サイバー犯罪組織InvisiMole、別の組織と結託し最新のツールセットを利用した攻撃を展開

ESETの研究者は、ベールに包まれていたサイバー犯罪組織InvisiMoleの攻撃の手法と、Gamaredon組織との関係を明らかにしました。

Zuzana Hromcová

Zuzana Hromcová 26 Jun 2020

Anton Cherepanov

Anton Cherepanov 26 Jun 2020

ESETは、2018年にInvisiMole組織の活動を特定して報告していますが、その後も調査を継続し、東ヨーロッパの重要な組織を標的とした新しい攻撃を検出しました。攻撃を受けた組織と緊密に協力しながら調査を進め、InvisiMoleの戦術、ツール、および手順（TTP）に関連する最新のツールセットと、秘密のベールに包まれていた詳細を明らかにしました。

このブログでは、ESETのホワイトペーパー『InvisiMole: The hidden part of the story（サイバー犯罪組織InvisiMoleの攻撃の全容）』（英語のみ）で公開した内容の概要をお伝えします。

InvisiMoleグループは、少なくとも2013年から活動しているサイバー犯罪組織です。ESETでは、RC2CLとRC2FMの2つのバックドアについての情報をこれまでに公開しています。これらのバックドアにはさまざまなスパイ機能が実装されており、注意が必要でしたが、これまでどのように配信、拡散、またはシステムにインストールされたかは不明でした。

今回明らかになった最新の攻撃では、InvisiMoleは新しいツールセットを利用し、東ヨーロッパの軍事産業および外交を担う重要ないくつかの組織を標的にしています。ESETのテレメトリによると、2019年後半からこのレポートの執筆時まで攻撃が続いています。

ESETは、攻撃を受けた組織と協力して調査を進め、最新のInvisiMoleツールセットの動作を明らかにすることができました。

InvisiMoleの攻撃ツールが使用されたのは、別のサイバー攻撃組織であるGamaredonがすでにこれらの標的組織のネットワークに侵入し、おそらく管理者権限を奪取した後でした。これにより、InvisiMole組織は防御システムによる検出を回避しながら、ツールを動作させる独創的な方法を案出できたと考えられます。

たとえば、攻撃者は、悪意のあるシェルコードと正規のツールおよび脆弱な実行可能ファイルを組み合わせた、長いプロセスを実行します。C&Cとの通信を探知されないようにするため、DNSトンネリングを使用し、悪意のあるコンポーネントを確実に実行できるようしながらも、セキュリティ研究者によるマルウェアの検出を難しくしています。

配信のメカニズム

調査の結果、InvisiMoleは、.NETダウンローダー（ESET製品ではMSIL/Pterodoとして検出）によってセキュリティが侵害されたシステムに配信されていることがわかりました。MSIL/Pterodoは、Gamaredonが用いているマルウェアです。Gamaredonは、少なくとも2013年から活動しており、急速に勢力を拡大し、攻撃を隠ぺいすることに労力をほとんど費やさないことも特徴です。ESETでは最近、Gamaredonの最新コンポーネントについてレポートをまとめています。最新のコンポーネントは、スピアフィッシングメールで配布され、マシンの情報を収集しながら、標的組織のネットワークで可能な限り水平方向に攻撃を拡散するために使用されています。

ESETの調査から、Gamaredonはさらにステルス性の高いペイロードを開発するために使用されていることが明らかになりました。ESETのテレメトリによると、攻撃者が特に重要であると見なしたGamaredonのいくつかの標的のマシンが、高度なInvisiMoleマルウェアに「アップグレード」されています。

図1. Gamaredonの.NETダウンローダーは、被害者のマシンをInvisiMoleのTCPダウンローダーに「アップグレード」できる

 

ESETのホワイトペーパーで詳しく説明しているように、GamaredonとInvisiMoleが結託している証拠はありますが、これらは同一のサイバー犯罪組織ではなく、TTPが異なる2つの異なる組織であるとESETは考えています。

