ESETは、Grandoreiroボットネットを解体する目的でブラジル連邦警察に協力しました。ESETは、技術分析、統計情報、既知のコマンド＆コントロールサーバーのドメイン名とIPアドレス情報を提供し、このプロジェクトに貢献しました。Grandoreiroのネットワークプロトコルに設計上の欠陥が見つかったことで、ESETの研究者は被害状況の一部を把握することもできました。

ESETの自動システムは、何万件ものGrandoreiroの検体を処理してきました。2020年10月頃からこのマルウェアが使用しているドメイン生成アルゴリズム（DGA）は、毎日、1つのメインドメインと、オプションで複数のフェイルセーフドメインを生成していました。GrandoreiroがC&Cサーバーと通信する唯一の方法がDGAです。このDGAは、現在の日付の他に、静的な構成も受け入れます。このブログを執筆している時点で105個の構成が確認されています。

Grandoreiroのオペレーターは、ネットワークインフラをホスティングするのにAzureやAWSなどのクラウドプロバイダーを利用しています。ESETの研究者は、これらのサーバーを設定したアカウントを特定することにつながったデータを提供しています。ブラジル連邦警察が、これらの情報を元に捜査を進めた結果、これらのサーバーの管理者が特定され逮捕されました。このブログでは、この解体作戦を実行し、法執行機関を支援するデータをESETがどのように入手したかを説明します。

銀行を標的とするラテンアメリカのトロイの木馬には、 多くの共通点があります。Grandoreiroは他のラテンアメリカのこれらのトロイの木馬と類似しています。その主な特徴は、そのコア機能と、MSIインストーラー内にダウンローダーをバンドルしていることです。過去には、 MekotioやVadokristとダウンローダーが共有されるケースもいくつか見られていましたが、ここ2年間は確認されていません。銀行を標的とするGrandoreiroトロイの木馬が、他の系統と大きく異なる点は、バイナリパディングと呼ばれる仕組みを採用していることです。これは、最終的な実行ファイルに不要なバイナリデータを追加してファイルサイズを拡大し、セキュリティソリューションの検出を無効化または回避する独自の仕組みです。この仕組みについては、2020年のESETブログで詳しく説明しています。その後、Grandoreiroのオペレーターは、ダウンローダーにも分析を妨害するための手法を追加するようになりました。驚くべきことに、2023年第3四半期に、この機能はこのトロイの木馬やダウンローダーのバイナリから完全に削除されており、それからは観測されていません。

2022年2月から、ESETは最初の主力の系統とは大きく異なる Grandoreiroの2つ目の亜種を追跡しています。2022年の3月、5月、6月に小規模なキャンペーンが実行されました。C&Cサーバードメインの大半が解決されていないこと、コア機能が頻繁に変更されていること、ネットワークプロトコルが正しく機能していないことから、この亜種は現在も開発中であると考えられます。そのため、このブログでは主力の系統について主に説明します。

ESETのシステムは、特定のマルウェア系統を自動的かつ長期的に追跡するように設計されています。このシステムでは、2017年末からGrandoreiroの監視を開始し、バージョン情報、C&Cサーバー、標的を追跡し、そして2020年末からはDGAの構成を取得しています。

DGAの構成は、Grandoreiroのバイナリにハードコードされています。各構成は、dga_idとESETが呼んでいる文字列で参照できます。DGAで異なる構成を使用すると、異なるドメインが生成されます。DGAの仕組みについては、後のセクションで詳しく説明します。

ESETは、既知のGrandoreiroの検体から合計で105種類のdga_idを取得しています。これらの79個の構成は、ESETが追跡しているときに、少なくとも一度、アクティブなC&CサーバーのIPアドレスに解決されるドメインを生成しています。

生成されたドメインは、「No-IP」のダイナミックDNSサービス（DDNS）から登録されています。Grandoreiroのオペレーターは、このサービスを乱用し、ドメイン生成アルゴリズム（DGA）に対応するようにそのドメインを頻繁に変更し、IPアドレスを自由に変更しています。これらのドメインが解決するIPアドレスの大部分は、主にAWSやAzureなどのクラウドプロバイダーによって提供されています。表 1に、GrandoreiroのC&Cサーバーに使用されるIPアドレスに関する統計の一部を示します。

数日後に別のdga_idによってIPアドレスが再利用されるケースも稀にありました。この場合のみ、Grandoreiroが接続を確立するために使用するパラメータも同じように変更されています。このパラメータについては後述します。これは、その間にC&Cサーバーが再インストールまたは再構成されたことを意味します。

