APT28グループによるマルウェア「CredoMap_v2」を使用したサイバー攻撃 (CERT-UA#4622)

シミュレーション実行

前提条件: テレメトリー & ベースライン プレフライト チェックが合格している必要があります。

理論: このセクションでは、検出ルールをトリガーするために設計された相手技術（TTP）の正確な実行を詳述します。コマンドと記述は、識別された TTP に直接反映し、検出ロジックが予想する正確なテレメトリーを生成することを目的としています。抽象的または無関係な例は誤診につながります。

• 攻撃のストーリーとコマンド:
  APT28 のオペレーターは、パスワード保護された RAR アーカイブを含むフィッシングメールを受け取ります。内には、自己解凍型 (SFX) 実行ファイルである UkrScanner.exeが含まれています。被害者マシンでアーカイブを抽出した後、オペレーターは SFX スタブを実行し、CredoMap_v2 マルウェアをドロップして実行します。 UkrScanner.exe が検出ルールに一致するプロセス作成イベントを生成します。

  シミュレーション手順（テストホストで実行）:

  1. ダミーの実行可能ファイルを作成します UkrScanner.exe （安全のため powershell.exe のコピー）。
  2. 攻撃者が SFX ファイルを実行することを模倣するために、ダミーの実行可能ファイルを起動します。

• 回帰テストスクリプト：

  # ==============================
  # SFX (UkrScanner.exe) からの CredoMap_v2 実行のシミュレーション
  # ==============================
  $tempPath = "$env:TEMPUkrScanner.exe"
  
  # 1. 無害なスタンドインペイロードの準備 (powershell.exe のコピー)
  Copy-Item -Path "$env:SystemRootSystem32WindowsPowerShellv1.0powershell.exe" -Destination $tempPath -Force
  
  # 2. ファイルが実行可能であることを確認
  Unblock-File -Path $tempPath
  
  # 3. ダミーの SFX スタブを実行 (ファイルの実行を攻撃者がシミュレート)
  Write-Host "ダミー SFX 実行ファイルを起動しています..."
  Start-Process -FilePath $tempPath -ArgumentList "-NoProfile -WindowStyle Hidden" -PassThru
  
  # 4. SIEM の取り込みを待ちます
  Start-Sleep -Seconds 5
  Write-Host "シミュレーション完了。SIEM で 'UkrScanner.exe' で終わるプロセス作成の検出を確認してください。"

• クリーンアップ コマンド:

  # ダミー実行ファイルによって開始されたパワーシェル プロセスが残っている場合は停止します (ある場合)
  Get-Process -Name "powershell" -ErrorAction SilentlyContinue | Where-Object {$_.Path -like "*UkrScanner.exe"} | Stop-Process -Force
  
  # ダミー実行ファイルを削除します
  $tempPath = "$env:TEMPUkrScanner.exe"
  if (Test-Path $tempPath) {
      Remove-Item -Path $tempPath -Force
      Write-Host "クリーンアップ完了: $tempPath を削除しました"
  }