拡散と更新のメカニズム

ESETは、侵入したネットワークでInvisiMoleマルウェアを拡散する次の3つの方法を確認して説明しています。

  • RDPプロトコルでBlueKeep脆弱性を使用する方法（CVE-2019-0708）
  • SMBプロトコルでEternalBlue脆弱性を使用する方法（CVE-2017-0144）
  • トロイの木馬が仕組まれたドキュメントとソフトウェアインストーラーを使用する方法。これらは、侵入した組織から盗み出した無害なファイルを使用して作成されます。

InvisiMoleは、トロイの木馬を仕込んだファイルを作成するために、侵入した組織からドキュメントまたはソフトウェアインストーラーを盗み、次にInvisiMoleのインストーラーを使用してファイルをバンドルした自己解凍アーカイブ（SFX）を作成します。元のファイルは、同じ名前、アイコン、メタデータのまま、攻撃用のバージョンに置き換えられます。ユーザーがこれらのファイルを共有および実行すると、攻撃が実行されます。

トロイの木馬が仕込まれたファイルがソフトウェアインストーラーであり、中央のサーバーに配置される場合（これは大規模組織でソフトウェアを展開する一般的な方法です）、この水平方向への拡散手法（ラテラルムーブメント）は特に大きな影響を及ぼします。このような手法で、InvisiMoleはこのサーバーを使用する多くのコンピュータに有機的に拡散されていきます。

拡散方法に関係なく、新しく侵入したマシンに展開される最初のInvisiMoleコンポーネントは常にInvisiMoleのTCPダウンローダーです。このTCPダウンローダーは、ツールセットに新たに追加されたものであり、次の攻撃段階を実行するコンポーネントをダウンロードします。

最新のInvisiMoleツールセットにはDNSダウンローダーも追加されています。これもTCPダウンローダーと同じ機能を備えていますが、マシンに秘密理にアクセスするために設計されています。DNSトンネリングと呼ばれる手法で、ステルス性の高い方法でC&Cと通信します（図2を参照）。

図2. DNSトンネリング

DNSトンネリングでは、セキュリティが侵害されたクライアントはC&Cサーバーに直接接続しません。被害者のマシンが通常通信する無害なDNSサーバーとのみ通信し、ドメインをIPアドレスに解決する要求を送信します。DNSサーバーは、要求にあるドメインを管理するネームサーバー（攻撃者が制御するネームサーバー）に接続し、その応答をクライアントに中継します。

実際のC&Cとの通信はDNSの要求と応答に埋め込まれていますが、通信を仲介する無害なDNSサーバーにはこの通信は認識されません。

実行チェーン

最新のInvisiMoleツールセットの最も注目すべき特徴は、最終的なペイロード（更新されたRC2CMおよびRC2CLバックドア、および新しいTCPおよびDNSダウンローダー）を展開するまでの長い実行チェーンです。

攻撃を受けたコンピュータのOSバージョンと、システムの管理者権限を奪取できたかどうかによって実行チェーンは異なります。ESETは、各状況で使用される以下の4つの実行チェーンの全容を明らかにしました。

  • コントロールパネルを悪用する実行チェーンは、機密資料「Vault 7」で知られるところとなった珍しい手法を使用しており、コントロールパネルのコンテキストで秘密裏に攻撃を実行するために使用されます。
  • SMInitエクスプロイトによる実行チェーンは、正規のTotal Video Playerソフトウェアの脆弱性を悪用します。このシナリオは、攻撃者がシステムの管理者権限を取得できなかった場合に使用されます。
  • Speedfanエクスプロイトによる実行チェーンは、speedfan.sysドライバのローカル権限昇格の脆弱性を悪用して、コードをカーネルモードの信頼できるプロセスに挿入します。
  • Wdigestエクスプロイトによる実行チェーンはInvisiMoleが入念に作り上げた代表的な攻撃チェーンであり、攻撃者に管理者権限がある場合に、最新バージョンのWindowsで使用されます。Windowsのwdigest.dllライブラリの脆弱性を悪用し、改善を加えたListPlantingの手法を使用して、悪意のあるコードを信頼できるプロセスに挿入します。

