PATCHCORD：新しいマルウェアクラスターがアフガニスタンの通信および南アジアの重要インフラを標的に

概要

進行中のキャンペーンでは、通信プロバイダーや南アジアの重要インフラに対して、PATCHCORDやSHEETCORDなどのカスタムマルウェアファミリーを展開しています。この活動には、Google SheetsやGitHub Gistsなど、複数の指令調整方法を使用するカスタムC/C++およびGoベースのインプラントが含まれています。このキャンペーンは、ターゲティングと運用の専門技術の両面での継続的な進化を示しています。

調査

Acronis脅威研究ユニットは、悪意のあるInno Setupインストーラーを含む疑わしいZIPアーカイブを分析した後、このキャンペーンを発見しました。関連するC2インフラ全体に焦点を当てた結果、PATCHCORD、SHEETCORD、HACKERAI C2を含む複数のマルウェアファミリー、およびオペレーターのツールキットを含む露出したステージングサーバーを明らかにしました。研究者たちは、ターゲティングのパターンや共有インフラに基づいて、この活動をAPT36クラスターに結び付けました。

緩和策

組織は、OpenSSHのパッチを優先して当て、CVE-2024-6387として追跡されるregreSSHionを解決し、レジストリの実行キーへの不正な変更を監視する必要があります。ブラウザショートカットの整合性に関する制御を強化し、疑わしいVBScript実行を検出することで持続性を防ぐことができます。EDR/XDRソリューションは、メモリ内シェルコードの実行や異常なクラウドサービスAPIの活動も検出すべきです。

対応

悪意のある活動が検出された場合、侵害されたシステムは即座に隔離して、横移動や認証情報の流出を制限する必要があります。調査者は、持続性メカニズムのためにブラウザのショートカットとレジストリキーを調べるべきです。Google Cloud PlatformやGitHubの活動も、認可されていないサービスアカウント、トークン、または識別されたC2パターンに一致する接続の有無を確認するべきです。

シミュレーションの実行

前提条件：テレメトリーとベースラインの事前フライトチェックが通過していること。

根拠：このセクションは、検出ルールをトリガーするように設計された敵の技術 (TTP) の正確な実行を詳細に説明しています。コマンドとストーリーラインは、特定されたTTPを直接反映し、検出ロジックによって期待される正確なテレメトリーを生成することを目的とします。抽象的もしくは関連性のない例は誤診につながります。

• 攻撃のストーリーライン＆コマンド： 敵はワークステーションへ初期アクセスを取得し、特化されたインプラントを展開しました TMS_AfghanTelecom.exe ユーザーが書き込み可能なディレクトリに。標準のファイルベースのアンチウイルスを回避するために、攻撃者は特定のコマンドラインパラメーターを使用して格納されたシェルコードを直接メモリに読み込むようインプラントを実行します。この特定のコマンドライン (メモリ内シェルコードの実行) は、このマルウェアファミリーの既知のアーティファクトです。

• リグレッションテストスクリプト：

  # PATCHCORD検出検証用のシミュレーションスクリプト
  # このスクリプトはインプラントをシミュレートするためのダミーファイルを作成し、ターゲットの文字列でそれを実行します。
  
  $workDir = "$env:TEMPPatchcordSim"
  if (!(Test-Path $workDir)) { New-Item -ItemType Directory -Path $workDir }
  
  $implantName = "TMS_AfghanTelecom.exe"
  $implantPath = Join-Path $workDir $implantName
  
  # ダミーの実行可能ファイルを作成 (シミュレーションの安全性のために名前を変更したシステムツールを使用)
  Copy-Item "C:WindowsSystem32cmd.exe" $implantPath
  
  # Sigmaルールで定義された特定の文字列とともに「インプラント」を実行
  Write-Host "[!] シミュレートされたPATCHCORDインプラントを実行中..." -ForegroundColor Red
  Start-Process -FilePath $implantPath -ArgumentList "PATCHCORD main execution flow --mode 'In-memory shellcode execution' --target 'Remote shell execution'" -Wait
  
  Write-Host "[+] シミュレーション完了。SIEMでアラートを確認してください。" -ForegroundColor Green

• クリーンアップコマンド：

  # クリーンアップスクリプト
  $workDir = "$env:TEMPPatchcordSim"
  if (Test-Path $workDir) {
      Remove-Item -Recurse -Force $workDir
      Write-Host "[+] クリーンアップ成功：シミュレートされたインプラントディレクトリを削除しました。" -ForegroundColor Cyan
  }