ステルスバッチスクリプトを通じて配信されるAZALEA RAT

概要

AZALEA RATは、新たなマルウェアアズアサービス（MaaS）型のリモートアクセス型トロイの木馬で、地下サイバー犯罪コミュニティを通じて配布されています。このマルウェアは、資格情報の窃取、キーロギング、Active Directoryの列挙など、広範な機能を提供します。それは高度な多段ローダーと正当なシステムプロセスの悪用に依存して検出を回避します。

調査

研究者はVirusTotalで0/61の検出スコアを達成した非常に回避性の高いWindowsバッチファイルを特定しました。調査により、.NET AppDomain Managerのハイジャックを含むチェーンが明らかになりました。 certutil.exe をデコード用に活用し、最終ペイロードをAES-256-CBCで復号化しました。ローダーはまた、自己削除とメモリ内のみで実行されるコンポーネントを通じて、法医学的アーティファクトを最小化します。

緩和策

組織は certutil.exe, jsc.exeなどの正当なバイナリを含む異常な実行チェーンを監視する必要があります。 csc.exeEDR（エンドポイント検出と応答）は、AppDomain Managerのハイジャックや許可されていないレジストリ変更を識別するように構成する必要があります。ユーザーは、ZIPやRARアーカイブで配信される疑わしい添付ファイルを回避する訓練を受ける必要があります。

対応

AZALEA RATの活動が検出された場合、横方向への移動と資格情報の窃取を制限するために、影響を受けたホストを直ちに隔離する必要があります。メモリフォレンジックを実施して復号化されたペイロードを回収し、持続性を示すスケジュールされたタスクまたはレジストリ場所を検査する必要があります。ネットワークログも、ポート1150のような非標準ポートを介した疑わしい接続について確認する必要があります。

シミュレーション実行

前提条件：テレメトリーとベースラインの事前チェックが合格している必要があります。

理由：このセクションは、検出ルールをトリガーすることを目的とした敵技術（TTP）の正確な実行を詳述します。コマンドとナラティブはTTPsで識別されたものを直接反映し、検出ロジックによって期待される正確なテレメトリを生成することを目指します。抽象的または無関係な例は誤診を引き起こします。

• 攻撃のナラティブとコマンド： 攻撃者は、マルチステージロードプロセスを使用してAZALEA RATを配送することを目的としています。簡単な署名ベースの検出を回避するために、攻撃者はバッチスクリプトを使用して正当な.NET実行ファイルをダウンロードまたはドロップし、それを ServiceHost.exe に名前変更してシステムサービスに溶け込ませます。その後、埋め込まれた悪意のあるペイロードをデコードするために、内蔵のWindowsユーティリティ certutil.exeを使用します。その目的は、スクリプト内で Process.Start() 経由でRATコンポーネントを実行させ、日常のサービス操作として偽装することです。

• 回帰テストスクリプト：

  # AZALEA RATシミュレーションスクリプト
  # 1. 設定：フェイクのエンコードペイロード（"malicious_payload"のBase64形式）を作成
  $payload = [System.Convert]::ToBase64String([System.Text.Encoding]::UTF8.GetBytes("malicious_payload_content"))
  $payload | Out-File -FilePath "$env:TEMPencoded.txt"
  
  # 2. システムツールをコピーして名前を変更することで'ServiceHost.exe'の作成をシミュレート
  $targetDir = "$env:USERPROFILEAppDataLocalTempServiceFolder"
  New-Item -ItemType Directory -Force -Path $targetDir
  Copy-Item "C:WindowsSystem32cmd.exe" -Destination "$targetDirServiceHost.exe"
  
  # 3. Certutilデコードのシミュレート（ルールをトリガー）
  Start-Process "certutil.exe" -ArgumentList "-decode $env:TEMPencoded.txt $env:TEMPdecoded.exe" -Wait
  
  # 4. 名前を変更したホストの実行をシミュレート（ルールをトリガー）
  Start-Process "$targetDirServiceHost.exe" -ArgumentList "/c echo RAT Active"

• クリーンアップコマンド：

  # シミュレーションのアーティファクトをクリーンアップ
  Remove-Item -Path "$env:TEMPencoded.txt" -Force -ErrorAction SilentlyContinue
  Remove-Item -Path "$env:TEMPdecoded.exe" -Force -ErrorAction SilentlyContinue
  Remove-Item -Path "$env:USERPROFILEAppDataLocalTempServiceFolder" -Recurse -Force -ErrorAction SilentlyContinue