これらの実行チェーンで使用される脆弱な実行可能ファイルは、すべてInvisiMoleによってシステムに導入されます。脆弱なドライバを使用するシナリオは、以前は仲間の研究者によって「Bring Your Own Vulnerable Driver（脆弱なドライバの持ち込み）」と呼ばれていました。ドライバのケース以外の場合は、「Bring Your Own Vulnerable Software（脆弱なソフトウェアの持ち込み）」とESETは命名しています。

これらの戦術については、ESETのホワイトペーパーの「実行チェーン」のセクションで詳しく説明しています。

図3. InvisiMoleの実行チェーン。鍵のアイコンは、各マシンで暗号化されていることを示します

図3はこれらの4つの実行チェーンの概要を示していますが、これらの実行チェーンでは、正規のツールが多く利用されており、各ユーザーのマシンが暗号化されています。InvisiMoleのオペレーターの戦術の特徴は、正規のツールをインストールし、その後の段階で悪意のあるペイロードをインストールすることです。

ペイロードを確実に実行し、各ユーザーのマシンでペイロードを個別に暗号化するために、InvisiMoleはデータ保護API（DPAPI）と呼ばれるWindowsの機能を使用します。特に以下の機能が使用されています。

  • データを暗号化するCryptProtectData API
  • データを復号化するCryptUnprotectData API

この対称暗号方式は、ユーザーのログオンシークレットから導出されたキーを使用するため、データが暗号化された同じコンピュータで復号化する必要があります。

図4は、CryptUnprotectDataを使用して復号化し、復号化されたBlobがInvisiMoleの4バイトのマジック値で始まるかどうかを確認する、一般的なInvisiMoleローダーの一部を示しています。

  • 64ビットペイロードの場合64 DA 11 CE
  • 32ビットペイロードの場合86 DA 11 CE
図4. 特徴的なInvisiMoleローダーの一部

 

セキュリティ研究者からペイロードを保護するために、Wi-FiパスワードやWebブラウザーでのログインパスワードなどの認証情報をローカルで保存するためのDPAPI機能をInvisiMoleは悪用しています。テレメトリやマルウェアを共有するプラットフォームでInvisiMoleのコンポーネントを見つけたとしても、被害者のコンピュータ以外では、解読できない仕組みになっています。

しかし、攻撃を受けた組織と直接協力できたことで、ESETはペイロードを復元でき、4つのInvisiMoleの実行チェーンの全容を解明できました。詳細については、ホワイトペーパーをご覧ください。

まとめ

ESETが2018年にInvisiMoleについて初めて報告したときには、自身を隠ぺいする仕組みと複雑で多様な機能について明らかにしましたが、攻撃の全体像を把握するまでには至りませんでした。

2019年後半に新たな活動が確認され、ESETはベールに包まれていたInvisiMoleの攻撃を詳細に調査することができ、攻撃の全容を解明するために欠落していたパーツをつなぎ合わせることができました。このサイバー犯罪組織の最新のツールセットを分析したところ、InvisiMoleは防御システムに検出されないようにする特別なスキームを取り入れながら、開発を継続し大幅な改善を行っていることが分かりました。

ESETの調査では、これまで知られていなかったInvisiMoleとGamaredon組織との結託も明らかになりました。Gamaredonのマルウェアが標的のネットワークに侵入し、高度なInvisiMoleマルウェアを重要な標的に配信するために使用されていました。

ESETは、InvisiMoleのTTP（戦術、手法、手順）に関する詳細なレポートを公開しましたが、今後もこの組織の悪意のある活動を追跡していきます。

これらの攻撃に関するESETの検出名およびその他のセキュリティ侵害の痕跡は、ホワイトペーパー『InvisiMole: The hidden part of the story（サイバー犯罪組織InvisiMoleの攻撃の全容）』（英語のみ）で参照いただけます。

本調査に尽力したMatthieu Faou、Ladislav Janko、およびMichalPoslušnýに謝辞を表します。

MITRE ATT&CK手法

注記： RC2FMおよびRC2CLバックドアの機能が多岐にわたっていることから、読みやすくするために、各バックドア別にATT＆CKマッピングテーブルを記載します。最初のマッピングは、配信、水平移動移動、実行チェーン、および追加のペイロードのダウンロードに使用されるInvisiMoleの補助的なコンポーネントに関係しています。

