SOC Prime Bias: クリティカル

30 4月 2026 17:21

Profero | Rapid-IR

WindowsAudit バックドア: Discord に隠れる .NET RAT の内側

Ruslan Mikhalov SOC Primeの脅威リサーチ責任者

フォローする

WindowsAudit バックドア: Discord に隠れる .NET RAT の内側

Detection stack

AIDR
Alert
ETL
Query

脅威レポート
攻撃フロー
検出
シミュレーション

概要

Profero IRT は、.NET 8 バックドア名を識別しました WindowsAudit.exe これは主に Discord をコマンド＆コントロールチャネルとして使用し、MQTT と Telegram を代替通信経路としてサポートしています。このマルウェアは Windows サービスとして動作し、自身のバックアップコピーを作成し、複数の永続化メカニズムを確立し、認証情報の窃盗、Active Directory の悪用、回避を行います。また、WireGuard トンネルを設定して、環境内での覆面横方向移動をサポートします。全体的な攻撃手法は、攻撃者が後のランサムウェア段階のために影響を受けたネットワークを準備している可能性を示唆しています。

調査

調査員は WindowsAudit バイナリを入手し、それがモジュール式の C# リモートアクセス型トロイの木馬であることを確認し、埋め込まれた DLL コンポーネントをリバースエンジニアリングしました。解析により、マルウェアの持続性技術、通信アーキテクチャ、認証情報ダンプ能力、および AMSI や ETW パッチングを含む回避手法が詳述されました。 WinSATSvcという関連するドロッパーも調査し、マルウェアが削除された場合に修復するように設計されているようでした。この研究から、研究者はハンティングと検出をサポートする一連の侵害指標を抽出しました。

緩和策

推奨される検出には、サービスの作成の監視や、関連する Run キーエントリ、 WindowsAudit グローバルWindowsAuditSingleInstance GlobalWindowsAuditSingleInstance ミューテックス、および不審な Add-MpPreference 実行の監視が含まれます。ディフェンダーはまた、Discord や HiveMQ インフラへの TLS トラフィックをブロックするか警告を行う必要があります。 bcdedit セーフブート変更や不審なスケジュールされたタスクの作成の監視も行う必要があります。マルウェアに関連付けられた WireGuard トンネル設定は削除されるべきであり、バックドアによって確立されたすべての持続機構は無効化されるべきです。

対応策

組織は、公開された侵害指標を直ちに検索し、影響を受けたシステムを隔離し、サービスを停止するべきです。法医学的レビューのためにメモリとディスクのイメージを収集し、悪意のあるバイナリは削除され、妥協した認証情報はリセットされる必要があります。セキュリティチームはまた、許可されていない EDR 除外が削除されたことを確認し、セーフモード設定の変更が元に戻されたことを確認し、マルウェアコンポーネントの再インストールまたは再作成を引き続き監視するべきです。 WindowsAudit service. Memory and disk images should be collected for forensic review, malicious binaries should be removed, and any compromised credentials should be reset. Security teams should also verify that unauthorized EDR exclusions have been removed, confirm that Safe Mode configuration changes have been reversed, and continue monitoring for reinstallation or recreation of the malware components.

