GammaSteel: ガマレドンの進化するマルウェアチェーンの内側

SOC Prime Team

フォローする

Detection stack

AIDR
Alert
ETL
Query

脅威レポート
攻撃フロー
検出
シミュレーション

概要

このレポートは、GammaSteel という新しい Gamaredon（UAC-0010）の侵入チェーンを説明しています。これはファイルレスのPowerShellスティーラーを中心に構築されています。マルウェアは71の暗号化された関数を HKCUPrinters レジストリキーに保存し、Windows DPAPI で保護します。ローカルドライブ、USBメディア、および編集中のファイルからドキュメントを収集し、MD5で重複を排除した後、正当なS3互換サービスの Tebi.ioへと流出させ、バックアップとしてハードコードされたロシアのドメインを使用します。さらに、インフラストラクチャ全体がTelegram、Telegra.ph、Write.as、Rentry.co、Mastodonなどの公共プラットフォームにホストされたデッドドロップリゾルバーや動的DNSサービスに依存しています。このキャンペーンは引き続き、ウクライナ政府および重要インフラ環境を標的にしています。

調査

Sekoia.ioは70以上のアーティファクトを分析し、完全なPowerShellドロッパーを再構築し、レジストリベースの持続性、ミューテックス、隠れたスケジュールされたPowerShellの実行、および多層のデータ流出手法を特定しました。研究者たちはデッドドロップリゾルバーのインフラストラクチャをマッピングし、115 のIPアドレス、4つのドメイン、およびいくつかのS3資格情報セットをカタログ化し、Mastodon経由で実行される自動アップデートを観察しました。また、レジストリに保存されたDPAPIで暗号化されたペイロードの使用など、2020年のInvisiMole活動との類似点も指摘しました。

緩和策

組織は、 HKCUPrintersへの通常ではない書き込みや、隠れたPowerShellプロセスの作成、および Globalassembly307 ミューテックスの使用を監視するべきです。S3エンドポイント s3.tebi.io やフォールバックインフラストラクチャに対して justsstop.ru and 165.22.170.129 などの送信トラフィックをブロックするべきです。また、防御者は、特定のiPhoneスタイルのユーザーエージェント文字列やPowerShellスクリプトを呼び出すレジストリランエントリの検出も展開するべきです。

対応策

GammaSteelの活動が検出された場合、影響を受けたホストを隔離し、 HKCUPrinters レジストリハイブを収集してDPAPI保護されたペイロードを抽出し、可能であれば被害者のマスターキーを使用して解読してください。関連するアーティファクトを探し、特定されたコマンドアンドコントロールのURLとドメインをブロックし、侵害された可能性のある認証情報をリセットし、追加の悪意のあるモジュールを特定するための完全なフォレンジックレビュを実施してください。

