 を確立する”] class action_rat action tool_putty[“ツール – PuTTY C2 に使用される SSH クライアント”] class tool_putty tool tool_kitty[“ツール – KiTTY SSH クライアントの派生版”] class tool_kitty tool tool_zoho[“ツール – Zoho Assist C2 に使用されるリモートサポートツール”] class tool_zoho tool action_c2_comm[“アクション – T1102.001/002/003 通信 Cloudflare Workers と AWS を介した C2”] class action_c2_comm action service_cloudflare[“サービス – Cloudflare Workers”] class service_cloudflare service service_aws[“サービス – AWS”] class service_aws service action_tunnel[“アクション – T1572 プロトコルトンネリング 正規サービスを介してトラフィックをトンネリングする”] class action_tunnel action action_ssh_hijack[“アクション – T1563.001 リモートサービスセッションハイジャック（SSH） 盗まれた資格情報によるハイジャック”] class action_ssh_hijack action action_rdp_hijack[“アクション – T1563.002 リモートサービスセッションハイジャック（RDP） RDP セッションのハイジャック”] class action_rdp_hijack action action_exploit_remote[“アクション – T1210 リモートサービスの悪用 内部ホストへのラテラルムーブメント”] class action_exploit_remote action action_input_capture[“アクション – T1056.003 入力キャプチャ Web ポータルの資格情報を取得する”] class action_input_capture action action_account_manip[“アクション – T1098.004 アカウント操作 永続化のため SSH 承認キーが追加される”] class action_account_manip action malware_qilin[“マルウェア – Qilin ランサムウェア 被害者データを暗号化する”] class malware_qilin impact action_initial –>|leads_to| action_user_exec action_user_exec –>|leads_to| malware_smokedham malware_smokedham –>|leads_to| action_embedded_payload action_embedded_payload –>|leads_to| action_polymorphic action_polymorphic –>|leads_to| action_rat action_rat –>|uses| tool_putty action_rat –>|uses| tool_kitty action_rat –>|uses| tool_zoho action_rat –>|communicates via| action_c2_comm action_c2_comm –>|uses| service_cloudflare action_c2_comm –>|uses| service_aws action_c2_comm –>|enables| action_tunnel action_tunnel –>|enables| action_ssh_hijack action_ssh_hijack –>|enables| action_rdp_hijack action_rdp_hijack –>|enables| action_exploit_remote action_exploit_remote –>|enables| action_input_capture action_input_capture –>|enables| action_account_manip action_account_manip –>|enables| malware_qilin

攻撃フロー

SOC PrimeのDetection as Codeプラットフォームに参加し ビジネスに最も関連性のある脅威に対する可視性を向上させましょう。開始して即座に価値をもたらすためには、今すぐSOC Primeの専門家とのミーティングを予約してください。

無料で参加