BabaDeda攻撃チェーンの終わりに現れるCNCMachineRMS

概要

この調査では、ClickFix ルアーを皮切りとした高度なマルウェアローダーチェーンを検証します。攻撃は正当な IBM SPSS IDE を悪用して、複数の偽装 DLL を実行し、最終的には CNCMachineRMS というカスタムリモートアクセス型トロイの木馬 (RAT) を展開します。このインプラントは独自のスクリプト言語を持ち、広範な難読化と広範囲のリモート管理機能を備えています。

調査

研究者は、初期の ClickFix ルアーから正当な IBM SPSS WinWrapIDE.exe プロセスを通じて多段階ローダーチェーンを追跡しました。この調査は、最終ローダーが EnumTimeFormatsEx API をシェルコードのトランポリンとして利用する COM オブジェクトの悪用を発見しました。最後のステージは、独自の構成フォーマットとカスタムタスク実行エンジンで特徴付けられる CNCMachineRMS として識別されました。

対策

組織は %TEMP% and %LOCALAPPDATA% ディレクトリ内に作成される不審な COM オブジェクトの活動や予期しないファイルを監視すべきです。既知の C2 ドメインと IP アドレスはブロックされるべきです。また、守備者は、不正なローカルアカウントの作成や特権グループへの追加を監視し、異常なサービスアカウントや予期しない高特権の実行がないかスケジュールされたタスクも検査する必要があります。

対応

CNCMachineRMS が検出された場合、組織はこの侵害を「手動操作の侵入が確認されたもの」として扱うべきです。影響を受けたホストは、ラテラルムーブメントとさらなるデータ流出を制限するために直ちに隔離されるべきです。応答者は、攻撃者の滞留時間を特定し、データ窃取のための追加のペイロードが展開されたかどうかを判断するために、包括的なフォレンジック調査を実施する必要があります。

シミュレーションの実行

前提条件: テレメトリ & ベースラインのプレフライトチェックが通過していること。

根拠: このセクションは、検出ルールを作動させるために設計された敵の技術（TTP）の正確な実行を詳細に説明します。コマンドと説明は、特定された TTP を直接反映し、検出ロジックによって期待される正確なテレメトリを生成することを目指す必要があります。抽象的または関係のない例では誤診を招く可能性があります。

• 攻撃の流れとコマンド: 攻撃者は初期アクセスを取得し、検出が困難な永続性を確立しようとしています。既知の悪意のあるバイナリを使用する代わりに、システムに IBM SPSS WinWrap Basic IDE がインストールされていることを確認します。彼らはこの正当な IDE を通じて悪意のあるコマンドを実行するためにレジストリの実行キーを悪用することを決意しました。攻撃者は、 HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersionRun キーを変更し、WinWrap IDE がペイロードを引数として渡される値を作成します。この操作により、レジストリオブジェクトのパス/名前として ‘IBM SPSS WinWrap Basic IDE’ 文字列を含むイベント ID 4657 がトリガーされます。

• リグレッションテストスクリプト:

  # スケジュレーションタスク又は実行キー経由の IBM SPSS WinWrap Basic IDE の悪用検出をトリガーするシミュレーションスクリプト
  $registryPath = "HKCU:SoftwareMicrosoftWindowsCurrentVersionRun"
  $name = "MaliciousWinWrapTask"
  $value = "C:Program FilesIBMSPSSWinWrapBasicwrb.exe /execute 'C:UsersPublicmalicious.vbs'"
  
  Write-Host "[+] IBM SPSS WinWrap Basic IDE のレジストリ変更をシミュレート中..." -ForegroundColor Cyan
  
  # このアクションにより、ターゲット文字列を含むイベント ID 4657 がトリガーされるはずです
  New-ItemProperty -Path $registryPath -Name $name -Value $value -PropertyType String -Force
  
  Write-Host "[+] シミュレーションコマンドが実行されました。イベント ID 4657 を SIEM で確認してください。" -ForegroundColor Green

• クリーンアップコマンド:

  # シミュレーション中に作成されたレジストリキーを削除する
  $registryPath = "HKCU:SoftwareMicrosoftWindowsCurrentVersionRun"
  $name = "MaliciousWinWrapTask"
  
  if (Get-ItemProperty -Path $registryPath -Name $name -ErrorAction SilentlyContinue) {
      Remove-ItemProperty -Path $registryPath -Name $name
      Write-Host "[+] クリーンアップ成功: レジストリキーが削除されました。" -ForegroundColor Green
  } else {
      Write-Host "[-] クリーンアップ失敗: キーが見つかりません。" -ForegroundColor Red
  }