UAC-0099とSandworm、Yggdrasil経由でMythicRatatoskrバックドアを展開

概要

INCとThe Gentlemenランサムウェアグループを関連付けられたアフィリエイトが、侵入の自動化を行うAI駆動のエコシステムを活用して、偵察、コマンド生成、データトリアージを行っています。オペレーターは、商用の大規模言語モデル（LLM）と共にPhantomというカスタムフレームワークを使用して大規模な侵入をサポートします。このインフラは、重大なOPSECの失敗により、コマンド＆コントロールサーバーと保存されていたAIセッションデータが露呈しました。

調査

調査は、研究者が45.227.254.43のコマンド＆コントロールサーバーを発見し、オープンディレクトリにPhantomのソースコードとAIセッションデータベースをホスティングしているのを発見した後に始まりました。露出した構成ファイルと資格情報の分析により、その後、6つの追加の敵制御サーバーが明らかになりました。研究者は、AIが技術的な実行の多くを行いながら、人間のオペレーターが監視を続けるという高度に自動化されたワークフローを特定しました。

緩和策

組織は、特にFortiClient EMS、SimpleHelp、およびcPanelを優先してエッジシステムのパッチを適用し、一般的な初期アクセスパスを閉じるべきです。RMM、VPN、およびリモートアクセスプラットフォーム全体での多要素認証（MFA）の強制は、資格情報の再利用リスクを減少させるために不可欠です。ディフェンダーはEDRの改ざん防止を有効にし、セキュリティサービスの不正な終了や既知の脆弱なドライバーのロードを監視する必要があります。

対応

悪意のある活動を特定した場合、影響を受けたエッジデバイスを隔離し、EMSとRMMプラットフォームの管理者アカウントを未承認の追加について監査します。VPN接続スクリプトを確認し、怪しい変更を見つけたら、直ちに信用された資格情報を更新します。持続的なC2チャネルを識別して終了するために、スケジュールされたタスクとアクティブなリバースSOCKSトンネルを徹底的に調査します。

シミュレーション実行

• 攻撃の流れとコマンド： 敵対者は、MythicRatatoskrバックドアを使用してターゲットホストに持続性を確立することを目指しています。検出をシミュレートするために、攻撃者は3つの異なるアクションを実行します：1）特定の”MATCHWOKバックドア”文字列を含むコマンドを実行して誘発 選択1；2）非常に特定のパスに悪意のあるバイナリをドロップ C:windowssystem32updater.exe 誘発するために 選択2；そして3） WindowsDefenderSvc.exeという新しいWindowsサービスを作成する 誘発するために 選択3。これは、初期アクセスが高特権の持続性に繋がる多段展開を模倣します。

• 回帰テストスクリプト：

  # MATCHWOK/MythicRatatoskr検出バリデーション用シミュレーションスクリプト
  # 注意：このスクリプトは管理者権限で実行する必要があります。
  
  Write-Host "[*] シミュレーションを開始中..." -ForegroundColor Cyan
  
  # 1. トリガーセレクション1：コマンドラインに'MATCHWOKバックドア'を含む
  Write-Host "[+] セレクション1（コマンドライン）のトリガー..." -ForegroundColor Yellow
  Start-Process cmd.exe -ArgumentList "/c echo MATCHWOKバックドアの実行シミュレーションです" -WindowStyle Hidden
  
  # 2. トリガーセレクション2：イメージが'C:windowssystem32updater.exe'である
  Write-Host "[+] セレクション2（ファイルパス）のトリガー..." -ForegroundColor Yellow
  $targetPath = "C:WindowsSystem32updater.exe"
  if (Test-Path $targetPath) { Remove-Item $targetPath -Force }
  New-Item -Path $targetPath -ItemType File -Force | Out-Null
  Start-Process $targetPath -ArgumentList "/silent" -ErrorAction SilentlyContinue
  
  # 3. トリガーセレクション3：ServiceNameが'WindowsDefenderSvc.exe'である
  Write-Host "[+] セレクション3（サービス名）のトリガー..." -ForegroundColor Yellow
  $serviceName = "WindowsDefenderSvc.exe"
  # 'cmd.exe'を実行するダミーサービスの作成
  New-Service -Name $serviceName -BinaryPathName "C:WindowsSystem32cmd.exe /c echo persistence" -DisplayName "Windows Defender Security Service" -StartupType Manual
  
  Write-Host "[*] シミュレーション完了。" -ForegroundColor Green

• クリーンアップコマンド：

  # クリーンアップスクリプト
  Write-Host "[!] シミュレーションのアーティファクトのクリーンアップ中..." -ForegroundColor Red
  
  # サービスを削除
  Stop-Service -Name "WindowsDefenderSvc.exe" -ErrorAction SilentlyContinue
  sc.exe delete "WindowsDefenderSvc.exe"
  
  # 悪意のあるファイルを削除
  Remove-Item "C:WindowsSystem32updater.exe" -Force -ErrorAction SilentlyContinue
  
  Write-Host "[*] クリーンアップ完了。" -ForegroundColor Green