還付の裏側：GSTフィッシングからRemcos RATへのマルチステージ.NET感染チェーン

概要

インドの納税者を狙った高度なフィッシングキャンペーンは、GST関連テーマを用いて、複数段階の.NETマルウェア感染チェーンを展開します。この攻撃は悪意あるアーカイブで始まり、複数のインメモリローダーを経て最終的にはRemcos RATを展開します。また、ビットマップ形式のペイロード隠蔽やファイルレス実行などの高度な回避技術に依存しています。

調査

調査により、エンコードされたビットマップを含む.NETバイナリから始まる多段階実行チェーンが明らかになりました。そのローダーは、第二段階のDLLを抽出します。 Windows Health Optimizer Plus.dll、その後、第三段階のローダーを呼び出します。 perfgurd.dll、最終的なRemcos RATペイロードを完全にメモリ内で実行します。インフラ分析では、動的DNSサービスやローテーションホスティングプロバイダの使用も特定されました。

緩和策

組織は、偽装された政府ドメインや悪意あるアーカイブの添付ファイルを検出するための強力なメールフィルタリングを実施すべきです。さらに、非常に可視性の高いエンドポイントを導入し、疑わしい.NETアセンブリのロードを特定する必要があります。例えば、 Assembly.Load、および cmstp.exeによって生成される異常な子プロセスです。PowerShellの実行制限とレジストリのRunキーの監視は、持続性のブロックにも役立ちます。

対応

この活動が検出された場合、影響を受けたホストは、さらなる指揮と制御の通信を止めるために直ちに隔離されるべきです。調査員は、ファイルレスアーティファクトを特定し、証明書の盗難範囲を評価するためにメモリフォレンジックを実施するべきです。また、ネットワークログを確認して、特定の動的DNSドメインへの接続や横方向の動きの可能性を示す兆候を探してください。

シミュレーションの実行

前提条件: テレメトリとベースライン事前チェックが通過していること。

根拠: このセクションでは、検出ルールをトリガーするために設計された、敵の技術手法(TTP)の正確な実行を詳細に説明します。コマンドと説明は、特定されたTTPを直接反映し、検出ロジックが期待する正確なテレメトリを生成することを目指します。抽象的または無関係な例は、誤診につながります。

• 攻撃の物語とコマンド: 敵は、検出を回避するために、正当なシステムツールを使用して持続性を確立し、コードを実行することを目指しています。最初に、攻撃者は cmstp.exe を使用して、悪意あるペイロードを実行する接続プロファイルをインストールします（ここでは calc.exe via cmstpを呼び出すことでシミュレートしています）。次に、攻撃者は RVKLmPcYcNO.exe という名前の悪意あるバイナリを C:UsersadminAppDataRoaming ディレクトリにドロップして、最近のRAT感染で使用されたペイロード配信/持続性メカニズムをシミュレートします。

• リグレッションテストスクリプト:

  # 1. cmstp.exeの悪用のシミュレーション
  # 注: 実際の攻撃では.INFファイルが関与します。
  # ここではcmstp.exeのプロセス生成を直接トリガーします。
  Start-Process "C:WindowsSystem32cmstp.exe" -ArgumentList "/s C:pathtomalicious.inf" -ErrorAction SilentlyContinue
  
  # 2. 特定の悪意のあるファイル名を使ったAppData経由の持続性のシミュレーション
  $targetDir = "C:UsersadminAppDataRoaming"
  $maliciousFile = Join-Path $targetDir "RVKLmPcYcNO.exe"
  
  # マルウェアを表すダミーファイルを作成
  New-Item -Path $maliciousFile -ItemType File -Force | Out-Null
  
  # 検出ルールの第二部をトリガーするために"マルウェア"を実行
  Start-Process $maliciousFile -ErrorAction SilentlyContinue

• クリーンアップコマンド:

  # シミュレートされた悪意のあるファイルをクリーンアップ
  Remove-Item -Path "C:UsersadminAppDataRoamingRVKLmPcYcNO.exe" -Force -ErrorAction SilentlyContinue