Buhtrapグループは、ロシアの金融機関や企業を標的にしていることが知られていましたが、2015年の終わりからこれまでの標的が変化していることにESETは気が付きました。このグループは、金銭的な利益を得るためにサイバー犯罪を重ねてきましたが、そのツールセットは東ヨーロッパと中央アジアでのスパイ活動に使用されるマルウェアに利用されるようになっています。 ESETはこのグループを長期間追跡しており、さまざまなユーザーに対してメインのバックドアや他のツールを展開しているのを確認してきました。しかし、2019年6月に、Buhtrapグループが一部の攻撃でゼロデイエクスプロイトを初めて利用したことを確認しました。Buhtrapの攻撃を受けたユーザーの1人に対してローカルの権限昇格の脆弱性CVE-2019-1132が悪用されていることが検出されました。

このエクスプロイトは、Microsoft Windowsに存在するローカル権限昇格の脆弱性、具体的には、win32k.sysコンポーネントにあるNULLポインタの逆参照を悪用します。このエクスプロイトは検出および分析され、Microsoftのセキュリティレスポンスセンターに報告されました。Microsoftセキュリティレスポンスセンターは速やかにこの脆弱性を修正し、パッチをリリースしました。

このブログでは、Buhtrapグループが金銭を狙った犯罪からスパイ活動へと変化した経緯について説明します。

図1のタイムラインは、Buhtrapグループの活動における重要ないくつかの転機を示しています。

ツールのコードは有効な証明書で署名されており、悪意のあるペイロードを秘密裏にロードするために既知の正規のアプリケーションを悪用します。

悪意のあるペイロードを配信するために使用される文書には、ユーザーが開いた場合に疑われることを避けるために、安全なおとり文書が付属していることが多くあります。これらのおとり文書を分析すると、このグループが誰を標的にしているかについての手がかりが得られます。Buhtrapが企業を標的にしていたときには、これらのおとり文書は通常契約書や請求書になっていました。図2は、2014年の攻撃で使用された一般的な請求書の例です。

このグループが標的を銀行へと変更したときには、おとり文書は金融システムの規制や金融機関への支援とガイダンスを提供するためにロシア政府が設立した組織のFinCERTの勧告に関連していました（図3の例）。

ESETでは、政府機関に関連するおとり文書を初めて確認したときから、すぐにこれらの新しい攻撃の追跡を開始しました。この変化を示す最初の悪意のある検体の1つは2015年12月に受信しています。これは、NSISインストーラーをダウンロードするものであり、このダウンローダーの主な役割はBuhtrapバックドアをインストールすることです。しかしこのおとり文書（図4）は興味深いものでした。

テキストにあるURLからこの攻撃の目的がわかります。これはウクライナの移民管理局のWebサイト（dmsu.gov.ua）に非常に似ています。ウクライナ語で記載されているこのテキストでは、従業員に連絡先情報、具体的には電子メールの情報を提供するように求めており、テキストにある悪意のあるドメインをクリックするように誘導しています。

これは、Buhtrapグループが政府機関を標的とするために使用している多くの悪意のある検体の最初のものです。さらに、以下のおとり文書はESETがBuhtrapグループによって配信されたと考えている最近のおとり文書です。これは異なるユーザー層を対象としていますが、政府関連の文書になっています。

この文書は悪意のあるマクロを含み、マクロが有効になると、NSISインストーラーがドロップされ、インストーラーによってメインのバックドアのインストールが準備されます。ただし、このNSISインストーラーは、このグループが使用した最初のバージョンとは大きく異なっており、はるかにシンプルです。常駐のための設定を行い、インストーラーに埋め込まれた2つの悪意のあるモジュールを起動するためにのみ使用されます。

作成者によって「Grabber」と呼ばれている最初のモジュールは、スタンドアロンのパスワードスティーラーです。メールクライアント、ブラウザなどからパスワードを取得し、C&Cサーバーに送信します。このモジュールは、ゼロデイを使用した攻撃でも検出されており、標準のWindows APIを使用してC&Cサーバーと通信します。