Gamaredonの展開されるツールキット：GammaPhishとGammaWorm

概要

Gamaredon、ロシアの国家支援APTグループは、ウクライナ政府機関、軍事団体、重要インフラに対する長期的な諜報活動を継続しています。そのモジュラー感染チェーンはスピアフィッシング文書から始まり、WinRARのパストラバーサル脆弱性を悪用し、その後VBScript、代替データストリーム、デッドドロップリゾルバを利用して拡散、持続、追加のペイロードの取得を行います。このキャンペーンはまた、Telegram、Cloudflare、Supabaseといった正当なサービスを指揮統制活動に利用します。攻撃者がWindowsの組み込み機能やファイルレス実行手法を多用するため、検出は依然として困難です。

調査

Sekoia TDRは、侵害されたシステムから収集した70以上のアーティファクトを調査して、2026年1月の侵入チェーンを再構成しました。彼らの分析により、初期のフィッシングコンポーネントであるGammaPhish、続いてVBScriptローダーのGammaLoad、自己伝播ワームのGammaWorm、レジストリ内にモジュールを保存するPowerShellスティーラーのGammaSteelが特定されました。研究者はまた、GammaWormが持続性のために代替データストリームとスケジュールされたタスクを使用し、複数のデッドドロップリゾルバドメインへの繰り返しのネットワークリクエストを行っていることを文書化しました。調査では、各コンポーネントがより広範な感染チェーンと長期的な足がかりをどのようにサポートしているかをマップしました。

軽減措置

マルウェアがデッドドロップリゾルバを通じて継続的に新しいペイロードを取得できるため、安全な修復アプローチはしばしばシステム全体の再構築が最善です。防御努力は、疑わしい代替データストリームの作成、RunOnceレジストリの修正、異常な名前の付いたスケジュールされたタスク、および既知のリゾルバドメインからの非ブラウザープロセスによるアウトバウンドトラフィックの検出に焦点を当てるべきです。指揮統制インフラを特定しブロックし、メール添付ファイルに厳しいスキャンコントロールを適用することでも、初期の侵害の可能性を減少させることが可能です。

対応

この活動が検出された場合は、影響を受けたホストを直ちに隔離し、揮発性証拠を収集し、完全な法医学的取得を実施してください。代替データストリームに隠されたファイルを削除し、悪意のあるRunOnceレジストリエントリを削除し、関連するスケジュールされたタスクを無効にします。既知のリゾルバドメインとIPアドレスをネットワークエッジでブロックし、エンドポイント検出を更新して観察されたコマンドラインやファイルレス実行パターンを特定するようにします。

シミュレーションの実行

前提条件: テレメトリ&ベースライン事前飛行チェックがパスする必要があります。

根拠: このセクションでは、検出ルールをトリガーするために設計された敵対者技法（T1564.007）の正確な実行内容を詳述します。コマンドとナラティブは、検出ロジックに期待されるテレメトリを直接生成します。

• 攻撃のナラティブ&コマンド:
  オペレーターはGammaWormペイロード（コンパイルされたPE）を取得し、従来のファイルリスティングから隠れながら持続性を実現したいと考えています。攻撃者は、ユーザープロファイルディレクトリ内の GTR という名前のNTFS代替データストリームにペイロードを書き込みます。WindowsはADSを通常のファイルの一部として扱います（%USERPROFILE%gamma.exe:GTR）。ADS名がルールのハードコードリストと一致するため、 %USERPROFILE% に含まれる「:GTR」のあるファイル作成イベントが検出されます。

  # ステップ 1 – ダミーの悪質なバイナリ（例: base64でエンコードされたPowerShellワンライナー）を準備します
  $malicious = [System.Convert]::FromBase64String(
      "TVqQAAMAAAAEAAAA//8AALgAAAAAAAAAQAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA" +
      "AAAAAAAAAAAAAAAwAAAAA4AAAAA")
  $payloadPath = "$env:USERPROFILEgamma.exe"
  
  # ステップ 2 – バイナリをメインファイルに書き込む（オプション; ADSはメインファイルなしで存在できます）
  [IO.File]::WriteAllBytes($payloadPath, $malicious)
  
  # ステップ 3 – 同じバイナリ（または異なるペイロード）を「GTR」という名前のADSに書き込む
  $adsPath = "$payloadPath:GTR"
  Set-Content -Path $adsPath -Value $malicious -Encoding Byte

• リグレッションテストスクリプト: (独立; PowerShell 5+ を備えた任意のWindowsホストで実行可能)

  # GammaWorm ADS Persistence シミュレーション – 検出ルールをトリガー
  try {
      # プレースホルダーのホストファイルを作成
      $hostFile = "$env:USERPROFILEgamma.exe"
      $dummyBytes = [byte[]] (0x4D,0x5A,0x90,0x00) # 最小限のPEヘッダー
      [IO.File]::WriteAllBytes($hostFile, $dummyBytes)
  
      # 「GTR」という名前のADSに悪意のあるペイロードを書き込む
      $ads = "$hostFile:GTR"
      Set-Content -Path $ads -Value $dummyBytes -Encoding Byte
  
      Write-Host "ADS 'GTR' が $ads で正常に作成されました"
  } catch {
      Write-Error "シミュレーション失敗: $_"
  }

• クリーンアップコマンド:

  # ADSとプレースホルダーのホストファイルを削除
  $hostFile = "$env:USERPROFILEgamma.exe"
  $ads = "$hostFile:GTR"
  
  # ADSを削除（Sysinternals Streams.exeまたはPowerShell 5+が必要）
  if (Test-Path $ads) {
      Remove-Item -Path $ads -Force
      Write-Host "ADS GTRが削除されました。"
  }
  
  # メインファイルを削除
  if (Test-Path $hostFile) {
      Remove-Item -Path $hostFile -Force
      Write-Host "ホストファイル gamma.exe が削除されました。"
  }