チェーンシェル: MuddyWaterとロシアのMaaS

概要

MuddyWaterは、イランに関連した諜報活動を行う攻撃者で、ロシアのTAG-150マルウェア-as-a-serviceプラットフォームを利用して CastleRAT および新しいNode.jsベースでブロックチェーン対応のC2エージェント、ChainShellをイスラエルやその他の高価値のターゲットに対して配信しています。この活動は、露出したミスのあるC2ウェブサーバー、PowerShellデプロイメントスクリプト（reset.ps1）、ステガノグラフィを介して隠蔽されたPEペイロードによってサポートされています。複数のCastleRATリリース（ビルド120とビルド13を含む）には、同じMaaS世代を示す共通のハードコードされた識別子が含まれています。バックエンドインフラストラクチャはキャンペー化され、共有ドメイン（例えば、serialmenot.com）や各操作ごとのJWTクレデンシャルを使用して展開ごとにアクセスと追跡が分離されています。

調査

JUMPSECは露出したC2ホストをレビューし、15のマルウェアサンプルを回収し、reset.ps1デプロイメントロジックがChainShellと複数のCastleRATビルドの配信に関連していることを確認しました。調査員はまた、既知のMuddyWaterツールに見られるコード署名証明書（Amy CherneとDonald Gay）をTAG-150 MSIインストーラに結び付け、高い信頼性の帰属の証拠を形成しました。既知のMuddyWaterツールとTAG-150 MSIインストーラに見られる追加のサンプル間の重複が観察され、ツールとサーバーサイドアーティファクトに埋め込まれたハードコードされたビルドマーカー、再発するスケジュールドタスクの命名規則、およびJWTキャンペーンIDが一貫していました。

緩和策

reset.ps1、関連するスケジュールドタスク、CastleRATおよびChainShellにリンクされたユニークなミューテックスまたはファイルパスアーティファクトを監視します。既知のTAG-150インフラストラクチャをブロックし、serialmenot.com、ttrdomennew.com、およびsharecodepro.comを含み、PowerShell駆動のNode.jsコンポーネントのインストールを徹底的に調査します。厳格なコード署名の管理を施し、疑わしい証明書を既知のMuddyWater関連の署名素材と照合して検証します。

対応

インジケータが見つかった場合、影響を受けたエンドポイントを隔離し、完全なディスクとメモリイメージをキャプチャし、その他のCastleRATおよびChainShellの残余をスイープします。危険なコード署名証明書の信頼を取り消し、影響を受けた資格情報をリセットし、関連する全国CERTと報告を調整します。Ethereum RPCアクセスパターンやJWT使用を含むnetwork telemetryをレビューし、serialmenot.comコマンドアンドコントロールワークフローに関連しています。

シミュレーション実行

前提条件：テレメトリー＆ベースライン事前フライトチェックが合格していること。

• 攻撃の流れ＆コマンド：

  1. ステージ1 – シンプルなC2サーバーを準備します （攻撃者のマシンまたは制御されたVMで実行）。サーバーはポート9999でリスンし、受信データをエコーします。

  2. ステージ2 – ターゲットWindowsホストでPowerShellバックドアを起動する ポート9999でC2サーバーにTCP接続を開きます。ペイロードは、.NETクラスをネイティブに使用して、別の実行ファイルを作成せずに、“living-off-the-land”アプローチを模倣します。

  3. ステージ3 – オプションのプロキシホップ： PowerShellスクリプトは最初にローカルHTTPプロキシ（127.0.0.1:8080でリスン）に接続し、TCPトラフィックをリモートC2サーバーに転送し、宛先ポートが変わらないことを実証します。

  これらのステップはファイアウォールイベントを生成し DestinationPort = 9999をSigmaルールに合わせて満たします。

• 回帰テストスクリプト：

  # -------------------------------------------------
  # CastleRATスタイルC2シミュレーション – PowerShell
  # -------------------------------------------------
  # 1. C2サーバーアドレスの定義（テストIPと置き換えてください）
  $c2Ip = "10.0.0.50"
  $c2Port = 9999
  
