ファントムステイラーの分析: 二層攻撃チェーンの内部

概要

Phantom Stealerは、悪意のある pdh.dll を用いたローダーで始まり、その後 jsc.exeに注入された.NETペイロードで終わる、二段階のWindows情報窃取マルウェアです。ローダーはDLLハイジャッキング、プロセスホローイング、ネイティブAOTコンパイルを使用して検出の可能性を減らします。活動を開始すると、第二段階のペイロードが資格情報、ブラウザーデータ、暗号通貨ウォレットの情報、クリップボードの内容などの機密データを盗み盗者が制御する値に置き換えることができます。このマルウェアは商業犯罪ウェアとして提供されており、現在も活動中の攻撃で使用されています。

調査

研究者は、ローダーが自身をコピーして %APPDATA%MicrosoftRasManagementMpDlpService.exe に保存し、持続性を維持するためにRunキーを作成することを発見しました。その後、二重RC4で暗号化されたペイロードを復号し、サスペンドされた jsc.exe プロセスに注入し、データ盗難を開始する前に複数の分析対策を行います。内側の.NETスティーラーは、Chrome 127+アプリバインディング暗号化をバイパスし、偽装ドメインを使用してSMTPを通じて盗まれた情報を送信します。異なるスレッドが暗号クリッピングとキーロギング機能を処理します。

緩和策

防御者は、非システムパスからの予期しない pdh.dll のロードを監視し、DLLハイジャッキングリスクを軽減する制御を施行する必要があります。セキュリティチームはまた、 %APPDATA%MicrosoftRasManagement に配置された見慣れない実行ファイルを検出し、 RasManSvc Runキーを監視します。行動ベースの検出は、 jsc.exeに関係するプロセスホローイングに焦点を合わせるべきです。一方、ネットワーク監視は特定されたコマンド・アンド・コントロールドメインへの疑わしい接続を警告としてフラグすべきです。未承認のアプリケーションによるクリップボードアクセスに対する厳しい制御やブラウザーの資格情報ストレージの追加強化により、さらなる露出を低減できます。

対応

RasManagementディレクトリ内に MpDlpService.exe を作成した場合や関連するRunレジストリキーに変更があった場合にアラートを上げます。注入されたコードの兆候を示す jsc.exe プロセスを調査し、悪意のある活動を即座に停止します。関連する侵害指標を収集し、関連ファイルを隔離し、公開された資格情報やウォレットデータが何であったかを判断するためにフォレンジック分析を実施します。影響を受けたアカウントをリセットし、必要に応じて影響を受けたユーザーに通知します。

シミュレーション実行

前提条件：テレメトリーおよびベースラインプレフライトチェックが合格していること。

理由：このセクションは、検出ルールをトリガーするために設計されたいじくり出した手法（TTP）の正確な実行を詳述しています。コマンドと説明は、特定されたTTPを直接反映し、検出ロジックによって期待される正確なテレメトリーを生成することを目的としています。

• 攻撃の説明とコマンド：
  攻撃者は最初に悪意のあるペイロード（例えば、リバースシェルDLL）を盗み、ユーザーの中に保存します %APPDATA% ディレクトリ。攻撃者は、ホローイングホストとして使用して、新しいプロセスを作成し、ペイロードを挿入して実行を再開します。 jsc.exe T1055.012 T1055.012 and T1055.003.
  持続性を確保するために、攻撃者は悪意のあるDLLを %APPDATA%MicrosoftRasManagementMpDlpService.exe にコピーし、ログオン時に実行されるサービスとして登録し、正当なサービス名を悪用します（T1620).

• 回帰テストスクリプト：

  # ---------------------------------------------------------
  # シミュレートされた敵のスクリプト – プロセスホローイング + 永続性
  # ---------------------------------------------------------
  
  # 変数
  $appData = "$env:APPDATAMicrosoftRasManagement"
  $loaderPath = Join-Path $appData "MpDlpService.exe"
  $maliciousDll = "$env:TMPmalicious.dll"   # ペイロードのプレースホルダ
  
  # 1. 永続性ディレクトリを準備
  New-Item -Path $appData -ItemType Directory -Force | Out-Null
  
  # 2. ダミーの悪意のあるDLLをドロップ（シミュレートされたペイロード）
  #    実際の攻撃ではこれはコンパイルされたペイロードです。ここではゼロバイトファイルを作成します。
  New-Item -Path $maliciousDll -ItemType File -Force | Out-Null
  
