ダークゲートの内部解析

概要

DarkGateは、犯罪市場でマルウェア・アズ・ア・サービスとして販売されているDelphiベースのローダーです。完全なRAT機能、動的API解決、およびカスタムベース64文字セット、Union-APIスタイルのような多層の回避トリックを含んでいます。 システムコール のロードとAPCの注入。このツールは「RastaFarEye」とされる売り手に帰属しており、TA577やDucktailといったアクターに採用されています。HTTPを介してC2と通信し、難読化されたペイロードを持ち、リモートデスクトップユーティリティの展開、Discordトークンの窃取、およびインタラクティブなリバースシェルの実行が可能です。

DarkGateマルウェア解析

この出版物は、DarkGateの実行ファイルのリバースエンジニアリングを詳細に解説し、独自の設定スクランブリング、XOR駆動のBotID生成、暗号化されたログを説明しています。ローダーの持続技術、権限昇格経路、トークンの窃盗ワークフロー、PsExecやExtexportなどの正当なバイナリの悪用によるDLLサイドローディングをカタログ化しています。さらに、C2通信パターン、デフォルトのhVNC資格情報、および一般的に使用されるHTTPポート（2351および9999）を文書化しています。

緩和策

ブルーチームは参照されたファイルやレジストリのRunエントリの作成に注意し、デフォルトのhVNC資格情報を即座に無効化またはブロックし、承認されていないDLL読み込みにPsExecやExtexportが使用されているのを検出すべきです。行動分析はUnion-APIシステムコールの使用、NtTestAlertを介したAPC注入、および親PIDのスプーフィングをカバーすべきです。ネットワークディフェンスは、奇異なHTTPポートをフラグ付けし、DarkGateのカスタムベース64アルファベットをデコードしようとすることでC2トラフィックを特定できます。

対応

DarkGateの活動が確認されたら、影響を受けたエンドポイントを孤立させ、文書化されたアーティファクトを収集し、悪意のあるプロセスを停止し、すべての持続的な進入点を掃除します。公開された資格情報をローテーションし、既知のC2ドメインやIP範囲をブロックします。詳細なフォレンジックレビューによって、二次ペイロードの特定や、Extexportや関連ローダーを通じて導入されたすべてのDLLが消去されたことを確認します。

シミュレーション実行

前提条件：テレメトリー＆ベースラインの事前チェックが合格していること。

• 攻撃のストーリー＆コマンド：
  模擬対象はすでにエンドポイントに侵入しており、持続的なRDPアクセスの確立を目指しています。まず、cmdkeyを使用して資格情報を収集しそれを保存し、次にpsexec.exeを使用して横移動します。最後にキーロガースタブをドロップするPowerShellペイロードを起動します。各ステップは、検出ルールが監視する正確なプロセス作成イベントを生成するように設計されています。cmdkey、続いてpsexec.exeを使用して横移動し、最後にキーストロークロガースタブをドロップするPowerShellペイロードを起動します。各ステップは、検知ルールが監視する正確なプロセス生成イベントを生成するように設計されています。

  1. 資格情報の収集 (T1552.001) – ルールのselection_cmdkeyパターンに一致する作成された資格情報エントリを保存します。
  2. 横移動 (T1219) – リモートホストに対してpsexec.exeを実行し、新しいPowerShellセッションを生成するコマンドを呼び出します。
  3. PowerShellの実行 (T1059.001) – 悪意のあるスクリプトを読み込むPowerShellコマンドを実行します（ここではベース64でエンコードされた無害なコマンドでシミュレートされています）。
  4. キーロガーの展開 (T1056.001) – 呼び出す小さなCバイナリをコンパイルして実行しますGetAsyncKeyState、APIフィールドマッチを生成します。

• リグレッションテストスクリプト：

  # DarkGateシミュレーションスクリプト – PowerShell
  # --------------------------------------------------
  # 1. Cmdkey資格情報エントリ（検出パターンに一致）
  $generic = '""'                         # DarkGateで使用される空の汎用
  $user    = 'SafeMode'                   # ルールが期待するユーザー名
  $pass    = 'darkgatepassword0'          # ルールが期待するパスワード
  cmd.exe /c cmdkey /generic:$generic /user:$user /pass:$pass
  
  # 2. PsExecによる横移動（バイナリがPATHに存在するか完全パスを指定する必要があります）
  $remoteHost = '10.0.0.5'
  $psexecPath = "$env:SystemRootSystem32psexec.exe"
  if (Test-Path $psexecPath) {
      & $psexecPath \$remoteHost -accepteula cmd /c "whoami"
  } else {
      Write-Host "PsExecが$psexecPathで見つかりませんでした – このステップをスキップします。"
  }
  
  # 3. PowerShellの実行（ベース64エンコードされた無害なコマンド）
  $psCommand = 'Write-Output "PowerShell payload executed"'
  $encoded = [Convert]::ToBase64String([Text.Encoding]::Unicode.GetBytes($psCommand))
  powershell.exe -EncodedCommand $encoded
  
  # 4. キーロガースタブのコンパイルと実行
  $cSource = @"
  #include <windows.h>
  int main() {
      // APIマッチを満たすためのGetAsyncKeyStateの単純な呼び出し
      GetAsyncKeyState(VK_RETURN);
      return 0;
  }
  "@
  $srcPath = "$env:TEMPkeylog_stub.c"
  $exePath = "$env:TEMPkeylog_stub.exe"
  $cSource | Set-Content -Path $srcPath -Encoding ASCII
  # Visual C++でコンパイル（cl.exeがPATHにある必要があります）
  cl.exe /nologo /O2 /Fe:$exePath $srcPath
  if (Test-Path $exePath) {
      & $exePath
  }

• クリーンアップコマンド：

  # 資格情報のエントリを削除
  cmd.exe /c cmdkey /delete:$generic
  
  # 一時ファイルを削除
  Remove-Item -Force -ErrorAction SilentlyContinue "$env:TEMPkeylog_stub.c"
  Remove-Item -Force -ErrorAction SilentlyContinue "$env:TEMPkeylog_stub.exe"
  
  # オプション：スクリプトによって起動された任意のpsexecまたはpowershellプロセスを終了します
  Get-Process -Name psexec, powershell -ErrorAction SilentlyContinue | Stop-Process -Force