"graph TB %% クラス定義 classDef technique fill:#ffcc99 classDef tool fill:#cccccc classDef malware fill:#ff9999 classDef process fill:#99ff99 classDef operator fill:#ff9900 %% ノード u2013 技術とツール exploit_remote_services["技術 – T1210 リモートサービスの悪用 悪意のあるバイナリを SMB 経由でリモートホストにコピーし、sc.exe で起動"] class exploit_remote_services technique lateral_smb["技術 – T1080 共有コンテンツを介した横移動 SMB シェアを使用して拡散およびリモートコマンドの実行"] class lateral_smb technique wmi_event_sub["技術 – T1546.003 Windows 管理インスツルメンテーションイベントサブスクリプション 持続性のためにペイロードをトリガーする WMI イベントを登録"] class wmi_event_sub technique scheduled_task["技術 – T1053 スケジュールタスク/ジョブ 再起動後に EDR を削除し、マルウェアを再武装するためにセーフモードで実行されるタスクを作成"] class scheduled_task technique defender_exclusion["技術 – T1564.012 隠しアーティファクト: ファイルパス除外 インストールパスと実行可能ファイルの Windows Defender 除外を追加"] class defender_exclusion technique safe_mode_boot["技術 – T1562.009 セーフモードブート コンポーネントを再インストールするためにセーフモードで起動"] class safe_mode_boot technique vpn_proxy["技術 – T1090 プロキシ と T1572 プロトコルトンネル WireGuard VPN と SOCKS5 プロキシを展開してトラフィックをトンネル"] class vpn_proxy technique c2_discord["技術 – T1102.002 ウェブサービス: Discord Discord を主要コマンド＆コントロールチャネルとして使用"] class c2_discord technique c2_mqtt["技術 – T1102 ウェブサービス (MQTT) MQTT ブローカーを介した二次 C2"] class c2_mqtt technique c2_fallback["技術 – T1008 フォールバックチャネル Discord が使用できないときに MQTT や Telegram に切り替え"] class c2_fallback technique rat["マルウェア – リモートアクセスツール (RAT)"] class rat malware os_cred_dump["技術 – T1003 OS 認証情報ダンプ MiniDumpWriteDump を使用して LSASS メモリをダンプ"] class os_cred_dump technique shadow_copy["技術 – T1003.007 ボリュームシャドウコピー SAM と SYSTEM ハイブをシャドウコピーで抽出"] class shadow_copy technique browser_passwords["技術 – T1555.003 ウェブブラウザからの認証情報 DPAPI を使用して保存されたパスワードを復号化"] class browser_passwords technique cred_manager["技術 – T1555.004 Windows 認証情報マネージャからの認証情報 保存されている認証情報を抽出"] class cred_manager technique golden_ticket["技術 – T1558.001 ゴールデンチケット ドメイン管理者用の偽造された Kerberos TGT を作成"] class golden_ticket technique silver_ticket["技術 – T1558.002 シルバーチケット ターゲットサービス用のサービスチケットを偽造"] class silver_ticket technique pass_hash["技術 – T1550.002 ハッシュのパス NTLM ハッシュを再利用して認証"] class pass_hash technique pass_ticket["技術 – T1550.003 チケットのパス 横方向移動のための Kerberos チケットを再利用"] class pass_ticket technique dc_sync["技術 – T1003.006 DCSync ドメインコントローラーにパスワードデータをレプリケートさせる"] class dc_sync technique dc_auth["技術 – T1556.001 ドメインコントローラー認証 DC 上の認証プロセスを変更"] class dc_auth technique process_hollowing["技術 – T1055.012 プロセスホロウィング 昇格されたプロセスにコードを注入"] class process_hollowing technique apc_injection["技術 – T1055.004 非同期プロシージャ呼び出し APC を介してコードを注入"] class apc_injection technique clear_event_logs["技術 – T1070.001 Windows イベントログ消去 活動の証拠を削除"] class clear_event_logs technique screen_capture["技術 – T1113 スクリーンキャプチャ スクリーンショットをキャプチャ"] class screen_capture technique video_capture["技術 – T1125 ビデオキャプチャ デスクトップのビデオを記録"] class video_capture technique audio_capture["技術 – T1123 オーディオキャプチャ マイクのオーディオを記録"] class audio_capture technique keylogging["技術 – T1056.001 キーロギング キーストロークをキャプチャ"] class keylogging technique exfil_discord["技術 – T1041 コマンド＆コントロールチャネル経由の抽出 Discord 添付ファイルとしてデータをアップロード"] class exfil_discord technique exfil_mqtt["技術 – T1041 コマンド＆コントロールチャネル経由の抽出 MQTT メッセージを介してデータを送信"] class exfil_mqtt technique %% 論理演算子（オプション） op_and1(("AND")) class op_and1 operator %% 接続 u2013 攻撃フロー exploit_remote_services –>|SMB 経由でバイナリをコピー| lateral_smb lateral_smb –>|sc.exe を使用してリモートコマンドを実行| wmi_event_sub wmi_event_sub –>|持続性を提供| scheduled_task scheduled_task –>|セーフモードで実行| safe_mode_boot safe_mode_boot –>|マルウェアを再武装| vpn_proxy vpn_proxy –>|トラフィックをトンネル| c2_discord c2_discord –>|主要C2チャネル| rat rat –>|認証情報を集める| os_cred_dump os_cred_dump –>|LSASSダンプを取得| shadow_copy os_cred_dump –>|供給| browser_passwords os_cred_dump –>|供給| cred_manager os_cred_dump –>|許可| golden_ticket os_cred_dump –>|許可| silver_ticket golden_ticket –>|ドメイン管理者アクセスを提供| pass_hash silver_ticket –>|サービスアクセスを提供| pass_ticket rat –>|使用| pass_hash rat –>|使用| pass_ticket rat –>|使用| dc_sync rat –>|使用| dc_auth rat –>|を介して高める| process_hollowing rat –>|を介して高める| apc_injection rat –>|ログをクリア| clear_event_logs rat –>|キャプチャ| screen_capture rat –>|キャプチャ| video_capture rat –>|キャプチャ| audio_capture rat –>|キャプチャ| keylogging screen_capture –>|を介して抽出| exfil_discord video_capture –>|を介して抽出| exfil_discord audio_capture –>|を介して抽出| exfil_discord keylogging –>|を介して抽出| exfil_discord exfil_discord –>|フォールバックとして| exfil_mqtt c2_discord –>|フォールバックとして| c2_fallback c2_fallback –>|使用| c2_mqtt c2_mqtt –>|抽出されたデータを受信| exfil_mqtt "