  # 3. DLLを偽装されたサービスロケーションにコピー
  Copy-Item -Path $maliciousDll -Destination $loaderPath -Force
  
  # 4. コピーされたファイルにポイントする一時サービスを登録（管理者権限が必要）
  $svcName = "MpDlpService"
  sc.exe create $svcName binPath= "`"$loaderPath`"" DisplayName= "Microsoft Ras Management Service" start= auto | Out-Null
  
  # 5. サービスを開始（MpDlpService.exeの実行をトリガー）
  sc.exe start $svcName | Out-Null
  
  # 6. フォローリングするホストとしてjsc.exeを使用したプロセスホローイングを実行
  #    jsc.exeをサスペンド状態で起動し、ダミーのペイロードでそのメモリを置き換え、
  #    次に再開します。これはPowerSploitからInvoke-ProcessHollowing関数を使用します。
  function Invoke-ProcessHollowing {
      param(
          [string]$HostPath,
          [string]$PayloadPath
      )
      # .NET APIをロード
      Add-Type @"
  using System;
  using System.Diagnostics;
  using System.Runtime.InteropServices;
  public class Hollow {
    [DllImport("kernel32.dll")] public static extern bool CreateProcess(string appName, string cmdLine,
        IntPtr procSec, IntPtr threadSec, bool inherit, uint flags,
        IntPtr env, string cwd, ref STARTUPINFO si, out PROCESS_INFORMATION pi);
    [StructLayout(LayoutKind.Sequential)] public struct STARTUPINFO {
        public int cb; public string lpReserved; public string lpDesktop; public string lpTitle;
        public uint dwX; public uint dwY; public uint dwXSize; public uint dwYSize; public uint dwXCountChars;
        public uint dwYCountChars; public uint dwFillAttribute; public uint dwFlags; public short wShowWindow;
        public short cbReserved2; public IntPtr lpReserved2; public IntPtr hStdInput; public IntPtr hStdOutput;
        public IntPtr hStdError;
    }
    [StructLayout(LayoutKind.Sequential)] public struct PROCESS_INFORMATION {
        public IntPtr hProcess; public IntPtr hThread; public uint dwProcessId; public uint dwThreadId;
    }
  "@
      # サスペンド状態のプロセスを作成
      $si = New-Object Hollow+STARTUPINFO
      $pi = New-Object Hollow+PROCESS_INFORMATION
      $si.cb = [Runtime.InteropServices.Marshal]::SizeOf($si)
      $CREATE_SUSPENDED = 0x00000004
      $ok = [Hollow]::CreateProcess($null, "`"$HostPath`"", [IntPtr]::Zero, [IntPtr]::Zero, $false,
          $CREATE_SUSPENDED, [IntPtr]::Zero, $null, [ref]$si, [ref]$pi)
      if (-not $ok) { Write-Error "Failed to create suspended process" ; return }
  
      # （ペイロード挿入ステップは省略 – 実際の手法のプレースホルダ）
      # スレッドを再開
      $RESUME_THREAD = 0x00000001
      [System.Runtime.InteropServices.Marshal]::WriteInt32($pi.hThread, 0, $RESUME_THREAD) | Out-Null
  }
  
  # ホストとしてリアルなjsc.exeを使用してフォローリングを実行
  $jscPath = "$env:SystemRootSystem32jsc.exe"
  Invoke-ProcessHollowing -HostPath $jscPath -PayloadPath $maliciousDll
  
  # ---------------------------------------------------------
  # シミュレーション終了
  # ---------------------------------------------------------

• クリーンアップコマンド：

  # 一時サービスを停止して削除
  sc.exe stop MpDlpService | Out-Null
  sc.exe delete MpDlpService | Out-Null
  
  # ローダーとダミーペイロードを削除
  Remove-Item -Path "$env:APPDATAMicrosoftRasManagementMpDlpService.exe" -Force -ErrorAction SilentlyContinue
  Remove-Item -Path "$env:TMPmalicious.dll" -Force -ErrorAction SilentlyContinue
  
  # オプション：テストによって開始された残存jsc.exeプロセスを終了
  Get-Process -Name jsc -ErrorAction SilentlyContinue | Stop-Process -Force