ESETは、dga_idは各DGA構成に対して固有であると考えていました。しかし、同じdga_idを使用する2組の異なる構成が観測されたことで、この想定は間違っていたことが分かりました。表 2は、「jjk」と「gh」の両方を示しています。「jjk」と「jjk(2)」は、2つの異なるDGA構成に対応していますが、「gh」と「gh(2)」とも同じになっています。

表 2に、ESETが観測できたクラスタを示します。少なくとも1つのIPアドレスを共有するすべてのDGA構成が同じクラスタに含まれます。関連するdga_idのリストも表示します。すべての被害者の1%未満のクラスタは無視されています。

最大のクラスタには、すべての有効なdga_idの78%が含まれています。これは、C&CサーバーのIPアドレスの93.6%、すべての被害者の94%を占めています。1つ以上のdga_idから構成される他のクラスタはクラスタ2だけです。

一部のソースは、Grandoreiroはサービスとしてマルウェア（MaaS）を提供していると主張しています。
GrandoreiroのC&Cサーバーのバックエンドは、一度に複数のオペレーターが同時に操作することを許可していません。表 2に基づくと、DGAで生成されたIPアドレスの大部分は、明確な配信パターンがなく、一緒に分類できます。最後に、このネットワークプロトコルが必要とする帯域幅の広さを考慮すると、異なるC&Cサーバーが基本的な負荷分散システムとして使用されており、Grandoreiroは単一のグループ、あるいは2から3つのグループが緊密に協力して運営している可能性が高いと考えらます。これについてはブログの最後に説明します。

Grandoreiroのネットワークプロトコルの実装方法から、ESETの研究者はその運用方法の一部を解明でき、被害状況の一部を確認できました。GrandoreiroのC&Cサーバーは、新たに接続した各被害者に最初のリクエストを送信する時に、接続された被害者に関する情報を提供します。しかし、これらのデータはリクエストの数、間隔、C&Cサーバーから提供されるデータの妥当性について偏りがあります。

GrandoreiroのC&Cサーバーに接続された被害者は、接続を確立するときにGrandoreiroが作成する文字列login_stringによって識別されます。ビルドによって使用するフォーマットは異なり、フォーマットによって含まれる情報も異なります。login_stringから得られる情報を表 3にまとめました。出現率の列は、対応する情報を保持しているフォーマット全体の割合を示します。

そのうちの3つのフィールドについて、少し詳しく説明します。「国」は、適切なサービスから取得された情報ではなく、Grandoreiroのバイナリにハードコードされている文字列です。そのため、攻撃の対象となる被害者の国を示すような役割を果たしています。

銀行コードネームは、Grandoreiroの開発者が特定の銀行やその他の金融機関を関連付けた文字列です。被害者はその銀行のWebサイトにアクセスすると、このC&Cへの接続が開始されます。

version_stringは、特定のGrandoreiroビルドを識別する文字列です。この文字列はマルウェアにハードコードされており、特定のビルドシリーズを識別する文字列、バージョン（序章で説明）、タイムスタンプを保持しています。表 4に、さまざまなフォーマットと、それらが保持する情報を示します。タイムスタンプには、月と日だけが含まれている場合もあれば、年まで含まれている場合もあります。

ビルドIDからオペレーターを実際に特定できるのではないかという考え方もあるでしょう。しかし、ESETはこれはGrandoreiroには当てはまらないと考えています。この文字列のフォーマットは非常に混沌としており、(AGOSTO)2708のように、バイナリが作成された月だけを指している場合もあると考えられます。さらに、P1Xは、PIXLOGGERと呼ばれ、Grandoreiroのオペレーターが使用しているコンソールを指しているとESETは確信しています。

これは、Grandoreiroが狙っている国の分布を示します。注意が必要なのは、図1に示したヒートマップとこの分布に相関がないことです。この状況に関する最も論理的な説明は、Grandoreiroのバージョンが標的とする国を攻撃するように適切にマークされていない可能性があることです。たとえば、アルゼンチンで攻撃が増加していますが、ハードコードのマーキングとは無関係です。被害者全体の41%近くをブラジルが占め、メキシコが30%、スペインが28%と続いています。アルゼンチン、ポルトガル、ペルーは1%未満です。ESETは、PM（サンピエール島・ミクロン島）、GR（ギリシャ）、FR（フランス）とマークされた犠牲者を数人（10人未満）確認しています。これは誤字であるか、それらの国を標的としたものではなく別の意味があると考えられます。