攻撃フロー

検出

可能性のある持続ポイント [ASEPs – Software/NTUSER ハイブ] (via registry_event)

SOC プライムチーム

2026年4月30日

表示

可能性のある IP ルックアップドメイン通信が試行されました (via dns)

SOC プライムチーム

2026年4月30日

表示

不審な Bcdedit の実行 (via cmdline)

SOC プライムチーム、Nate Guagenti

2026年4月29日

表示

Windows Defender の設定の不審な変更 (via powershell)

SOC プライムチーム

2026年4月29日

表示

C2 チャネルとして Discord の不正使用の可能性 (via dns_query)

SOC プライムチーム

2026年4月29日

表示

WindowsAudit RAT シングルインスタンスミューテックスの検出 [Windows Sysmon]

SOC プライム AI ルール

2026年4月29日

表示

WindowsAudit バックドアコマンド＆コントロール通信 [Windows ネットワーク接続]

SOC プライム AI ルール

2026年4月29日

表示

WindowsAudit バックドアおよび関連する活動の検出 [Windows プロセス作成]

SOC プライム AI ルール

2026年4月29日

表示

Simulation Execution

Prerequisite: The Telemetry & Baseline Pre‑flight Check must have passed.

Rationale: This section details the precise execution of the adversary technique (TTP) designed to trigger the detection rule. The commands and narrative MUST directly reflect the TTPs identified and aim to generate the exact telemetry expected by the detection logic. Abstract or unrelated examples will lead to misdiagnosis.

Attack Narrative & Commands:
An attacker has deployed the WindowsAudit backdoor on the victim host. To retrieve commands, the backdoor performs DNS lookups to the Discord CDN (gateway.discord.gg) and to a malicious MQTT broker hosted on *.hivemq.cloud. These lookups are issued via native Windows APIs (no external tools) to stay low‑profile. The DNS queries are the sole observable artifact used by the Sigma rule for detection.

Regression Test Script:

# WindowsAudit C2 DNS beacon simulation
# Generates the exact DNS queries the Sigma rule watches for.

$c2Endpoints = @(
    "gateway.discord.gg",
    "malicious1.hivemq.cloud",
    "malicious2.hivemq.cloud"
)

foreach ($fqdn in $c2Endpoints) {
    try {
        # Use the native Windows DNS resolver
        Resolve-DnsName -Name $fqdn -Type A -ErrorAction Stop | Out-Null
        Write-Host "[+] Queried $fqdn"
    } catch {
        Write-Warning "Failed to resolve $fqdn (simulated C2)"
    }
    Start-Sleep -Seconds 5   # mimic realistic beacon interval
}

Cleanup Commands:

# Flush the DNS cache to remove traces of the simulated queries
ipconfig /flushdns
Write-Host "[*] DNS cache cleared."

SOC PrimeのDetection as Codeプラットフォームに参加し ビジネスに最も関連性のある脅威に対する可視性を向上させましょう。開始して即座に価値をもたらすためには、今すぐSOC Primeの専門家とのミーティングを予約してください。

無料で参加

WindowsAudit バックドア: Discord に隠れる .NET RAT の内側

概要

調査

緩和策

対応策

攻撃フロー

検出

可能性のある持続ポイント [ASEPs – Software/NTUSER ハイブ] (via registry_event)

可能性のある IP ルックアップドメイン通信が試行されました (via dns)

不審な Bcdedit の実行 (via cmdline)

Windows Defender の設定の不審な変更 (via powershell)

C2 チャネルとして Discord の不正使用の可能性 (via dns_query)

WindowsAudit RAT シングルインスタンスミューテックスの検出 [Windows Sysmon]

WindowsAudit バックドア コマンド＆コントロール通信 [Windows ネットワーク接続]

WindowsAudit バックドアおよび関連する活動の検出 [Windows プロセス作成]

Simulation Execution

WindowsAudit バックドアコマンド＆コントロール通信 [Windows ネットワーク接続]