Operation Poseidon: Spear-Phishing Attacks Abusing Google Ads Redirection Mechanisms

概要

Operation Poseidonは、Konni APTに帰属するスピアフィッシングキャンペーンであり、GoogleとNaverの広告クリック追跡/リダイレクトURLを武器化して悪意のあるLNKショートカットファイルを配信します。開くと、LNKはAutoItローダーをトリガーし、主にメモリ内でEndRATを実行します。この作戦は、ペイロードホスティングとコマンド・アンド・コントロール（C2）サービスに妥協されたWordPressサイトに依存しています。

調査

Geniansセキュリティセンターは、フィッシングメールの誘導、埋め込まれた追跡ビーコン、LNKショートカットの起動からAutoItのステージングロジック、メモリ内のEndRAT展開まで、エンドツーエンドの実行フローをレビューしました。アナリストはまた、ドメインjlrandsons.co.ukやビルドパスD:3_Attack WeaponAutoitBuild__Poseidon – Attackclient3.3.14.a3xなどのインフラストラクチャと開発アーティファクトの再利用にも注目しました。

緩和策

ZIPアーカイブ内に配信されたLNKファイルの実行を防ぎ、Google/Naver追跡ドメインからの広告クリックリダイレクトチェーンを精査します。AutoItの活動や不審なプロセス生成（特に異常なPowerShellやcmd.exeの起動）に対する厳格なEDRカバレッジを施行します。インフラストラクチャの悪用を減少させるため、WordPressインスタンスを強化し、定期的にパッチを適用して、マルウェア配布ポイントとしての利用を制限します。

対応策

初期のLNK実行イベントにアラートを出し、ユーザーインタラクションによって開始されたAutoIt.exeの実行をフラグし、識別されたC2ドメインとIPへのアウトバウンド接続を監視します。疑われるエンドポイントを隔離し、AutoItスクリプト、LNKメタデータ、回収されたEndRATコンポーネントなどの法医学的アーティファクトを収集して、スコープと根絶をサポートします。

シミュレーション実行

前提条件: テレメトリ & ベースラインの事前チェックが合格していることが必要です。

理由: このセクションは、検出ルールをトリガーするように設計された敵対者テクニック（TTP）の正確な実行を詳述しています。コマンドと説明はTTPsを直接反映し、検出ロジックによって期待される正確なテレメトリを生成することを目指します。

• 攻撃ナラティブ＆コマンド:

  攻撃者は悪意のショートカット（malicious.lnk）を作成し、 powershell.exe にエンコードされたコマンドを指示してペイロードをダウンロードおよび実行します。このショートカットはスピアフィッシングメールを介して配信されます。ダブルクリックすると、Windows Explorerは .lnkを解決し、 powershell.exe をLNKプロセスの子として生成します。この特定の親子関係はSigmaルールの execution_after_LNK 条件を満たします。

• 回帰テストスクリプト:

  # -------------------------------------------------------------
  # エンコードされたコマンドでPowerShellを起動する悪意のあるLNKを作成
  # -------------------------------------------------------------
  $WshShell = New-Object -ComObject WScript.Shell
  
  # デスクトップにLNKを作成するパス
  $lnkPath = "$Env:UserProfileDesktopmalicious.lnk"
  
  # ターゲット実行ファイル
  $target = "$Env:SystemRootSystem32WindowsPowerShellv1.0powershell.exe"
  
  # 例のエンコードされたコマンド（無害なインジケータとしてテキストファイルを作成）
  $plainCmd = "New-Item -Path $Env:Tempposeidon_test.txt -ItemType File -Force"
  $bytes = [System.Text.Encoding]::Unicode.GetBytes($plainCmd)
  $encoded = [Convert]::ToBase64String($bytes)
  
  $arguments = "-EncodedCommand $encoded"
  
  $shortcut = $WshShell.CreateShortcut($lnkPath)
  $shortcut.TargetPath = $target
  $shortcut.Arguments = $arguments
  $shortcut.Save()
  
  Write-Host "LNK created at $lnkPath"
  
  # -------------------------------------------------------------
  # LNKを実行して検出ルールをトリガー
  # -------------------------------------------------------------
  Start-Process -FilePath $lnkPath
  
  # -------------------------------------------------------------
  # オプション: SIEMの取り込みを許可するために一時停止
  # -------------------------------------------------------------
  Start-Sleep -Seconds 10
  
  # -------------------------------------------------------------
  # クリーンアップ（インジケータファイル、LNK、およびインジケータを削除）
  # -------------------------------------------------------------
  Remove-Item -Path "$Env:Tempposeidon_test.txt" -ErrorAction SilentlyContinue
  Remove-Item -Path $lnkPath -ErrorAction SilentlyContinue
  
  Write-Host "Cleanup completed."

• クリーンアップコマンド: （上記のスクリプトが使用されない場合）

  # テスト中に作成されたインジケータファイルを削除
  Remove-Item -Path "$Env:Tempposeidon_test.txt" -ErrorAction SilentlyContinue
  
  # 悪意のあるショートカットを削除
  $lnkPath = "$Env:UserProfileDesktopmalicious.lnk"
  Remove-Item -Path $lnkPath -ErrorAction SilentlyContinue
  
  Write-Host "テストアーティファクトが削除されました。"