InvisiMole

手段ID名前説明
実行T1196コントロールパネルの項目InvisiMoleのローダーはCPLファイルとしてマスクされており、コントロールパネルの項目を悪用します。
T1106APIによる実行InvisiMoleはShellExecuteWおよびCreateProcessW APIを使用してファイルを実行します。
T1129モジュールロードによる実行InvisiMoleは、コンポーネント（InvisiMole Blob）のカスタムローダーを実装します。
T1203クライアントでコードを実行のための脆弱性の悪用InvisiMoleは脆弱なTotal Video Playerソフトウェアとwdigest.dllライブラリを配信し、Total Video Playerではスタックオーバーフロ、wdigest.dllでは入力検証の脆弱性を悪用して、コードを秘密裏に実行します。
T1085Rundll32InvisiMoleは、実行チェーンの一部としてrundll32.exeを使用します。
T1053スケジュールタスクInvisiMoleは、実行チェーンの一部としてWindowsタスクスケジューラを使用します。
T1064スクリプトの処理InvisiMoleは、実行チェーンの一部としてControl.jsという名前のJavaScriptファイルを使用します。
T1035サービスの実行InvisiMoleは、悪意のあるペイロードを実行する方法の1つとしてWindowsサービスを登録します。
T1204ユーザーによる実行InvisiMoleは、トロイの木馬を仕込んだソフトウェアとドキュメントの名前とアイコンを偽装して配信し、ユーザーが実行することを期待します。
常駐化T1050新しいサービスInvisiMoleは、常駐するために、clr_optimization_v2.0.51527_X86という名前のWindowsサービスを登録します。
T1060レジストリ実行キー/ スタートアップフォルダInvisiMoleはLNKファイルをスタートアップフォルダに配置して、ユーザーのマシンに常駐します。
T1053スケジュールタスクInvisiMoleは、MSSTおよび\Microsoft\Windows\Autochk\Scheduledのスケジュールタスクによって、ユーザーのマシンに常駐します。
T1023ショートカットの改変InvisiMoleはLNKファイルをスタートアップフォルダに配置して、ユーザーのマシンに常駐します。
権限昇格T1088ユーザーアカウント制御のバイパスInvisiMoleはUACをバイパスし、権限を昇格できます。
T1068権限昇格のための攻撃InvisiMoleは、speedfan.sysドライバのCVE-2007-5633の脆弱性を悪用し、カーネルモード権限を取得します。
防御システムの回避T1140ファイルまたは情報の難読化の解除/デコードInvisiMoleは、XOR暗号の変種を使用して文字列を復号化します。InvisiMoleは、CryptUnprotectData APIと2つのキーのトリプルDESを使用してコンポーネントを復号化します。
T1480実行ガードレールInvisiMoleはデータ保護APIを使用して、ユーザーのコンピュータにあるコンポーネントを暗号化し、検出を回避して、侵入した特定のコンピュータでのみペイロードを復号化（およびロード）できるようにします。
T1143隠しウィンドウInvisiMoleは隠しウィンドウで正規のツールを実行し、これにより悪意のあるInvisiMoleコンポーネントを実行します。
T1066ツールからの痕跡の削除InvisiMoleは、検出を回避するために技術的な改良を行っています。
T1202間接的なコマンド実行InvisiMoleは、Windows API関数を間接的に実行するためにwinapiexecツールを使用します。
T1027ファイルまたは情報の難読化InvisiMoleは文字列とコードを難読化して分析を困難にし、コンポーネントを暗号化して検出を妨害します。
