Void Dokkaebi、Cythonコンパイル済みInvisibleFerretマルウェアを使用

シミュレーション実行

前提条件: テレメトリー & ベースラインプレチェックが成功していること。

理由: このセクションでは検出ルールをトリガーすることを目的とした敵対的技術 (TTP) の正確な実行について詳述します。コマンドと物語は特定されたTTPを直接反映し、検出ロジックによって期待される正確なテレメトリーを生成することを目指します。曖昧または無関係な例は誤診につながります。

• 攻撃の説明 & コマンド:
  攻撃者はCythonでコンパイルされたモジュールセット（mod.pyd, pad.pyd, brw.pyd）を入手し、認証情報収集およびC2通信を実装しています。永続化を達成するために、攻撃者はこれらのモジュールを現在のユーザーのVS Code構成ディレクトリ（%USERPROFILE%.vscode）にコピーします。VS Codeは定期的にこのフォルダをスキャンして拡張機能を検索し、後に悪意のあるPythonスクリプトによって悪意のあるモジュールがロードされることになります。このコピー操作は、Sigmaルールと一致するSysmon FileCreateイベントを生成します。

• 回帰テストスクリプト:

  # -------------------------------------------------
  # InvisibleFerret Cythonモジュールのドロップシミュレーション
  # -------------------------------------------------
  $vscodePath = "$env:USERPROFILE.vscode"
  # 対象フォルダが存在することを確認
  if (-not (Test-Path -Path $vscodePath)) {
      New-Item -ItemType Directory -Path $vscodePath | Out-Null
  }
  
  # シミュレートされた悪意のあるバイナリ（ランダムなゴミデータ内容）
  $modules = @("mod.pyd","pad.pyd","brw.pyd")
  foreach ($mod in $modules) {
      $dest = Join-Path -Path $vscodePath -ChildPath $mod
      # コンパイル済み拡張を模した1KBのランダムバイトを書き込み
      $bytes = New-Object byte[] 1024
      (New-Object System.Random).NextBytes($bytes)
      [System.IO.File]::WriteAllBytes($dest, $bytes)
      Write-Host "Created $dest"
  }

• クリーンアップコマンド:

  # -------------------------------------------------
  # シミュレートされた悪意のあるファイルのクリーンアップ
  # -------------------------------------------------
  $vscodePath = "$env:USERPROFILE.vscode"
  $modules = @("mod.pyd","pad.pyd","brw.pyd")
  foreach ($mod in $modules) {
      $file = Join-Path -Path $vscodePath -ChildPath $mod
      if (Test-Path $file) {
          Remove-Item -Path $file -Force
          Write-Host "Removed $file"
      }
  }