中国関連のアクター、米国政策に影響を与える組織に焦点を維持

分析

APT41、Kelp (Salt Typhoon)、Space Pirates、および Earth Longzhi サブグループなどの中国の国家関連脅威グループが、政府政策に影響を与える米国の非営利団体に対して多段階の侵入を実施しました。攻撃者は、既知のエクスプロイト（例：CVE-2022-26134、CVE-2021-44228、CVE-2017-9805、CVE-2017-17562）に対する最初のスキャンを実行し、curlで接続をテストし、netstatでネットワークデータを収集し、持続性のためのスケジュールタスクを作成し、正当なVipreAVコンポーネントvetysafe.exeを介したDLLサイドローディング、およびDcsyncやImjpuexcなどのツールを使用しました。このキャンペーンの目的は、長期的なステルスアクセスを維持し、ドメインコントローラーを潜在的に侵害することでした。

調査

調査では、一連のATT&CK技術が特定されました：大規模スキャンを通じて脆弱なサービスを特定する偵察（T1595）、CVE-2022-26134、CVE-2021-44228、CVE-2017-9805、CVE-2017-17562を使用して初期アクセス（T1190）、外部サイトに対するcurlリクエストでのコマンド・アンド・コントロールテスト（https://www.google.com , https://www.microsoft.com 、など）、netstatを用いたネットワーク接続の列挙による発見（T1049）、schtasks /create /tn MicrosoftWindowsRasOutboundで作成されたスケジュールタスクによる持続性（T1053）、vetysafe.exeを通じたsbamres.dllのDLL サイドローディングによる防御エビジョン（T1574.002）、ディレクトリデータの複製のためのDcsyncの使用による認証情報アクセス（T1003）、カスタムローダーとImjpuexcの実行（T1059）。観測されたツールには、正当なWindowsユーティリティ（netstat、schtasks）、curl、msbuild.exe、vetysafe.exe（VipreAV）、sbamres.dll、Dcsync、Imjpuexc、およびカスタム暗号化ローダーが含まれます。sbamres.dll、imjpuexc.exe、およびhxxp://38.180.83[.]166/6CDF0FC26CDF0FC2へのネットワークトラフィックのハッシュ値などのインジケータオブコンプロマイズ（IOC）が記録されました。

軽減策

• • 脆弱な全てのソフトウェアを直ちにパッチ適用し、特にAtlassian製品（CVE-2022-26134）、Log4j（CVE-2021-44228）、Apache Struts（CVE-2017-9805）、GoAhead（CVE-2017-17562）に注意。
• • アプリケーション制御（例：AppLocker、Windows Defender Application Control）を実装して、curl、msbuild.exe、およびカスタムローダーなどの一般的なユーティリティの無許可実行をブロック。
• • 厳格な最小権限ポリシーを適用し、スケジュールタスクの作成を認可された管理者のみに制限。DLLサイドローディングの検出ルールを展開し、意図しないDLLをロードする既知の正当なバイナリの実行を監視（例：vetysafe.exeがsbamres.dllをロード）。
• • Dcsyncアクティビティとドメインコントローラーでの異常なレプリケーションリクエストの監視を有効化。
• ネットワークをセグメント化して、横方向の動きを制限し、ドメインコントローラーなどの重要資産を隔離。
• • 定期的な脆弱性スキャンと新たなCVEに基づく脅威インテリジェンス主導のエクスプロイト予防を実施。
•  

対応

• • 侵害されたホストや同様のIOCを示すシステムを隔離。
• • フォレンジック分析のために揮発性メモリとディスクイメージをキャプチャ。
• • 悪意のあるスケジュールタスクを削除し、msbuild.exeによって使用される未知のXMLファイルを削除。
• • 侵害されたバイナリ（vetysafe.exe、msbuild.exe）を置き換えるかクリーンし、署名を確認。
• • 資格情報を更新し、特に特権アカウントとドメイン管理者アカウントでの資格情報ダンピングを監査。
• • 悪意のあるホスト（hxxp://38.180.83[.]166）へのアウトバウンドC2トラフィックをブロック。
• • ドメインコントローラーの完全な監査を実施し、バックドアや持続性のメカニズムが残っていないことを確認。
• • SIEMおよびエンドポイントツール内で、観測されたツールとIOCに対する検出シグネチャを更新。
•  

シミュレーション手順

• 攻撃ストーリー & コマンド:

  1. msbuild.exeによる持続性 – 攻撃者は、「evil.xml」という悪意のあるXMLプロジェクトを作成し、バックドアDLLをダウンロードするPowerShellペイロードを実行します。
  2. vetysafe.exeによるDLLサイドローディング – 悪意のあるDLL（evil.dll）がvetysafe.exeの横に配置され、vetysafe.exe を実行することでコードの実行を達成（T1055.001/T1574.001）。
  3. netstat.exeによるネットワーク偵察 – 攻撃者はnetstat -ano を実行してアクティブな接続を列挙し、横方向移動のためのデータを収集（T1049）。

• 回帰テストスクリプト:

  # ---------------------------------------------------------
  # 攻撃シミュレーション – vetysafe、msbuild、netstatのSigmaルールをトリガー
  # ---------------------------------------------------------
  
  # 1. 悪意のあるDLLを用意（デモ用のシンプルなアラート）
  $dllPath = "$env:TEMPevil.dll"
  Set-Content -Path $dllPath -Value ([byte[]](0x4D,0x5A,0x90,0x00)) # 偽のPEヘッダー
  
  # 2. vetysafe.exe（C:WindowsSystem32に存在すると仮定）をテンポフォルダーにコピー
  $vetysafe = "$env:SystemRootSystem32vetysafe.exe"