PulseRATがUAE-インドパートナーシップ偽装で配布

概要

UAEとインドの戦略的パートナーシップファイルを装った悪意のあるISOアーカイブが、PulseRATとして追跡されている.NETベースのリモートアクセス型トロイの木馬を配信するために使用されています。このマルウェアはISOに埋め込まれたドロッパーを通じてインストールされ、Googleスプレッドシートをコマンドアンドコントロールチャネルとして使用します。アクセスを維持するために、これをスケジュールタスクとして追加します。 WindowsVaultSyncService、 %LOCALAPPDATA%にボールトディレクトリを構築し、同一ホスト上での複数回の実行を防ぐためにミューテックスを使用します。このキャンペーンは、アラブ首長国連邦とインドの間の注目度の高い防衛関係に関連する誘惑に依存しています。

調査

分析担当者はISOファイルを解凍し、実行ファイルを起動する責任があるLNKショートカットを特定し、ペイロードと持続性のロジックを明らかにするためにドロッパーをリバースエンジニアリングしました。PulseRATのさらなる分析により、Google Sheetsをコマンドアンドコントロールに使用し、ミューテックスを生成し、プロセスメモリ内でPowerShellを実行し、持続性のためのスケジュールタスクを作成する方法が明らかになりました。ファイル名、ファイルシステムパス、ミューテックスパターン、スプレッドシート識別子はすべて検出エンジニアリングをサポートするために文書化されました。

緩和策

組織は、リムーバブルまたはマウントされたメディアから起動された不明なバイナリの実行をブロックし、スケジュールタスクの作成を監視すべきです。 WindowsVaultSyncService。アプリケーション制御は、 %LOCALAPPDATA%MicrosoftVaultから実行されるバイナリに適用されるべきであり、ディフェンダーは未承認アカウントへのアクセスや予期しないスプレッドシート活動についてGoogle Sheets APIトラフィックを検査すべきです。悪意のあるスケジュールタスクは削除し、 vaultsvc.exe ファイルは影響を受けたシステムから削除されるべきです。

対応

PulseRATの活動が検出された場合、即座に影響を受けたエンドポイントを隔離し、揮発性メモリとディスクイメージを収集し、妥協の証拠として文書化されたインジケーターを検索します。悪意のあるスケジュールタスクを無効化して削除し、ボールトディレクトリを削除し、妥協された可能性のあるGoogle関連のサービスアカウントをリセットします。また、可能なラテラルムーブメントを特定するためにフルフォレンジックレビューを実施し、UAEとインドの関連する利害関係者に通知すべきです。

シミュレーション実行

前提条件: 電信とベースラインプリフライトチェックが合格していること。

• 攻撃手段とコマンド:
  攻撃者がユーザーアカウントを侵害し、ホストに悪質な「PulseRAT」DLLを配置しました。PulseRATは、正当なプロセス（例： explorer.exe）に読み込まれ、PowerShell ランスペース （インプロセス実行）を作成して、 powershell.exeを目視されないようにします。それから、攻撃者が制御するGoogleシートからbase64でエンコードされたPowerShellペイロードを取得し、デコードしてランスペース内で実行します。これにより、シグマルールを満たすマーカー文字列「System.Management.Automation.Runspaces」（ランスペース作成から）および単語「base64」（デコードペイロードから）を含む単一のEventID 4104エントリが生成されます。

• 回帰テストスクリプト:

  # PulseRATスタイルのインプロセスPowerShell実行（シミュレーション）
  # --------------------------------------------
  # 1. PowerShellランスペースを作成する（インプロセス）
  $runspace = [runspacefactory]::CreateRunspace()
  $runspace.Open()
  
  # 2. base64でエンコードされたペイロードを構築する（攻撃者制御データをシミュレーション）
  $payload = 'Write-Host "Compromised by PulseRAT"'   # シンプルなペイロード
  $bytes   = [System.Text.Encoding]::Unicode.GetBytes($payload)
  $b64     = [Convert]::ToBase64String($bytes)
  
  # 3. ペイロードをデコードして実行するスクリプトブロックを構築する
  $script = @"
  `$b64 = '$b64'
  `$decoded = [System.Text.Encoding]::Unicode.GetString([Convert]::FromBase64String(`$b64))
  Invoke-Expression `$decoded
  "@
  
  # 4. ランスペース内にPowerShellパイプラインを作成して実行する
  $powershell = [powershell]::Create()
  $powershell.Runspace = $runspace
  $null = $powershell.AddScript($script).Invoke()
  $powershell.Dispose()
  $runspace.Close()

• クリーンアップコマンド:

  # ランスペースを削除してリソースを解放する（残っている場合）
  if ($runspace -and $runspace.RunspaceStateInfo.State -ne 'Closed') {
      $runspace.Close()
  }
  Remove-Variable -Name runspace -ErrorAction SilentlyContinue
  Remove-Variable -Name powershell -ErrorAction SilentlyContinue