証明書デコードの錯覚: Blank Grabber Stealerがどのようにしてそのローダーを隠すか

"graph TB %% クラス定義 classDef technique fill:#e6f7ff classDef operator fill:#ffcc66 classDef data fill:#d9ead3 %% ノード u2013 テクニック init_exec["<b>Technique</b> – T1059.003: Windows コマンドシェル<br/><b>説明</b>: バッチスクリプトが certutil を実行して埋め込まれた Rust ステージャーをデコード"] class init_exec technique evasion_vm["<b>Technique</b> – T1497: 仮想化/サンドボックス回避<br/><b>説明</b>: ドライバー、ユーザー名、UUID を確認して分析環境を検出"] class evasion_vm technique obfuscation["<b>Technique</b> – T1027: ファイルや情報の難読化<br/><b>説明</b>: Rust 実行ファイルが証明書ファイルとして偽装されている"] class obfuscation technique decode["<b>Technique</b> – T1140: ファイルや情報のデオブスクエート/デコード<br/><b>説明</b>: 暗号化されたペイロード (blank.aes) の AESu2011CTR/GCM 復号"] class decode technique load_stager["<b>Technique</b> – T1105: インバウンド ツール転送<br/><b>説明</b>: ランダムに名前が付けられた実行ファイルを %TEMP% にドロップして起動"] class load_stager technique pers_startup["<b>Technique</b> – T1037.005: ブートまたはログオン初期化スクリプト (スタートアップ フォルダー)"] class pers_startup technique elev_uac["<b>Technique</b> – T1548.002: エレベーション制御メカニズムの悪用 (レジストリ UAC バイパス)"] class elev_uac technique impair_def["<b>Technique</b> – T1562.004: 防御の妨害 (Windows Defender の無効化、除外の追加)"] class impair_def technique hide_hosts["<b>Technique</b> – T1564.012: アーティファクトの隠蔽 (ホストファイルを変更してセキュリティサイトをブロック)"] class hide_hosts technique data_collection["<b>Technique</b> – T1082: システム情報の取得と関連する収集"] class data_collection data sysinfo["<b>Technique</b> – T1082: システム情報の取得"] class sysinfo technique browser_info["<b>Technique</b> – T1217: ブラウザー情報の取得"] class browser_info technique clipboard["<b>Technique</b> – T1115: クリップボードデータ"] class clipboard technique video_capture["<b>Technique</b> – T1125: ビデオキャプチャ"] class video_capture technique wifi_passwords["<b>Technique</b> – T1016: システムネットワーク構成の発見 (Wi-Fi パスワード)"] class wifi_passwords technique product_key["<b>Technique</b> – T1012: レジストリクエリ (Windows プロダクトキー)"] class product_key technique removable_media["<b>Technique</b> – T1025: リムーバブルメディアからのデータ"] class removable_media technique wmi_queries["<b>Technique</b> – T1047: Windows マネジメント インストゥルメンテーション (システムクエリ)"] class wmi_queries technique archive_data["<b>Technique</b> – T1560.001: 収集されたデータのアーカイブ (RAR ユーティリティ)"] class archive_data technique exfil_telegram["<b>Technique</b> – T1041: C2 チャネルを介したエクスフィル (Telegram ボット API)"] class exfil_telegram technique exfil_public["<b>Technique</b> – T1048: 代替プロトコルを介したエクスフィル (パブリック ファイル共有サービス)"] class exfil_public technique self_delete["<b>Technique</b> – T1070: インジケーターの削除 (エクスフィル後の自己削除)"] class self_delete technique %% フロー接続 init_exec –>|lead_to| evasion_vm evasion_vm –>|lead_to| obfuscation obfuscation –>|lead_to| decode decode –>|lead_to| load_stager load_stager –>|enable| pers_startup load_stager –>|enable| elev_uac load_stager –>|enable| impair_def load_stager –>|enable| hide_hosts load_stager –>|start| data_collection data_collection –>|include| sysinfo data_collection –>|include| browser_info data_collection –>|include| clipboard data_collection –>|include| video_capture data_collection –>|include| wifi_passwords data_collection –>|include| product_key data_collection –>|include| removable_media data_collection –>|include| wmi_queries data_collection –>|lead_to| archive_data archive_data –>|use| exfil_telegram archive_data –>|use| exfil_public exfil_telegram –>|followed_by| self_delete exfil_public –>|followed_by| self_delete "

攻撃フロー