STX RAT サプライチェーン攻撃がウォレットとX-VPNを襲う

SOC Prime Team

フォローする

Detection stack

AIDR
Alert
ETL
Query

脅威レポート
攻撃フロー
検出
シミュレーション

概要

レポートは、ウクライナ政府および重要なインフラストラクチャ環境内で長期的なアクセスを維持するために使用される、ロシア国家支援のGamaredonグループによる多段階ローダーフレームワークを概説しています。ローダーは正当なクラウドプラットフォームとメッセージングサービスを通じて配信され、Windowsレジストリにコマンド＆コントロールの詳細を保存し、代替データストリームやスケジュールされたタスクに依存して後のペイロードをトリガーします。

調査

Sekoia.ioは、Telegram、Telegraph、Check-Hostといったサービスでホストされているデッドドロップリゾルバから追加コードを取得するVBScriptベースの3つのローダーステージを再構築しました。第二段階では、ペイロードを %TEMP% 内のADS（代替データストリーム）に書き込み、スケジュールされたタスクを作成し、第三段階では隠れたPowerShellプロセスを起動して最終のGammaSteelステーラーモジュールをダウンロードして実行します。

緩和策

防御者は、 HKCUConsoleでの疑わしいレジストリ書き込み、 DsSvcCleanupという名前の予期しないスケジュールタスク、 %TEMP%での代替データストリームの異常な使用、既知のCloudflare、Telegram、およびCheck-Hostドメインへのネットワークトラフィックを監視する必要があります。エンコードされたコマンドに依存する未署名のVBScriptおよびPowerShellスクリプトの実行もブロックまたは厳しく制限されるべきです。

対応

侵害が検出された場合、影響を受けたホストを即座に隔離し、関連するレジストリキーとスケジュールタスクの定義を収集し、ADS関連ファイルを保存し、特定されたコマンド＆コントロールドメインおよびIPアドレスをブロックします。フォレンジックイメージングを実行し、GammaSteel ステーラーをメモリ上およびディスク上でハントします。

"graph TB %% Class Definitions classDef technique fill:#99ccff classDef operator fill:#ff9900 classDef tool fill:#cccccc %% Node definitions initial_driveby["Technique – T1189 Driveu2011by Compromise Description: Compromise a website to deliver malicious content when a user visits."] class initial_driveby technique c2_deadDrop["Technique – T1102.001 Web Service Dead Drop Resolver Description: Use legitimate web services to exchange command and control data."] class c2_deadDrop technique c2_dynamic["Technique – T1568 Dynamic Resolution Description: Resolve C2 addresses dynamically to evade detection."] class c2_dynamic technique execution_vbscript["Technique – T1216.002 System Script Proxy Execution VBScript Description: Execute malicious VBScript via system script proxy."] class execution_vbscript technique persistence_task["Technique – T1053.005 Scheduled Task Description: Create a scheduled task to maintain persistence."] class persistence_task technique priv_esc_reflect["Technique – T1620 Reflective Code Loading PowerShell Description: Load malicious code reflectively in memory using PowerShell."] class priv_esc_reflect technique propagation_usb["Technique – T1091 Replication Through Removable Media Description: Copy malicious files to USB drives for propagation."] class propagation_usb technique %% Connections showing attack flow initial_driveby –>|leads to| c2_deadDrop c2_deadDrop –>|uses| c2_dynamic c2_dynamic –>|enables| execution_vbscript execution_vbscript –>|establishes| persistence_task persistence_task –>|facilitates| priv_esc_reflect execution_vbscript –>|enables| propagation_usb "

攻撃フロー

攻撃のストーリーとコマンド：
脅威アクターは、ユーザーのセッションを侵害した後、将来のビーコンが新しいサーバーに到達するようにC2エンドポイントを更新する必要があります。Gamaredonは、 HKCUConsoleにあるよく知られたレジストリキーにURLを保存します。攻撃者はネイティブPowerShell（Set-ItemProperty）を使用して新しいURLを書き込み、サードパーティのツールを使用せず、「生活を利用する」状態を維持します。このアクションは、フルパスを持つ レジストリ値セット イベント（EventID 13）を生成し、Sigmaルールの RegistryPath|contains フィルターに一致します。
```
# シミュレートされたGamaredon C2 URL更新 - 監視対象のキーへの書き込み
$c2Url = "https://c2.gamaredon.example.com/payload"
$targetKey = "HKCU:ConsoleHistoryURL"
New-Item -Path $targetKey -Force | Out-Null
Set-ItemProperty -Path $targetKey -Name "URL" -Value $c2Url
```

リグレッションテストスクリプト： （PowerShell – 自己完結型）

<#
GamaredonのC2 URL更新を、Sigmaルールによって監視されているレジストリキーにシミュレートします。
#>

# パラメータ（必要に応じて調整）
$c2Url = "https://c2.gamaredon.example.com/payload"
$regPath = "HKCU:ConsoleHistoryURL"
$valueName = "URL"

# キーが存在することを確認する
if (-not (Test-Path $regPath)) { New-Item -Path $regPath -Force | Out-Null }

# 悪意のあるC2 URLを書き込み
Set-ItemProperty -Path $regPath -Name $valueName -Value $c2Url

Write-Host "[*] C2 URLを$regPath$valueNameに書き込みました"

クリーンアップコマンド： （PowerShell）

# シミュレートされたキー/値を削除してシステムをクリーンに保つ
$regPath = "HKCU:ConsoleHistoryURL"
if (Test-Path $regPath) { Remove-ItemProperty -Path $regPath -Name "URL" -ErrorAction SilentlyContinue # キー全体を削除することもできます
Remove-Item -Path $regPath -Recurse -Force -ErrorAction SilentlyContinue
Write-Host "[*] シミュレートされたレジストリアーティファクトをクリーンアップしました。"}

SOC PrimeのDetection as Codeプラットフォームに参加し ビジネスに最も関連性のある脅威に対する可視性を向上させましょう。開始して即座に価値をもたらすためには、今すぐSOC Primeの専門家とのミーティングを予約してください。

無料で参加