Microsoft TeamsとGoogle Driveを介して配信されるNimbus RAT

SOC Prime Team

フォローする

Microsoft TeamsとGoogle Driveを介して配信されるNimbus RAT

Detection stack

AIDR
Alert
ETL
Query

脅威レポート
攻撃フロー
検出
シミュレーション

概要

脅威アクターは、Microsoft Teamsの音声フィッシングとQuick Assistを使用して、Nimbus RATとして知られるJavaベースのリモートアクセス型トロイの木馬を展開しました。このマルウェアは、コマンドアンドコントロールチャンネルとしてGoogle DriveとGoogle Sheetsを利用し、独自のOpenJDKランタイムを同梱しています。資格情報を盗むために、偽のWindowsセキュリティプロンプトまたはネイティブのCredUI APIを使用してユーザーシークレットをキャプチャします。

調査

eSentireの脅威対策ユニットは、メールフローログ、エンドポイントのテレメトリ、およびJavaマルウェアの静的分析を使用して、完全な侵入チェーンを再構築しました。このキャンペーンは、メール爆撃、Teamsベースのフィッシング通話、Quick Assistリモートサポート、Pastebinにホストされた指示シート、およびペイロードを配布するための侵害されたSharePointテナントを組み合わせました。

緩和策

推奨される防御策には、未知のテナントからの外部Teamsメッセージの無効化、必要ない場所でのQuick Assistのブロック、メール爆撃活動の急増に対する警告の設定、監視が含まれます javaw.exe 異常な場所からの実行、予期しないプロセスによって開始された疑わしいGoogle Drive API呼び出しの検出。

対応

Nimbus RATの活動が検出された場合、影響を受けたシステムを隔離し、関連するすべての javaw.exe プロセスを終了し、 C:ProgramDataInboxCorePro ディレクトリと関連するスタートアップショートカットを削除し、システム全体の再イメージを検討します。Google Workspaceの監査ログも確認し、不正なGoogle Driveアプリケーション権限の取得を特定します。

graph TB %% クラス定義 classDef action fill:#99ccff classDef tool fill:#ffcc99 classDef malware fill:#ff9999 classDef process fill:#ccccff classDef data fill:#e6e6e6 %% ノード – アクション action_phishing[“アクション – T1566.003 フィッシング: サービス経由のスピアフィッシング メール爆撃によりサブスクリプション確認メッセージを送信し、後のMicrosoft Teamsによるビッシング通話の準備を行う”] class action_phishing action action_trusted_rel[“アクション – T1199 信頼関係の悪用 攻撃者は使い捨てのMicrosoft 365テナントを作成、または正規テナントを侵害し、信頼される外部Teamsメッセージを送信する”] class action_trusted_rel action action_user_exec_file[“アクション – T1204.002 ユーザー実行: 悪意あるファイル 被害者はPastebin経由で指示され、侵害されたSharePointからZIPをダウンロードし、javaw.exeでJARファイルを実行する”] class action_user_exec_file action action_user_exec_copy[“アクション – T1204.004 ユーザー実行: コピー＆ペースト悪用 攻撃者はPastebin URLをTeamsチャットに貼り付け、ユーザーを悪意あるサイトへ誘導する”] class action_user_exec_copy action action_persistence[“アクション – T1547.001 ブートまたはログオン時の自動実行 .regファイルのインポートとスタートアップフォルダのショートカット作成によりJava RATの永続化を確立する”] class action_persistence action action_credential_harvest[“アクション – T1056.002 入力情報の取得: GUI入力キャプチャ Nimbus RATは偽のJava Swing認証ダイアログとWindows CredUIプロンプトを表示し資格情報を窃取する”] class action_credential_harvest action action_c2[“アクション – T1102.002 Webサービス: 双方向通信 Google DriveをC2として使用し、サービスアカウントまたはOAuth2認証で暗号化ポーリングファイルを利用する”] class action_c2 action action_exfil[“アクション – T1567.002 Webサービス経由のデータ流出 スクリーンショットやファイルなどの収集データを同じGoogle Driveフォルダへアップロードする”] class action_exfil action action_network_disc[“アクション – T1016 システムネットワーク構成の探索 RATは ipconfig /all などのコマンドを実行しネットワーク情報を収集する”] class action_network_disc action %% ツール / マルウェア / プロセス tool_email_bomb[“ツール – 名称: メールボムスクリプト”] class tool_email_bomb tool tool_teams[“ツール – 名称: Microsoft Teams（ビッシング）”] class tool_teams tool tool_sharepoint[“ツール – 名称: 侵害されたSharePointサイト”] class tool_sharepoint tool malware_nimbus[“マルウェア – 名称: Nimbus RAT (Java)”] class malware_nimbus malware file_jar[“ファイル – 名称: InboxCorePro.jar（Javaペイロード）”] class file_jar data process_javaw[“プロセス – 名称: javaw.exe（JAR実行）”] class process_javaw process file_reg[“ファイル – 名称: レジストリインポート .reg”] class file_reg data file_startup[“ファイル – 名称: スタートアップフォルダのショートカット”] class file_startup data service_gdrive[“サービス – 名称: Google Drive（C2および流出）”] class service_gdrive data process_ipconfig[“プロセス – コマンド: ipconfig /all”] class process_ipconfig process %% 接続 action_phishing –>|使用| tool_email_bomb action_phishing –>|につながる| action_trusted_rel action_trusted_rel –>|使用| tool_teams action_trusted_rel –>|送信| action_user_exec_copy action_user_exec_copy –>|リンク提供| action_user_exec_file action_user_exec_file –>|ダウンロード元| tool_sharepoint action_user_exec_file –>|実行| file_jar file_jar –>|実行プロセス| process_javaw process_javaw –>|起動| malware_nimbus malware_nimbus –>|作成| action_persistence action_persistence –>|インポート| file_reg action_persistence –>|配置| file_startup malware_nimbus –>|取得| action_credential_harvest malware_nimbus –>|通信| service_gdrive service_gdrive –>|C2支援| action_c2 service_gdrive –>|流出支援| action_exfil malware_nimbus –>|実行| action_network_disc action_network_disc –>|コマンド実行| process_ipconfig

