韓国におけるRadminとUltraVNCのインストールを伴うマルウェア攻撃事例

概要

脅威アクターは、韓国のユーザーをターゲットにしてRadminやUltraVNCなどのリモートアクセスツールをインストールしています。制御を取得した後、攻撃者はNetch-gateway、CCProxy、SoftEther VPNを含む追加のプロキシユーティリティを展開します。明らかな目的は、侵害されたシステムをプロキシノードまたはVPNサーバーに変えて、さらなる悪意のある活動をサポートすることです。

調査

AhnLab Security Intelligence Centerは、PowerShellに基づくダウンロードから始まるマルチステージの感染チェーンを分析しました。攻撃者は最初のリモートコントロールにRadminを使用し、その後UltraVNCやいくつかのプロキシングツールを展開します。スクリプトに見られる中国語のコメントや特定のツール設定は、この活動が中国語話者の脅威アクターに関連している可能性を示唆しています。

軽減策

ユーザーは、不明または信頼できないソースから取得したファイルを開いたり実行したりする際に注意を払うべきです。V3などのウイルス対策製品は、既知のマルウェアシグネチャをブロックする手助けをするために、常に最新の状態に保つ必要があります。組織は、許可されていないリモートデスクトップソフトウェア、予期しないプロキシツール、およびVPNサービスの異常なインストールをエンドポイントで監視する必要があります。

対応

悪意のある活動が検出された場合、影響を受けたシステムは、さらなるコマンドアンドコントロール通信を停止するために直ちにネットワークから隔離されるべきです。レスポンダーは、最初のアクセスルートと横方向の移動の範囲を特定するために完全なフォレンジック調査を行う必要があります。また、ネットワークログは、内部システムから発生する許可されていないSOCKS5、Shadowsocks、またはVPNトラフィックについてもレビューされるべきです。

シミュレーション実行

前提条件：テレメトリ＆ベースラインの事前確認が通過していること。

根拠：このセクションでは、検出ルールをトリガーするために設計された敵対者の技術（TTP）の正確な実行を詳細に示します。コマンドと説明は特定されたTTPを直接反映し、検出論理によって予想される正確なテレメトリを生成することを目指します。抽象的または無関係な例は誤診につながります。

• 攻撃の物語とコマンド： 敵対者はワークステーションへの最初のアクセスを獲得し、RadminまたはUltraVNCを使用して持続性とリモートコントロールを確立しようとしています。検出を回避するために、自動インストールを行うスクリプトをダウンロードします。攻撃者の目標は非常に特定的で目立たないファイル名（11.Bat）を使用して、手動のファイル検査からの疑念を避けることと、コマンドラインで重要なシステムプロセス名（svchost.Exe）を模倣することでインストーラーの実行を隠蔽することです。これらの行動は、ターゲット検出ルールの特定の文字列一致ロジックをトリガーするように設計されています。

• リグレッションテストスクリプト：

   # '11.Bat'経由のRadmin/UltraVNCの展開シミュレーション
    New-Item -Path "$env:TEMP11.Bat" -ItemType "File" -Value "echo Installing Remote Access Tool..."
    Start-Process -FilePath "cmd.exe" -ArgumentList "/c $env:TEMP11.Bat"
    Write-Host "[+] Simulation: 11.Bat executed."
  
    # コマンドラインでの異常な 'svchost.Exe' 使用のシミュレーション
    # 注意：これはルールロジックをトリガーするためのシミュレートされたコマンド文字列です
    Start-Process -FilePath "cmd.exe" -ArgumentList "/c svchost.Exe /install_vnc_dummy_param"
    Write-Host "[+] Simulation: Anomalous svchost.Exe command line executed."

• クリーンアップコマンド：

   Remove-Item -Path "$env:TEMP11.Bat" -Force
    Write-Host "[+] Cleanup: Simulation artifacts removed."