また、少なくとも2020年からGrandoreiroはラテンアメリカ以外の多くの国を標的に追加していますが、それらの国々を対象としたキャンペーンはほとんど展開されておらず、図5もこのデータを裏付けています。

被害を受けた企業や組織の数

ESETのデータでは、1日にGrandoreiroのC&Cサーバーに接続する平均被害者数は563になっています。しかし、この数値には重複も含まれています。これは、被害者が接続を長時間維持することも多くあり、この場合GrandoreiroのC&Cサーバーは複数のリクエストでその接続を報告するためです。

この問題を解決するため、ESETは重複を除く固有の被害者を、アップタイムのような変更される可能性のあるものは除外し、コンピュータ名やユーザー名などのようなユニークな識別特性を持つ被害者と定義しました。その結果、1日に接続するユニークな平均被害者数は551になりました。

C&Cサーバーに1年以上にわたって常に接続している被害者も観察されていることから、C&Cサーバーに毎日接続している新規で固有の被害者の平均数を114と計算しました。この数字は、すでに観察したことのある固有の犠牲者を除外して求めたものです。

2022年9月以降、DGAが少し変更された検体が観測され始めました。アルゴリズムはほぼ同じですが、最後のステップでサブドメインをbase64エンコードするのではなく、ハードコードされたプレフィックスが先頭に追加されます。ESETの追跡調査によると、この方法は2023年の7月頃から主流になっています。

ネットワークプロトコル

Grandoreiroは、RTC Portalを利用しています。RTC Portalとは、HTTP(S)上に構築されたRealThinClient SDKの上に構築されたDelphiコンポーネントセットです。RTC Portalは2017年に廃止され、そのソースコードはGitHubに公開されています。基本的に、RTC Portalでは、1つまたは複数の「コントロール」が1つまたは複数の「ホスト」にリモートアクセスできます。「ホスト」と「コントロール」は、「ゲートウェイ」と呼ばれる仲介役のコンポーネントによって分離されます。

Grandoreiroのオペレーターは、C&Cサーバー（「ゲートウェイ」として機能）に接続し、侵害されたマシン（「ホスト」として機能）と通信するために、コンソール（「コントロール」として機能）を使用します。ゲートウェイに接続するには、秘密キー、キーの長さ、ログイン情報の3つのパラメータが必要です。

秘密キーは、サーバーに送信される最初のリクエストを暗号化するために使用されます。そのため、サーバーは最初のクライアントリクエストを復号するために、秘密キーも知っておく必要があります。

キーの長さは、ハンドシェイク中に確立されるトラフィックを暗号化するためのキーの長さを決定します。トラフィックは独自のストリーム暗号を使用して暗号化されます。受信トラフィック用と送信トラフィック用に2つの異なるキーが確立されます。

ログイン情報には、任意の文字列を指定できます。このゲートウェイは、接続される各コンポーネントに対して固有のログイン情報を要求します。

Grandoreiroは、常にバイナリにハードコードされた秘密キーとキーの長さの値の2つの異なる組み合わせを使用します。ログイン情報として使用されるlogin_stringについては、前のセクションですでに説明しています。

RTCのドキュメントによれば、一度に処理できる接続数は限られています。接続された各ホストは、1秒間に少なくともリクエストを1回送信する必要があり、そうしないと接続が切断されることから、Grandoreiroが複数のC&Cサーバーを利用している理由は、どれか1つのサーバーの過負荷にならないようにする試みと考えられます。

このブログでは、ESETが長期にわたって追跡してきたGrandoreiroの運用方法の一部について把握できたことを説明しました。これらの情報は、このグループによる運用を解体するために貢献することができました。ESETは、GrandoreiroのDGAの仕組み、多くの異なる構成が同時に存在している理由、そしてこれらの構成間で多くのIPアドレスが重複していることを発見できた理由についてこのブログでは詳しく説明しました。

また、C&Cサーバーから収集した統計情報も提供しました。これらの情報から、被害の状況と標的の国などを理解でき、実際の影響レベルも確認できるようになりました。

ブラジル連邦警察が主導した解体作戦は、Grandoreiroグループの幹部に位置すると思われる人物を狙ったものでした。ESETは、この解体作戦の後のGrandoreiroの活動が今度どうなっていくのか注意深く監視しながら、 他のラテンアメリカの銀行を標的とするトロイの木馬についても追跡を続けていきます。

この表は、MITRE ATT&CKフレームワークのバージョン14を使用して作成されています。