T1055プロセスの挿入InvisiMoleは、改良されたListPlanting技術を使用し、APCキューを使用して、信頼されるプロセスにコードを挿入します。
T1108アクセスの二重化InvisiMoleは、侵入した1台のコンピュータで複数のバックドアを展開します。
T1085Rundll32InvisiMoleは、実行チェーンの一部としてrundll32.exeを使用します。
T1064スクリプトの使用InvisiMoleのローダーは、常駐化するための処理の一環としてJavaScriptスクリプトを使用します。
T1063セキュリティソフトウェアの検出InvisiMoleのDNSプラグインは、選択したネットワークスニファが実行されていることを検出すると、C&Cサーバーへの接続を回避します。
T1099タイムスタンプInvisiMoleは、作成または変更したファイルのタイムスタンプを改変します。
T1036なりすましInvisiMoleは、ドロッパーを正規のソフトウェアまたはドキュメントのように偽装し、正規のように見えるサービス名で自分を登録して、自分自身を隠ぺいします。
検出T1046ネットワークサービスのスキャンInvisiMoleは、オープンポートおよびBlueKeepの脆弱性があるホストを検索するために、PortscanおよびBlueKeepコンポーネントを使用して、侵入したネットワークでネットワークスキャンを実行します。
T1518ソフトウェアの検出InvisiMoleのDNSダウンローダーは、一部のネットワークスニファツールの検出を試み、スニファの実行が検出された場合はそのネットワークトラフィックを一時停止します。
T1082システム情報の検出InvisiMoleのDNSダウンローダーは、コンピュータ名とシステムボリュームのシリアル番号を収集します。
T1124システム時間の検出InvisiMoleは、ユーザーのマシンからタイムスタンプを収集できます。
水平移動T1210リモートサービスの攻撃InvisiMoleは、EternalBlueおよびBlueKeepの脆弱性を悪用し、水平方向に移動します。
T1080共有コンテンツの汚染InvisiMoleは、侵入したネットワークにある正規のソフトウェアまたはドキュメントをトロイの木馬を仕込んだバージョンに置き換え、ネットワーク内で自身を増殖します。
C&CT1043一般的に使用されるポートInvisiMoleのダウンローダーは、C&Cとの通信にポート443を使用します。InvisiMoleのDNSプラグインは、C&Cとの通信にポート53を使用します。
T1090接続プロキシInvisiMoleのTCPダウンローダーは、C&Cとの通信に構成したプロキシサーバーを利用できます。
T1024独自の暗号化プロトコルInvisiMoleのTCPおよびDNSダウンローダーは、ネットワーク通信の暗号化に独自の暗号化プロトコルを使用します。
T1132データのエンコードInvisiMoleのダウンローダーは、C&Cとの通信にポート443を使用します。InvisiMoleのDNSプラグインは、C&Cとの通信にポート53を使用します。
T1008フォールバックチャネルInvisiMoleのTCPおよびDNSダウンローダーは、複数のC&Cサーバーを使用して構成されます。
T1105リモートファイルのコピーInvisiMoleのTCPおよびDNSダウンローダーは、侵入したシステムで実行する追加のファイルをダウンロードできます。
T1071標準アプリケーションレイヤープロトコルInvisiMoleのDNSダウンローダーは、C&Cとの通信にDNSプロトコルを使用します。
T1095標準の非アプリケーションレイヤープロトコルInvisiMoleのTCPダウンローダーは、C&Cとの通信にTCPプロトコルを使用します。
T1065一般的に使用されないポートInvisiMoleのTCPダウンローダーは、C&Cとの通信にポート1922を使用します。

