AIをテーマにした脅威キャンペーンで配布されるAsyncRAT

SOC Prime Team

フォローする

Detection stack

AIDR
Alert
ETL
Query

脅威レポート
攻撃フロー
検出
シミュレーション

概要

脅威アクターがAIをテーマにした誘引を利用して、マルチステージのマルウェア感染チェーンを拡散しています。この攻撃は、段階的スクリプト、AutoHotkeyベースのローダー、およびプロセスホローイングを組み合わせて、.NETリモートアクセス型トロイの木馬とAsyncRATの両方を展開します。このキャンペーンの注目すべき点は、マルウェア全体に埋め込まれた簡体字中国語の変数名とコードコメントに反映されたAIを活用した開発の明らかな使用です。

調査

FortiGuard Labsは、LNKファイルを含む悪意のあるZIPアーカイブから始まる複雑な侵入シーケンスを調査しました。彼らの分析は、PDFベースのコンテナからの複数段階のペイロード抽出と、AutoHotkey主導のリフレクティブインジェクション、そして最終的にはAsyncRATと共にモジュラーな.NET RATの展開を明らかにしました。研究者たちはまた、中国語による意味の抽象化や、マルウェアの動作を隠すために設計されたカスタムの復号化ロジックなど、明確な難読化方法を記録しました。

緩和策

ユーザーは特に未確認もしくは予期しない送信元から受信したLNKファイル、圧縮アーカイブ、および文書に注意を払うべきです。組織はスタートアップエントリ、スケジュールされたタスク、およびレジストリの場所について不正な変更がないか確認する必要があります。また、疑わしいPowerShellアクティビティや不審なアウトバウンドネットワーク接続の監視も、初期段階の侵害を特定するために不可欠です。

対応

この活動が検出された場合、対応者は %LOCALAPPDATA% and %APPDATA% ディレクトリを見直し、ドロップされたスクリプトや関連アーティファクトを特定すべきです。タスクスケジューラも、 CheckRealtekAudioVersion or ResetRealtekAudioSettings64のような疑わしいタスクを確認すべきです。影響を受けたシステムは、識別された悪意のあるドメインやIPアドレスとのさらなる通信を防ぐため、直ちに隔離すべきです。

"graph TB %% Class Definitions Section classDef action fill:#99ccff classDef tool fill:#cccccc classDef malware fill:#ff9999 classDef process fill:#ccffcc classDef technique fill:#ffff99 %% Node Definitions %% Initial Stage action_user_exec["Action – T1204.002 User Execution: Malicious File User opens a compressed archive containing a malicious .lnk shortcut disguised as an AI guide."] class action_user_exec action action_obfuscation["Action – T1027 Obfuscated Files or Information The .lnk file uses cmd.exe to execute an obfuscated command sequence to extract data from a hidden PDF file named 3th.pdf."] class action_obfuscation technique %% Staged Execution action_ps_decryption["Action – T1027.013 Obfuscated Files or Information: Encrypted/Encoded File A PowerShell script performs AES-CBC decryption and Base64 decoding to reveal a payload saved as Cache_{GUID}.ps1."] class action_ps_decryption technique %% Persistence and Evasion action_persistence["Action – T1547 Persistence The script creates a scheduled task named CheckRealtekAudioVersion to ensure survival."] class action_persistence technique action_exclusion["Action – T1679 Selective Exclusion The malware uses Add-MpPreference to add the C drive and powershell.exe to the Microsoft Defender exclusion list."] class action_exclusion technique %% Proxying and Scripting action_cmd_shell["Action – T1059.003 Command and Scripting Interpreter: Windows Command Shell Utilizes Windows Command Shell for execution."] class action_cmd_shell technique action_syncappv["Action – T1216.002 System Script Proxy Execution: SyncAppvPublishingServer Uses a VBS file ResetRealtekAudioSettings64.vbs to act as a mediator for launching batch files."] class action_syncappv technique %% AutoHotkey Stage tool_autohotkey["Tool: AutoHotkey.exe Benign binary used to execute malicious .ahk scripts for complex logic."] class tool_autohotkey tool action_ahk_interpreter["Action – T1059.010 Command and Scripting Interpreter: AutoHotKey & AutoIT The .ahk scripts manage process injection and orchestration."] class action_ahk_interpreter technique %% Injection and Payload action_hollowing["Action – T1055.012 Process Injection: Process Hollowing Reconstructs a PE payload from text data and injects it into legitimate .NET processes."] class action_hollowing technique process_dotnet["Process: .NET Process Targeted legitimate process such as AddInProcess32.exe for injection."] class process_dotnet process malware_asyncrat["Malware: AsyncRAT A modular .NET Remote Access Trojan deployed as the final payload."] class malware_asyncrat malware action_exfiltration["Action – T1048 Exfiltration Over Alternative Protocol Exfiltrates system information and performs surveillance via C2 domains like shampobiskworld.nl."] class action_exfiltration technique %% Connections %% Initial chain action_user_exec –>|leads_to| action_obfuscation action_obfuscation –>|triggers| action_ps_decryption %% Persistence and Evasion chain action_ps_decryption –>|establishes| action_persistence action_ps_decryption –>|performs| action_exclusion %% Scripting and Proxying chain action_ps_decryption –>|leverages| action_cmd_shell action_cmd_shell –>|uses| action_syncappv %% AutoHotkey chain action_syncappv –>|executes| tool_autohotkey tool_autohotkey –>|uses| action_ahk_interpreter %% Injection chain action_ahk_interpreter –>|performs| action_hollowing action_hollowing –>|injects_into| process_dotnet %% Final Payload chain process_dotnet –>|hosts| malware_asyncrat malware_asyncrat –>|performs| action_exfiltration "

攻撃フロー

攻撃の概要とコマンド: 敵は初期アクセスを獲得し、AsyncRATを使用して持続的なコマンド＆コントロール（C2）チャネルを確立する準備をしています。ネットワークに基づくシグネチャ検出を回避するために、攻撃者は RijndaelManaged .NETクラスを使用してトラフィックを暗号化します。攻撃者はPowerShellのワンライナーを実行し、暗号化器をインスタンス化し、C2のハートビートを暗号化されたペイロードでラッピングすることを意図しています。このコマンドは特定の文字列ベースの検出ルールをトリガーするように設計されています。

回帰テストスクリプト:

# PowerShellでのAsyncRATスタイルの暗号化初期化のシミュレーション
# このコマンドは、コマンドラインで 'RijndaelManaged.CreateEncryptor' という文字列にマッチするように設計されています。
$code = "[System.Security.Cryptography.RijndaelManaged]::CreateEncryptor()"
powershell.exe -NoProfile -ExecutionPolicy Bypass -Command "$encryptor = [System.Security.Cryptography.RijndaelManaged]::CreateEncryptor(); Write-Output 'Encryption engine initialized.'"

クリーンアップコマンド:

# シミュレーションスクリプトによる永続的な変更は行われません; ただし、
# コマンドの痕跡を削除するためPowerShell履歴をクリアしています。
Clear-History
Remove-Item (Get-PSReadlineOption).HistorySavePath -ErrorAction SilentlyContinue

SOC PrimeのDetection as Codeプラットフォームに参加し ビジネスに最も関連性のある脅威に対する可視性を向上させましょう。開始して即座に価値をもたらすためには、今すぐSOC Primeの専門家とのミーティングを予約してください。

無料で参加