APT-Q-27 マルウェアキャンペーンがWeb3カスタマーサポートを狙う

概要

APT-Q-27（別名 GoldenEyeDog）として追跡される金銭的動機を持つ脅威アクターが、Web3のカスタマーサポートチャットインタラクションから始まる多段マルウェアキャンペーンを展開しています。初期の誘引はスクリーンショットとして偽装された.pifファイルで、カスタム.NETローダーを展開します。そのローダーはAWS S3から追加段階を引き出し、隠されたステージングディレクトリを構築し、不正なDLLを正当なYYプラットフォームの実行ファイルと組み合わせることでサイドローディングを行います。最終段階では、標準外のTCPポートを介して通信を行うバックドアをインストールし、通常のウェブトラフィックベースラインを超えたステルスなリモートアクセスを可能にします。

調査

ZeroShadowはFeedback.exeやphoto2025060268jpg.exeを含む複数のローダーバリアントを分析し、チェーン内に埋め込まれた重複Base64エンコードのC2 URLを回収しました。リバースエンジニアリングにより、ローダーの復号ロジックおよび実行をブートストラップするために使用されるサイドローディングのワークフローが明らかにされました。アナリストは、「@27」を含む一貫したステージングパスのマーカー、およびSystemUpdatsというHKCU実行値を用いた永続性メカニズムも記録しました。観察されたバックドアは、37のハードコードされたC2 IPアドレスのセットを使用し、TCP 15628を介して通信し、Microsoftの更新URLをデコイネットワーク指標として参照することで活動を隠蔽していました。

緩和策

エンドポイント全体でファイル拡張子の完全な可視性を有効にし、.pifファイルの実行をブロックします。Windows Updateスタイルのキャッシュ場所の下での隠しディレクトリ作成を監視し、SystemUpdats実行キー値でアラートを発します。攻撃者が3つの関連ポリシーキーを同時にゼロ化するのを防ぐことでUACを強化し、イグレスポイントでTCP 15628への外向き接続を制限します。コードサイン検証を強化し、非システムディレクトリから起動される署名済みバイナリを精査してDLLサイドローディングリスクを低減します。

対応

検出が発生した場合、エンドポイントを隔離し、トリアージのためにメモリとディスクの両方のアーティファクトを保存します。「@27」が含まれるステージングディレクトリ、SystemUpdats実行キーエントリ、および正当なYY実行ファイルとペアになった疑わしいDLLを捜索します。識別されたC2 IPs/ドメインをブロックし、ユーザープロファイルパスからの未署名または不信頼なバイナリエクスキューションを防ぐアプリケーション制御ポリシーを展開します。同じ永続性およびネットワークパターンの下でフリート全体を拡大し、追加の影響を受けたホストを特定します。

シミュレーションの実行

前提条件: テレメトリー & ベースラインの事前チェックが合格している必要があります。

理論: このセクションでは、検出ルールをトリガーするために設計された敵対者技術 (TTP) の正確な実行を詳細に説明します。コマンドとナラティブは、特定されたTTPsを直接反映し、検出ロジックが期待する正確なテレメトリーを生成することを目的としなければなりません。

• 攻撃ナラティブとコマンド:
  ローカル管理者権限を持つ敵対者は、さらなる権限昇格ツールへの道をスムーズにするためにUACを無効化しようとします。ネイティブ reg.exe ユーティリティ (生活オフのランドバイナリ) を使って、攻撃者は3つの重要なUACポリシー値を 0 に素早く (30秒以内) 設定して、手動監査プロセスによる検出を回避します。

  # ステップ1 – UAC「EnableLUA」を無効化
  reg add "HKLMSOFTWAREMicrosoftWindowsCurrentVersionPoliciesSystem" /v EnableLUA /t REG_DWORD /d 0 /f
  
  # ステップ2 – 管理者の同意プロンプトを無効化
  reg add "HKLMSOFTWAREMicrosoftWindowsCurrentVersionPoliciesSystem" /v ConsentPromptBehaviorAdmin /t REG_DWORD /d 0 /f
  
  # ステップ3 – UACプロンプトのセキュアデスクトップを無効化
  reg add "HKLMSOFTWAREMicrosoftWindowsCurrentVersionPoliciesSystem" /v PromptOnSecureDesktop /t REG_DWORD /d 0 /f

  これらの3つのコマンドは、3つの レジストリエベント ログ (イベントID 4657 セキュリティチャンネルと対応する Microsoft-Windows-Registry/Operational イベント) を生成し、Sigmaルールが一致する ターゲットオブジェクト パスと 詳細 値を含みます。

• 回帰テストスクリプト: 以下のPowerShellスクリプトは、30秒以内に収まるように、各5秒間のポーズを伴って3つの書き込みを実行し、また決定的な実行フローを提供します。

  # 回帰テスト – レジストリを通じてUACを無効化
  $regPath = "HKLM:SOFTWAREMicrosoftWindowsCurrentVersionPoliciesSystem"
  
  # 後でクリーンアップするために元の値を保存
  $originalEnableLUA = (Get-ItemProperty -Path $regPath -Name EnableLUA -ErrorAction SilentlyContinue).EnableLUA
  $originalConsent = (Get-ItemProperty -Path $regPath -Name ConsentPromptBehaviorAdmin -ErrorAction SilentlyContinue).ConsentPromptBehaviorAdmin
  $originalPrompt = (Get-ItemProperty -Path $regPath -Name PromptOnSecureDesktop -ErrorAction SilentlyContinue).PromptOnSecureDesktop
  
  # UACを無効化
  Set-ItemProperty -Path $regPath -Name EnableLUA -Value 0
  Start-Sleep -Seconds 5
  Set-ItemProperty -Path $regPath -Name ConsentPromptBehaviorAdmin -Value 0
  Start-Sleep -Seconds 5
  Set-ItemProperty -Path $regPath -Name PromptOnSecureDesktop -Value 0
  
  Write-Host "UACを無効にしました – 検証ログが今取り込まれたはずです。"

• クリーンアップコマンド: システムをテスト前の状態に戻すために、元のUAC設定を復元します。

  # クリーンアップ – 元のUAC設定を復元
  $regPath = "HKLM:SOFTWAREMicrosoftWindowsCurrentVersionPoliciesSystem"
  
  if ($null -ne $originalEnableLUA) { Set-ItemProperty -Path $regPath -Name EnableLUA -Value $originalEnableLUA }
  if ($null -ne $originalConsent) { Set-ItemProperty -Path $regPath -Name ConsentPromptBehaviorAdmin -Value $originalConsent }
  if ($null -ne $originalPrompt) { Set-ItemProperty -Path $regPath -Name PromptOnSecureDesktop -Value $originalPrompt }
  
  Write-Host "UAC設定を元の値に復元しました。"