ステガノグラフィーの秘密：目に見えない形で忍び寄るマルウェア

シミュレーション実行

前提条件: テレメトリー＆ベースライン事前チェックが合格していること。

根拠：このセクションでは、検出ルールをトリガーするために設計された敵のテクニック（TTP）の正確な実行を詳細に説明します。コマンドとナラティブは、識別されたTTPを直接反映し、検出ロジックで期待される正確なテレメトリーを生成することを目的としています。

• 攻撃ナラティブ＆コマンド:

  1. 準備 – ステガノグラフィックペイロード：
     攻撃者はカスタムツール (StegoEmbed.exe) を使用して無害なJPEGの中にコンパイルされたRemcos RAT DLLを埋め込みます。この結果ファイル (malicious.jpg) は、そのピクセルデータに悪意のあるペイロードを持っています。

  2. 配信 – DotNETローダーの実行：
     攻撃者は、ステガ画像を参照し、引数を含む.NETベースのローダー (dotnet.exe) を実行します。 Loader。ローダーは画像を読み込み、埋め込まれたDLLを抽出して、ディスクに書き込まずにメモリに直接ロードすることで（メモリ内実行）、エクスプロイト (T1068) によって権限を昇格します。

  3. 結果 – RATビーコン：
     メモリ内に入った後、Remcos RATはC2サーバーにネットワーク接続を確立します。

  生成される重要なテレメトリーは、 プロセス作成イベント であり、

  • イメージ （プロセス名）は DotNET (dotnet.exe).
  • コマンドライン は、文字列が含まれます Loader.

  これにより、Sigmaルールの selection_dotnet_loader.

• レグレッションテストスクリプト：

  # ---------------------------------------------------------
  # シミュレーションスクリプト – ステガノグラフィー付きDotNETローダー (T1027.003)
  # ---------------------------------------------------------
  # 1. ダミーステガ画像を作成する（プレースホルダー – 実際の埋め込みは不要）
  $stegoPath = "$env:TEMPmalicious.jpg"
  Copy-Item "$env:SystemRootWebWallpaperWindowsimg0.jpg" $stegoPath -Force
  
  # 2. 必要なフラグで.NETローダーを実行
  #    正当なdotnet.exeを使用して“DotNET”イメージ名を模倣する。
  #    引数“Loader”がSigmaルールをトリガーする。
  $loaderArgs = "`"$stegoPath`" Loader"
  Write-Host "[*] 引数: $loaderArgs によりdotnetローダーを起動しています"
  
  Start-Process -FilePath "dotnet.exe" -ArgumentList $loaderArgs -NoNewWindow
  
  # 3. プロセスがSysmonによってキャプチャされるのを保証するため少し待つ
  Start-Sleep -Seconds 5
  
  # 4. オプション: RATビーコンのシミュレーション（ネットワークトラフィック）– ルールテストには不要
  # ---------------------------------------------------------
  Write-Host "[*] シミュレーション完了。SIEMでアラートを確認してください。"

• クリーンアップコマンド：

  # ---------------------------------------------------------
  # クリーンアップ – 一時的なステガ画像を削除し、残っているローダープロセスを停止します
  # ---------------------------------------------------------
  $stegoPath = "$env:TEMPmalicious.jpg"
  
  # 一時画像を削除
  if (Test-Path $stegoPath) {
      Remove-Item $stegoPath -Force
      Write-Host "[*] 削除されました $stegoPath"
  }
  
  # このスクリプトによって開始された任意のdotnetプロセスを停止（"Loader"引数で識別）
  Get-Process -Name dotnet -ErrorAction SilentlyContinue |
      Where-Object { $_.Path -like "*dotnet.exe*" -and $_.StartInfo.Arguments -match "Loader" } |
      ForEach-Object {
          $_.Kill()
          Write-Host "[*] プロセスID $($_.Id) を終了しました"
      }
  # ---------------------------------------------------------