RC2CLバックドア

手段ID名前説明
実行T1059コマンドラインインターフェイスRC2CLバックドアは、リモートシェルを作成してコマンドを実行できます。
T1106APIによる実行RC2CLバックドアは、CreateProcessおよびCreateProcessAsUser APIを使用してファイルを実行します。
権限昇格T1134アクセストークンの操作RC2CLバックドアは、CreateProcessAsUser APIを使用して、別のユーザーまたはプロセスのコンテキストで新しいプロセスを開始できます。
T1088ユーザーアカウント制御のバイパスRC2CLバックドアは、UACを無効にしてバイパスし、権限を昇格できます。
防御システムの回避T1090接続プロキシRC2CLバックドアは、侵入した他のコンピュータとC&Cサーバー間の通信を中継するプロキシとして構成できます。
T1140ファイルまたは情報の難読化の解除/デコードRC2CLバックドアは、XOR暗号の変種を使用して文字列を復号化します。
T1143セキュリティツールの無効化RC2CLバックドアは、Windowsファイアウォールを無効にできます。
T1107ファイルの削除RC2CLバックドアは、削除コマンドによって、ドロップした痕跡およびファイルをオンデマンドで削除できます。
RC2CLバックドアはファイルを削除して、フォレンジック分析を阻止できます。
T1112レジストリの改変RC2CLバックドアは、レジストリキーに自身の構成を隠します。
T1027ファイルまたは情報の難読化RC2CLバックドアは文字列とコードを難読化/暗号化して、分析をより困難にします。
T1099タイムスタンプRC2CLバックドアは、作成/変更するファイルのタイムスタンプを変更します。
T1497仮想化環境の検出/サンドボックスの回避RC2CLバックドアは仮想化環境を検出できます。
検出T1087アカウントの検出IRC2CLバックドアは、アカウント情報とセッション情報をリストできます。
T1010アプリケーションウィンドウの検出RC2CLバックドアは、アクティブなウィンドウに関する情報をリストできます。
T1083ファイルとディレクトリの検出RC2CLバックドアは、ファイル、特に最近開いたファイルをリストし、マッピング/マッピング解除されたドライブに関する情報をリストできます。
T1046ネットワークサービスのスキャンRC2CLバックドアは、侵入したネットワークをスキャンして、EternalBlueに脆弱なホストを探します。
T1057プロセスの検出RC2CLバックドアは実行中のプロセスをリストできます。
T1012レジストリのクエリRC2CLバックドアは、レジストリをクエリして、インストールされたソフトウェア、ユーザーがアクセスしたアプリケーション、ユーザーログイン/システムの起動時に実行されたアプリケーション、最近開いたファイルに関する情報を取得できます。
T1063セキュリティソフトウェアの検出RC2CLバックドアは、Bitdefenderファイアウォールが有効になっている場合、または一部のアンチウイルスプロセスが実行されていることを検出すると、自身の動作を変更します。
T1518ソフトウェアの検出RC2CLバックドアは、インストールされたソフトウェア、ユーザーが最近アクセスしたソフトウェア、各ユーザーログインまたは各システムの起動時に実行されたソフトウェアをリストできます。
T1082システム情報の検出RC2CLバックドアは、読み込まれたドライバ、コンピュータ名、OSバージョン、メモリステータス、ローカル時刻、システムおよびプロセスのDEPポリシーに関する情報をリストできます。
T1016システムネットワーク構成の検出RC2CLバックドアはIPテーブル、構成されたプロキシ情報、ユーザーの地理的な位置情報を把握するために有効化された無線ネットワークに関する情報をリストできます。
T1007システムサービスの検出RC2CLバックドアは、システムサービス情報をリストできます。
収集T1123リモートファイルのコピーInvisiMoleのTCPおよびDNSダウンローダーは、侵入したシステムで実行する追加のファイルをダウンロードできます。
T1005ローカルシステムのデータRC2CLバックドアは、システムからデータを収集し、指定されたディレクトリの変更を監視できます。
T1074段階的なデータの盗み出しRC2CLバックドアは、収集したデータを中央の場所に保存して、後で抽出できます。
T1113スクリーンキャプチャRC2CLバックドアは、ユーザーの画面のスクリーンショットをキャプチャできます。RC2CLバックドアは、別のウィンドウのスクリーンショットをキャプチャすることもできます。
T1125ビデオキャプチャRC2CLバックドアは、ユーザーWebカメラにアクセスし、写真をキャプチャしたり、ビデオを録画したりできます。
C&CT1008フォールバックチャネルRC2CLバックドアは、複数のC&Cサーバーを使用して構成されます。バックドアコマンドを使用して、リストを拡張し、使用するC&Cサーバーを変更できます。
T1105リモートファイルのコピーInvisiMoleは、侵入したシステムで実行する追加のファイルをダウンロードできます。
T1065一般的に使用されないポートRC2CLバックドアは、C&Cとの通信にポート1922を使用します。
データの盗み出しT1002データの暗号化RC2CLバックドアはzlibおよびSFXアーカイブを作成できます。正規のWinRARツールをコピーして、圧縮と解凍に使用します。
T1022データの暗号化RC2CLバックドアは、XOR暗号の変種を使用してデータを暗号化します。
T1041C&Cチャネルによるデータの盗み出しRC2CLバックドアは、C&Cチャネルから収集した情報を盗み出します。

