ニュンバスマンティコアとそのサイドローディング感染チェーンの検出

概要

UNC1549としても追跡されているNimbus Manticoreは、偽の採用ポータルを使用して標的型のフィッシングキャンペーンを実施し、マルチステージの.NETマルウェアチェーンを配布しました。この攻撃は、正規のMicrosoft Visual StudioコンポーネントとAppDomainハイジャックを悪用してカスタムDLLをロードし、その後、2番目のステージDLLを展開し、スケジュールタスクを通じて永続性を確立しました。コマンド・アンド・コントロールインフラストラクチャはAzureベースのドメインでホストされていました。キャンペーンは主に中東とヨーロッパの航空宇宙および防衛組織を標的にしていました。

調査

研究者たちはLinkedIn誘導からZIPアーカイブ、改変された setup.exe.config ファイル、暗号化されたステージャーに至る完全な感染チェーンを再構築しました。彼らの分析では、改名された ServiceHub.VSDetouredHost.exeの悪用が明らかになり、 TOTPGuard.dll ローダー、AES暗号化されたPEヘッダー、および BackupCheckというログオントリガのスケジュールタスクも判明しました。ネットワークインジケーターもまた、コマンド・アンド・コントロールコミュニケーションのために使用された多数のAzureホストされたドメインを指していました。

軽減策

組織は、採用テーマのソーシャルエンジニアリングの兆候に気づくように従業員を訓練し、新規登録されたドメインをブロックまたは厳重に監視し、ユーザ書込みディレクトリに対してAppLockerまたは同等のコントロールを施行するべきです。また、名前が BackupCheck のスケジュールタスクや、 doit 引数を使用して実行されるものに対して警戒すべきです。.NETアプリケーションにおけるAppDomainハイジャック振る舞いやAzureホストされたコマンド・アンド・コントロールドメインへの不審なトラフィックを監視することも推奨されます。

対応

関連する活動が検出された場合、影響を受けたエンドポイントを隔離し、悪意あるバイナリとスケジュールタスクの定義を収集し、関連するAzureドメインおよび偽の採用ポータルをブロックしてください。調査員は、 AppData2FAGuard フォルダーの法医学レビューを実行し、持続性タスクを削除し、同じYARA署名を使用して他のシステムで似た活動を捜索してください。検出ロジックを新たに識別されたインジケーターで更新する必要があります。

シミュレーション実行

前提条件: テレメトリ & ベースライン事前フライトチェックが完了している必要があります。

根拠: このセクションでは、検出ルールをトリガーするために設計された敵対者技術 (TTP) の正確な実行を詳述しています。コマンドとストーリーは、識別されたTTPを直接反映し、検出ロジックによって期待される正確なテレメトリを生成することを目的としています。

• 攻撃のストーリーとコマンド:
  攻撃者は正規のVisual Studio setup.exe バイナリのコピーを入手し、その名前を変更せずに偽装するため setup.exe にリネームし、書き込み可能なディレクトリに配置しました。攻撃者は、ペイロードを含む悪意のあるDLL TOTPGuard.dll を作成しました。AppDomainをハイジャックするために、彼らはPDBパス引数に文字列 AppDomainInjection を埋め込みました。その後、攻撃者は以下のコマンドラインで実行可能ファイルを起動しました:

  C:Tempsetup.exe /install /doit /dll "C:TempTOTPGuard.dll" /pdb "C:TempAppDomainInjection.pdb"

  この正確な呼び出しはSigmaルールの中で3つの CommandLine|contains 条件を全て満たし、ProcessCreateイベントでルールが発火します。

• リグレッションテストスクリプト:

  # -------------------------------------------------
  # Nimbus Manticore検出をトリガーするための回帰スクリプト
  # -------------------------------------------------
  $exePath   = "C:Tempsetup.exe"
  $dllPath   = "C:TempTOTPGuard.dll"
  $pdbPath   = "C:TempAppDomainInjection.pdb"
  
  # ファイルの存在を確認 (テスト用にダミーのプレースホルダーを作成)
  New-Item -ItemType File -Path $exePath -Force | Out-Null
  New-Item -ItemType File -Path $dllPath -Force | Out-Null
  New-Item -ItemType File -Path $pdbPath -Force | Out-Null
  
  # 悪意のあるコマンドラインをビルド
  $arguments = @(
      "/install"
      "/doit"
      "/dll `"$dllPath`""
      "/pdb `"$pdbPath`""
  ) -join " "
  
  Write-Host "悪意のあるsetup.exeを以下の引数で起動:"
  Write-Host $arguments
  
  # プロセスを実行 (ダミーexeは何もせずにすぐに終了)
  Start-Process -FilePath $exePath -ArgumentList $arguments -PassThru | Out-Null

• クリーンアップコマンド:

  # -------------------------------------------------
  # 回帰テスト用に作成したアーティファクトのクリーンアップ
  # -------------------------------------------------
  $paths = @(
      "C:Tempsetup.exe",
      "C:TempTOTPGuard.dll",
      "C:TempAppDomainInjection.pdb"
  )
  
  foreach ($p in $paths) {
      if (Test-Path $p) {
          Remove-Item -Path $p -Force
          Write-Host "Removed $p"
      }
  }