"graph TB %% Class definitions classDef technique fill:#e6f7ff classDef process fill:#ffebcc classDef action fill:#c2f0c2 classDef tool fill:#dddddd classDef storage fill:#ffe6e6 classDef network fill:#d9d9ff classDef data fill:#f0e68c %% Nodes u2013 techniques tech_T1027_009["技術 – T1027.009 埋め込まれたペイロード 他のファイル内にペイロードを難読化する"] class tech_T1027_009 technique tech_T1027_007["技術 – T1027.007 動的API解決 静的解析を避けるために実行時にAPIを解決する"] class tech_T1027_007 technique tech_T1027_002["技術 – T1027.002 ソフトウェアパッキング その本当の性質を隠すために悪意のあるコードをパッケージ化する"] class tech_T1027_002 technique tech_T1027_013["技術 – T1027.013 暗号化/エンコードされたファイル 保存前にDPAPIを使用してデータを暗号化する"] class tech_T1027_013 technique tech_T1547_001["技術 – T1547.001 レジストリ実行キー/スタートアップフォルダー 持続性を達成するために実行キーを追加する"] class tech_T1547_001 technique tech_T1037_005["技術 – T1037.005 スタートアップアイテム 持続性のためにスタートアップアイテムを使用する"] class tech_T1037_005 technique tech_T1680["技術 – T1680 ローカルストレージの検出 ローカルドライブとユーザープロファイルを発見する"] class tech_T1680 technique tech_T1135["技術 – T1135 ネットワーク共有の検出 共有ネットワークの場所を見つける"] class tech_T1135 technique tech_T1006["技術 – T1006 ダイレクトボリュームアクセス リムーバブルメディアに直接アクセスする"] class tech_T1006 technique tech_T1025["技術 – T1025 リムーバブルメディアからのデータ USBデバイスからデータを収集する"] class tech_T1025 technique tech_T1564_005["技術 – T1564.005 隠しファイルシステム 隠された場所にファイルを保存する"] class tech_T1564_005 technique tech_T1005["技術 – T1005 ローカルシステムからのデータ ローカルコンピューターからファイルを収集する"] class tech_T1005 technique tech_T1537["技術 – T1537 クラウドアカウントへのデータ転送 盗まれたデータをクラウドストレージにアップロードする"] class tech_T1537 technique tech_T1538["技術 – T1538 クラウドサービスダッシュボード データ流出のためにクラウドサービスのインターフェースを使用する"] class tech_T1538 technique tech_T1102_001["技術 – T1102.001 ウェブサービス: デッドドロップリゾルバー 公共のウェブサービスからコマンドと設定を取得する"] class tech_T1102_001 technique tech_T1620["技術 – T1620 リフレクティブコードローディング 実行時に受信したコードを読み込み実行する"] class tech_T1620 technique %% Nodes u2013 actions and components malware_dropper["マルウェア – 名前: 初期ドロッパー 説明: 難読化されたPowerShellスクリプトを実行する"] class malware_dropper process process_powershell["プロセス – 名前: PowerShell 役割: エンコードされたスクリプトを実行する"] class process_powershell process storage_dpapi["ストレージ – 場所: HKCUPrinters 内容: DPAPIで暗号化された71の関数"] class storage_dpapi storage persistence_runkey["アクション – 持続性: レジストリ実行キー キー: HKCUSoftwareMicrosoftWindowsCurrentVersionRun"] class persistence_runkey action process_hidden_ps["プロセス – 名前: 隠しPowerShell 目的: レジストリから指令を読み取る"] class process_hidden_ps process orchestrator["アクション – 指揮者: リソースを一覧化し収集を指揮する"] class orchestrator action enumeration["アクション – 列挙: ドライブ、プロファイル、ネットワーク共有"] class enumeration action collection["アクション – 収集: ローカルおよびネットワークの場所からファイルを収集する"] class collection action monitor_usb["アクション – USB監視: リムーバブルメディアのWMIイベント購読"] class monitor_usb action staging_folder["ストレージ – 隠しフォルダー: コピーされたファイルのボックスエリア"] class staging_folder storage fs_watcher["プロセス – 名前: FileSystemWatcher 機能: ノン-USB ドライブの変更を監視する"] class fs_watcher process deduplication["アクション – 重複排除: 流出前に重複ファイルを削除する"] class deduplication action upload_s3["アクション – アップロード: S3互換バケット (tebi.io) にデータを送信する"] class upload_s3 network fallback_post["アクション – フォールバック流出: iPhone UAを真似たC2ドメインへのPOST"] class fallback_post network dead_drop["アクション – デッドドロップリゾルバー: Telegram、Telegra.ph、Write.as、Rentry.co、Mastodon からコンフィグを取得する"] class dead_drop action vbscript_backdoor["アクション – 二次バックドア: HTTP応答から任意のVBScriptを実行する"] class vbscript_backdoor action %% Connections u2013 flow malware_dropper –>|uses| tech_T1027_009 malware_dropper –>|uses| tech_T1027_007 malware_dropper –>|uses| tech_T1027_002 malware_dropper –>|stores encrypted data| tech_T1027_013 malware_dropper –>|launches| process_powershell process_powershell –>|writes encrypted functions to| storage_dpapi storage_dpapi –>|enables| persistence_runkey persistence_runkey –>|creates| tech_T1547_001 persistence_runkey –>|creates| tech_T1037_005 persistence_runkey –>|starts| process_hidden_ps process_hidden_ps –>|loads orchestrator from registry| orchestrator orchestrator –>|performs| enumeration enumeration –>|covers| tech_T1680 enumeration –>|covers| tech_T1135 orchestrator –>|collects data using| collection collection –>|uses| tech_T1005 collection –>|includes removable media via| tech_T1025 collection –>|includes direct volume access via| tech_T1006 collection –>|triggers| monitor_usb monitor_usb –>|copies files to| staging_folder staging_folder –>|is hidden by| tech_T1564_005 staging_folder –>|monitored by| fs_watcher fs_watcher –>|detects changes and triggers| deduplication deduplication –>|uploads to cloud via| upload_s3 upload_s3 –>|relies on| tech_T1537 upload_s3 –>|fallback to| fallback_post fallback_post –>|relies on| tech_T1538 orchestrator –>|gets updates from| dead_drop dead_drop –>|uses| tech_T1102_001 dead_drop –>|delivers| vbscript_backdoor vbscript_backdoor –>|leverages| tech_T1620 %% Styling assignments class malware_dropper,process_powershell,process_hidden_ps,fs_watcher,orchestrator,monitor_usb,vbscript_backdoor builtin class storage_dpapi,staging_folder builtin class persistence_runkey,enumeration,collection,deduplication,upload_s3,fallback_post,dead_drop action class tech_T1027_009,tech_T1027_007,tech_T1027_002,tech_T1027_013,tech_T1547_001,tech_T1037_005,tech_T1680,tech_T1135,tech_T1006,tech_T1025,tech_T1564_005,tech_T1005,tech_T1537,tech_T1538,tech_T1102_001,tech_T1620 technique "