  # 2. オプション：ローカルプロキシの定義（プロキシホップをテストしたい場合）
  $useProxy = $false
  $proxyHost = "127.0.0.1"
  $proxyPort = 8080
  
  # 3. TCPストリームを開くための関数（直接またはプロキシ経由）
  function Invoke-C2Connection {
      param (
          [string]$destIp,
          [int]$destPort,
          [bool]$viaProxy
      )
      if ($viaProxy) {
          # シンプルなHTTP CONNECTトンネル
          $proxyUri = "http://$proxyHost`:$proxyPort"
          $client = New-Object System.Net.Sockets.TcpClient($proxyHost,$proxyPort)
          $stream = $client.GetStream()
          $connectRequest = "CONNECT $destIp`:$destPort HTTP/1.1`r`nHost: $destIp`r`n`r`n"
          $bytes = [System.Text.Encoding]::ASCII.GetBytes($connectRequest)
          $stream.Write($bytes,0,$bytes.Length)
          # プロキシ応答を破棄
          $buffer = New-Object byte[] 1024
          $null = $stream.Read($buffer,0,$buffer.Length)
          Write-Host "[+] プロキシトンネル確立"
          return $stream
      } else {
          $client = New-Object System.Net.Sockets.TcpClient($destIp,$destPort)
          Write-Host "[+] 直接TCP接続確立"
          return $client.GetStream()
      }
  }
  
  # 4. 接続を開く
  $stream = Invoke-C2Connection -destIp $c2Ip -destPort $c2Port -viaProxy:$useProxy
  
  # 5. シンプルなビーコンを送信
  $beacon = "CastleRAT Beacon $(Get-Date -Format o)`n"
  $bytes = [System.Text.Encoding]::UTF8.GetBytes($beacon)
  $stream.Write($bytes,0,$bytes.Length)
  Write-Host "[+] ビーコン送信"
  
  # 6. 短期間チャンネルをオープンに保つ（持続性のシミュレーション）
  Start-Sleep -Seconds 15
  
  # 7. クリーニング
  $stream.Close()
  Write-Host "[+] 接続終了"

• クリーニングコマンド：

  # 残存するTCP接続が閉じられていることを確認
  Get-NetTCPConnection -RemotePort 9999 -State Established | ForEach-Object {
      try {
          $proc = Get-Process -Id $_.OwningProcess -ErrorAction SilentlyContinue
          if ($proc) { Stop-Process -Id $proc.Id -Force }
      } catch {}
  }
  
  # ローカルで起動された場合は、任意の一時プロキシリスナーを削除
  Stop-Process -Name "python" -Force -ErrorAction SilentlyContinue

追加の観察＆強化の推奨

1. ポートベースの検出を強化： ポートチェックを既知の悪意のあるC2 IP/ドメイン、TLSフィンガープリンティング、または異常なトラフィック量ヒューリスティクスと組み合わせます。
2. 正当なサービスの許可リスト： アプリケーションが正当にポート9999または8888を使用しているもの（例：特定のデータベースや管理ツール）の例外リストを作成します。
3. 行動ベースライン: 高リスクのポートへの低頻度のアウトバウンド接続をフラグにする統計モデルを展開し、非サーバーエンドポイントからの発信を検出します。
4. プロセスコンテキスト: ファイアウォールイベントを発生元プロセス（ImageFileName, CommandLine）と関連付けます。予期しないプロセス(e.g., powershell.exe, cmd.exe).

)によって行われる接続にフラグを立てます。 2 これらの緩和策を適用することで、ルールの耐性を現在の から 範囲まで引き上げ、本物のCastleRAT C2トラフィックの検出を維持しながら、偽陽性を劇的に減少させます。