RC2FMバックドア

手段ID名前説明
実行T1059コマンドラインインターフェイスRC2FMバックドアは、リモートシェルを作成してコマンドを実行できます。
T1106APIによる実行RC2FMバックドアは、ShellExecuteおよびCreateProcess APIを使用してファイルを実行するコマンドをサポートします。
権限昇格T1088ユーザーアカウント制御のバイパスRC2FMバックドアは、UACを無効にしてバイパスし、権限を昇格できます。
防御システムの回避T1140ファイルまたは情報の難読化の解除/デコードRC2FMバックドアは、XOR暗号の変種を使用して文字列を復号化します。。
T1107ファイルの削除RC2FMバックドアは、バックドアは、削除コマンドによって、ドロップした痕跡およびファイルをオンデマンドで削除できます
T1143非表示ウィンドウRC2FMバックドアは、CREATE_NO_WINDOWフラグを使用して、非表示ウィンドウでマルウェアを実行します。
T1112レジストリの改変RC2FMバックドアは、レジストリキーに自身の構成を隠します。
T1027ファイルまたは情報の難読化RC2FMバックドアは文字列とコードを難読化/暗号化して、分析をより困難にします。
T1055プロセスの挿入RC2FMバックドアは、ctfmon.exe、dwm.exe、sihost.exeおよびtaskhost.exeプロセスに自身を挿入できます。
T1085Rundll32RC2FMバックドアはrundll32.exeを使用して、自身を挿入するスタブDLLをロードします。
T1099タイムスタンプRC2FMバックドアは、作成/変更するファイルのタイムスタンプを変更します。
T1497仮想化環境の検出/サンドボックスの回避RC2FMバックドアは、仮想化環境を検出できます。
検出T1083ファイルとディレクトリの検出RC2FMバックドアは、マッピングされたドライブに関する情報を収集します。特定のフォルダにあるファイルもリストできます。
T1135ネットワーク共有の検出RC2FMバックドアは、接続されているネットワーク共有をリストできます。
T1057プロセスの検出RC2FMバックドアは実行中のプロセスをリストできます。
T1082システム情報の検出RC2FMバックドアは、コンピュータ名とシステムボリュームシリアル番号を収集します。
T1016システムネットワーク構成の検出RC2FMバックドアは、構成されたプロキシサーバーに関する情報をリストします。
収集T1123オーディオキャプチャRC2FMバックドアは、コンピュータのマイクからの音声を録音できます。RC2FMは、録音をMP3でエンコードするために正規のlame.dllを悪用します。
T1125リムーバブルメディアのデータRC2FMバックドアは、接続されているMTPデバイスからjpegファイルを収集できます。
T1056入力キャプチャRC2FMバックドアはキーストロークを収集できます。
T1113スクリーンキャプチャRC2FMバックドアは、ユーザーの画面のスクリーンショットをキャプチャできます。
C&CT1043一般的に使用されるポートRC2FMバックドアは、C&Cとの通信にポート80を使用します。
T1090接続プロキシRC2FMバックドアは、C&Cサーバー直接接続できない場合に、ローカルシステムで構成されるプロキシを使用して、インストールされているブラウザーやポータブルブラウザからアクセスします。
T1008フォールバックチャネルRC2FMバックドアは、複数のC&Cサーバーを使用して構成されます。バックドアのコマンドによってC&Cサーバーを更新することが可能です。
T1105リモートファイルのコピーInvisiMoleは、侵入先のシステムで実行される追加のファイルをダウンロードできます。
T1071標準アプリケーションレイヤープロトコルRC2FMバックドアは、C&Cとの通信にHTTPを使用します。
データの盗み出しT1022データの暗号化RC2FMバックドアは、XOR暗号の変種を使用してデータを暗号化します。
T1041C&Cチャネルによるデータの盗み出しRC2FMバックドアは、C&Cチャネルから収集した情報を盗み出します。

セキュリティニュース
Top