APT36に関連するキャンペーンがKMS Autoを使用して多段階の侵入を実行

概要

KMS Auto の悪用を起点とする一連の悪意のあるペイロード配信による多段階侵入が観察されました。攻撃の流れは、XMRig を介した暗号通貨マイニングから ScreenConnect と MeshAgent を使用したリモートアクセスの展開を経て、ランサムウェアを装ったスケアウェアペイロードの配信に至りました。最終段階では、実際にはファイルを暗号化せずに、壁紙を変更し偽の身代金要求を表示するという心理的戦術が使用されました。

調査

K7Labs は、初期の KMS Auto の実行が 12-24 時間の一定間隔での一連の侵害後活動につながるイベントシーケンスを分析しました。テレメトリにより XMRig のデプロイ、その後に悪意をもって利用された正当なリモート管理ツールの使用、そして最終的に SecurityHealthServices.exe という名前のペイロードが確認されました。分析の結果、最終ペイロードは視覚的な破壊とファイル拡張子の操作を通じてランサムウェアの動作を模倣するスケアウェアであることが確認されました。

軽減策

組織は、未許可のソフトウェアアクティベーションユーティリティの使用を制限し、XMRig のような既知の二重用途のツールもしくは未許可の RMM ソフトウェアの実行を監視するべきです。厳しいアプリケーションホワイトリストの実施や、異常なファイル拡張子のモニタリング、大量のファイル名変更を監視することで影響を軽減できます。ユーザーは、非公式なソフトウェアリポジトリやユーティリティダウンロードのためのトレントサイトを避けるよう教育されるべきです。

対応

検出時には、さらなる多段階感染を防ぐために影響を受けたエンドポイントを隔離します。AppData 内の隠れたファイルやスタートアップフォルダ、レジストリの実行キーに多数存在する持続化メカニズムを完全に法医学調査します。スクリーンコネクトやメッシュエージェントのような未許可のリモート管理ツールの存在を調査して、攻撃者のアクセスの範囲を特定します。

シミュレーション実行

• 攻撃の物語とコマンド: 敵対者は初期アクセスを獲得し、暗号通貨マイナーとリモートアクセスツールをデプロイして長期間の存在を維持し、侵害を収益化しようとしています。攻撃者は最初に kmsauto_setup.exe という名前のツールを一時ディレクトリから実行します。その後、 xmrig.exe を起動してリソースのハイジャックを開始します。リモートコントロールを容易にするために、 meshagent.exeをドロップして実行します。このシーケンスは、検出ルールがキャッチするように設計された特定の文字列パターンを作成します。

• 回帰テストスクリプト:

  # ルール検証のための APT36 スタイル多段階実行のシミュレーション
  $tempDir = "$env:TEMPSimulatedAttack"
  New-Item -ItemType Directory -Path $tempDir -Force | Out-Null
  
  # 1. KMS Auto 実行のシミュレーション ('kmsauto' を画像パスでトリガー)
  $kmsPath = Join-Path $tempDir "kmsauto_installer.exe"
  New-Item -Path $kmsPath -ItemType File -Force | Out-Null
  Write-Host "[+] KMS Auto 実行をシミュレート中..."
  Start-Process $kmsPath -ArgumentList "/silent" -ErrorAction SilentlyContinue
  
  # 2. XMRig 実行のシミュレーション ('xmrig' をコマンドラインでトリガー)
  $xmrigPath = Join-Path $tempDir "xmrig.exe"
  New-Item -Path $xmrigPath -ItemType File -Force | Out-Null
  Write-Host "[+] XMRig 実行をシミュレート中..."
  Start-Process $xmrigPath -ArgumentList "--donate-level=1 --cpu-max-threads-pct=50" -ErrorAction SilentlyContinue
  
  # 3. MeshAgent 実行のシミュレーション ('meshagent' をコマンドラインでトリガー)
  $meshPath = Join-Path $tempDir "meshagent.exe"
  New-Item -Path $meshPath -ItemType File -Force | Out-Null
  Write-Host "[+] MeshAgent 実行をシミュレート中..."
  Start-Process $meshPath -ArgumentList "--install" -ErrorAction SilentlyContinue
  
  Write-Host "[!] シミュレーション完了。SIEM の警告を確認してください。"

• クリーンアップコマンド:

  # シミュレーションアーティファクトのクリーンアップ
  $tempDir = "$env:TEMPSimulatedAttack"
  if (Test-Path $tempDir) {
      Remove-Item -Path $tempDir -Recurse -Force
      Write-Host "[+] クリーンアップ成功: $tempDir を削除しました。"
  } else {
      Write-Host "[!] クリーンアップ失敗: ディレクトリが見つかりません。"
  }