フォローする 
概要
このレポートは、リモートアクセスツール（Remcos、NetSupport Managerを含む）を取得し実行するためにWindowsの組み込みユーティリティ（LOLBins）を積極的に悪用するマルチステージ感染チェーンを概説します。オペレーターは、forfiles、mshta、PowerShell、curl、tar、WScript、およびターゲットとするレジストリの変更を連鎖させてペイロードをステージングし、持続性を確立し、視認性を低減します。このワークフローはまた、生きている環境内での振る舞いを利用して管理活動に静かに溶け込むものです。Malwarebytesはこの活動を特定し、関連IPアドレスをブロックしました。全体として、どれだけ広範にLOLBinsの悪用がRATsの配信に信頼できるかを強調しています。
調査
研究者は最初にforfiles.exeがmshtaを生成し、悪意のあるHTAを引き込み、PowerShellを実行してTARアーカイブを運ぶPDFデコイを取得するのを確認しました。抽出後、トロイの木馬化されたglaxnimate.exeがProgramDataに断片化されたコンポーネントをドロップし、WScript、バッチスクリプト、補助ファイルを使用して再構成および起動しました。持続性は、HKCUEnvironmentに悪意のあるクライアントバイナリを参照するUserInitMprLogonScript値を作成することで設定されました。
緩和策
特にforfiles、mshta、curl、tar、expand、およびHKCUEnvironment内の疑わしいレジストリエディットに関して、異常なLOLBinsの実行を監視します。アプリケーションのホワイトリストの適用、包括的なPowerShellロギングの有効化、およびProgramDataからのスクリプト実行の防止によりステージングを制約します。未知のIPへの異常なアウトバウンドHTTPをブロックし、初回ダウンロード試行を妨害するためにURLフィルタリングを適用します。
対応
検出時には、ホストを隔離し、フルコマンドラインテレメトリーをキャプチャし、ハッシュ解析用にドロップされたアーティファクトを収集します。悪意のあるレジストリエントリを削除し、ProgramDataに作成されたファイルを削除します。最新のAV署名を使用してエンドポイントスキャンを実行し、攻撃者のIPアドレスと関連ドメインへのネットワークレベルのブロックを実施します。
攻撃フロー
シミュレーション実行
前提条件：テレメトリー＆ベースラインのプレフライトチェックが通過している必要があります。
根拠：このセクションは、検出ルールをトリガーするために設計された敵の技術（TTP）の正確な実行を詳述します。コマンドおよびナラティブは識別されたTTPsを直接反映し、検出ロジックで期待される正確なテレメトリーを生成することを目的とします。
-
攻撃ナラティブとコマンド：
レッドチームのオペレーターは、 Remcos RATを直接実行可能ファイルをダウンロードせずに展開することを目的としています。- 発見とステージング： Use
forfiles.exeを使用してターゲットディレクトリを見つけ出し、mshtaを悪意のあるURLで起動し、HTAペイロードをホストします。 - ファイルレスPowerShellダウンロード： Invoke
powershell.exeを使用して、-NoProfile -Command curlを実行し、C2サーバーからセカンドステージスクリプトを取得します。 - VBScript実行： crafted
processor.vbsviaWScript.exeを展開してRATバイナリを%ProgramData%. - へ書きます。 バッチドロッパー：
非表示のバッチファイル（非表示のバッチファイル（）を起動し、）を起動し、を経由して呼び出されるを経由して呼び出される
により持続性を確立します。
- 発見とステージング： Use
-
各ステップは、Sigma選択のいずれかに一致する独自のプロセス作成イベントを生成し、ルールが発生するようにします。
回帰テストスクリプト：以下のスクリプトは、4つの選択を制御されたラボで再現します。それぞれのコマンドを一時ファイルに記録して後で検証します。 -
クリーンアップコマンド：
ホストをクリーンな状態に戻すためにアーティファクトを削除します。# LOLBinシミュレーションアーティファクトをクリーンアップ Remove-Item -Path "$env:ProgramDataprocessor.vbs" -ErrorAction SilentlyContinue Remove-Item -Path "$env:ProgramDataremcos.exe" -ErrorAction SilentlyContinue Remove-Item -Path "$env:ProgramDatapatcher.bat" -ErrorAction SilentlyContinue Remove-Item -Path "$env:TEMPstage.ps1" -ErrorAction SilentlyContinue Remove-Item -Path "$env:TEMPlolbin_simulation.log" -ErrorAction SilentlyContinue Write-Output "[+] クリーンアップ完了。"