攻撃フロー

攻撃のナラティブとコマンド:
脅威アクターはすでにNimbus RATバイナリでエンドポイントを侵害しています。隠れたC2チャネルを確立するために、RATは2つのアウトバウンドHTTP POSTリクエストを発行します:
1. Google Drive API呼び出し – 小さいJSONペイロードをにアップロードします https://www.googleapis.com/drive/v3/files?uploadType=media, RATの“ペイロードダウンロード”動作を模擬します。
2. Pastebinペースト – base-64エンコードされたコマンド文字列をに投稿します https://pastebin.com/api/api_post.php 、公共のAPIキーを使用して。
両方のリクエストは、PowerShellの Invoke-WebRequest を通じて実行され、ファイアウォールログに ドメイン フィールド（googleapis.com and pastebin.com）が含まれるようにします。攻撃者は、通常の活動に溶け込むために、侵害されたユーザーのコンテキストで命令を実行します。

リグレッションテストスクリプト:

# --------------------------------------------------------------
# Nimbus RAT C2シミュレーション–ドメイン一致でSigmaルールをトリガー
# --------------------------------------------------------------
# 1. Google Drive APIモックアップロード（認証なし–ドメインテレメトリにフォーカス）
$googlePayload = @{ name = "dummy.txt"; mimeType = "text/plain" } | ConvertTo-Json
$googleUri = "https://www.googleapis.com/drive/v3/files?uploadType=media"
try {
    Invoke-WebRequest -Uri $googleUri -Method POST -Body $googlePayload `
        -ContentType "application/json" -UseBasicParsing -ErrorAction Stop
    Write-Host "[+] Google Drive APIへのモックアップロードを送信しました"
} catch {
    Write-Warning "Google Driveリクエストが失敗しました（サンドボックスで予期される）：$_"
}
# 2. Pastebin公開API投稿（開発者キーが必要–プレースホルダーを使用）
$pastebinKey   = "YOUR_PUBLIC_API_KEY"    # <-- 有効なキーで置換して実際のテストを行います
$pastebinText  = "echo 'C2からのシミュレートされたコマンド'" 
$pastebinUri   = "https://pastebin.com/api/api_post.php"
$pastebinBody  = @{
    api_dev_key = $pastebinKey
    api_option  = "paste"
    api_paste_code = $pastebinText
    api_paste_private = "1"
}
try {
    Invoke-WebRequest -Uri $pastebinUri -Method POST -Body $pastebinBody `
        -ContentType "application/x-www-form-urlencoded" -UseBasicParsing -ErrorAction Stop
    Write-Host "[+] Pastebinにモックコマンドを投稿しました"
} catch {
    Write-Warning "Pastebinリクエストが失敗しました（サンドボックスで予期される）：$_"
}
# --------------------------------------------------------------
# シミュレーションの終了
# --------------------------------------------------------------

クリーンアップコマンド:

# シミュレーション中に使用された一時ファイルや変数を削除します
Remove-Variable -Name googlePayload, googleUri, pastebinKey, pastebinText, pastebinUri, pastebinBody -ErrorAction SilentlyContinue
Write-Host "[*] クリーンアップ完了。"

SOC PrimeのDetection as Codeプラットフォームに参加し ビジネスに最も関連性のある脅威に対する可視性を向上させましょう。開始して即座に価値をもたらすためには、今すぐSOC Primeの専門家とのミーティングを予約してください。

無料で参加