攻撃フロー

攻撃のストーリーとコマンド:
加害者は、低権限ユーザーアカウントを侵害し、ファイルシステムに触れることなく暗号化されたPowerShellペイロードをステージングしたいと考えています。それで彼らは次のログオン時に実行されるBase64 エンコードされたペイロードを Run キーに書き込みます。ルールの単一の除外を回避するために、意図的に下のサブキーを使用し HKCUPrinters これは、プリンターステージングパターンを模倣するガマレドンのサンプルで観察された除外値です。 not the excluded value, mimicking the “printer‑staging” pattern observed in Gamaredon samples.

リグレッションテストスクリプト:

# --------------------------------------------------------------
# Gamaredon PowerShell Registry ステージングのシミュレーション (TC-20260608-A1B2C)
# --------------------------------------------------------------

# 1. Base64 エンコードされた無害の PowerShell コマンドを定義する（例：ファイルを書き込む）
$payload = 'Write-Host "Gamaredon simulation executed"' 
$b64 = [Convert]::ToBase64String([Text.Encoding]::Unicode.GetBytes($payload))

# 2. 実行キーを通してペイロードを永続化する（持続性）
$runKey = 'HKCU:SOFTWAREMicrosoftWindowsCurrentVersionRun'
New-ItemProperty -Path $runKey -Name 'GamaredonStager' -Value "powershell -enc $b64" -PropertyType String -Force

# 3.「プリンター」キーに同じペイロードをステージングする（ファイルレスステージング）
$printerKey = 'HKCU:PrintersYxwHku2chu0bznt3kkyAD'  # 注記: 除外を避けるための異なるサフィックス
New-Item -Path $printerKey -Force | Out-Null
Set-ItemProperty -Path $printerKey -Name 'EncryptedPS' -Value $b64 -Force

Write-Host "シミュレーションが完了しました – レジストリエントリが作成されました。"

クリーンアップコマンド:

# 実行キーエントリを削除する
Remove-ItemProperty -Path 'HKCU:SOFTWAREMicrosoftWindowsCurrentVersionRun' -Name 'GamaredonStager' -ErrorAction SilentlyContinue

# プリンターステージングキーを削除する
Remove-Item -Path 'HKCU:PrintersYxwHku2chu0bznt3kkyAD' -Recurse -Force -ErrorAction SilentlyContinue

Write-Host "クリーンアップ完了 – レジストリアーティファクトが削除されました。"

SOC PrimeのDetection as Codeプラットフォームに参加し ビジネスに最も関連性のある脅威に対する可視性を向上させましょう。開始して即座に価値をもたらすためには、今すぐSOC Primeの専門家とのミーティングを予約してください。

無料で参加