ESETの研究者は、少なくとも2018年から活動していると考えられ、これまでに特定および報告されていなかった中国が関与していると思われるサイバー攻撃組織による攻撃を分析しました。ESETは、このグループをBlackwoodと命名しました。この攻撃組織は、正規のソフトウェアのアップデートリクエストを乗っ取るAiTM（中間者）攻撃を通じて、高度なマルウェアを配信しています。ESETは、このインプラント（マルウェアの一種）をNSPX30と命名しました。

本ブログの要点：

• NSPX30インプラントは、Tencent QQ（テンセントQQ）、WPS Office、Sogou Pinyin（捜狗拼音）などの正規ソフトウェアのアップデートの仕組みを利用して展開されています。
• このインプラントは、中国や日本の企業、中国、日本、および英国の個人に対する標的型攻撃で検出されています。
• ESETが調査を進めたところ、NSPX30は被害者からデータを収集するために設計され、ESETがProject Woodと命名していた2005年に検出された軽量なバックドアから進化していることが明らかになりました。
• NSPX30は、ドロッパー、インストーラー、ローダー、オーケストレーター、バックドアなど、いくつものコンポーネントを実装した多段階型のインプラントです。後者の2つには個別のプラグインのセットが用意されています。
• このインプラントは、攻撃者がパケットを傍受する能力を重視して設計されています。また、NSPX30のオペレーターが攻撃用のインフラを隠蔽することを可能にしています。
• NSPX30はまた、セキュリテ製品の許可リストに自身を追加することができ、いくつかの中国のマルウェア対策製品に攻撃が妨害されないように対策しています。
• これらの攻撃は、ESETがBlackwoodと命名した新しいAPTグループによって実行されています。

Blackwoodは、少なくとも2018年から活動している中国が関与していると思われるAPTグループであり、中国や日本の個人や企業に対してサイバースパイ活動を仕掛けています。Blackwoodは、正規ソフトウェアのアップデートの仕組みをAitM（中間者）攻撃を利用して、ESETがNSPX30と名付けたインプラントを配信したり、インプラントが生成するトラフィックを傍受して、コマンドアンドコントロールサーバーの場所を隠蔽したりする能力を有しています。

次のセクションでは、Project Wood、DCM、およびNSPX30に関する調査結果の一部について説明します。

コンパイルのタイムスタンプは、攻撃者によって改ざんされる可能性もあるため、そのまま信頼することはできない指標です。そのため、今回ケースでは、追加のデータポイントも参照して考慮しています。まず、ローダーとバックドアの検体のPEヘッダーのタイムスタンプを表 1に示します。両コンポーネントがコンパイルされた時間には17秒の差しかありません。

2016年のTencentのレポートでは、AitM（中間者）攻撃の能力を利用して、DCMインストーラーをソフトウェアアップデートとして配信し、正規サーバーへのDNSリクエストを経由してデータを流出させる、高度なDCMの亜種について説明しています。DCMが攻撃で使用されるのが最後に観測されたのは、2018年でした。

DCMは2012年に中国のJiangmin社によって初めて文書化されました。その時点では無名でしたが、その後2016年にTencentによってDark Specterと命名されました。

ESETが検出したNSPX30の最も古い検体は、2018年6月6日にコンパイルされています。NSPX30は、2段階に分かれて動作し、攻撃者がAitM攻撃を実行する能力に完全に依存しているため、DCMとは異なるコンポーネント構成になっています。DCMのコードはより小規模なコンポーネントに分割されていました。

ESETは、プラグインの検体で見つかったPDBのパスをとって、このインプラントを命名しました。

• Z:\Workspace\mm\32\NSPX30\Plugins\plugin\b001.pdb
• Z:\Workspace\Code\MM\X30Pro\trunk\MM\Plugins\hookdll\Release\hookdll.pdb

NSPという名前は、常駐化のための手法を参照していると考えられます。ディスク上では、msnsp.dllという名前の常駐化のためのローダーDLLが、内部的にはmynsp.dllという名前になっています（エクスポートテーブルのデータ）。これは、Winsock名前空間プロバイダー（各英単語の頭文字を合わせるとNSPになる）としてインストールされているためだと考えられます。

最後にESETが把握している限り、NSPX30はこれまで他のセキュリティベンダーによって公開されたことはありません。

表 2に、URLと、ダウンロードが発生した時点でユーザーのシステムでドメインが解決されたIPアドレスの例を示します。

攻撃者がNSPX30を悪意のあるアップデートとして配信している具体的な方法は、まだ分かっていません。

このような能力を有している中国とのつながりのあるサイバー攻撃組織（Evasive PandaやTheWizards）についてESETが収集している情報や、BlackTechやCamaro Dragon（別名Mustang Panda）が利用しているルーターインプラントに関する最近の調査から、攻撃者は、おそらく標的ユーザーのネットワークにあるルーターやゲートウェイなどの脆弱なネットワークアプライアンスにネットワークインプラントを展開しているものと推測されます。

DNSを介したトラフィックのリダイレクトが確認されていないことから、展開されていると考えられるネットワークインプラントが、アップデートに関連する暗号化されていないHTTPトラフィックを傍受するときに、DLL、実行可能ファイル、またはDLLを含むZIPアーカイブの形態でNSPX30インプラントのドロッパーを返信している可能性があります。

NSPX30インプラントはC&Cインフラストラクチャを隠蔽するために、攻撃者がパケットを傍受する機能を使用していることを前に述べましたが、以下のサブセクションでは、この方法について説明します。

RsStub.exeが、ExitProcessを呼び出すと、正規のAPI関数コードではなく、シェルコードのローダー関数が実行されます。

このローダーは、comx3.dll.txtファイルからインストーラーDLLを復号化します。次に、シェルコードがインストーラーDLLをメモリにロードし、そのエントリポイントを呼び出します。

インストーラーDLL

このインストーラーは、オープンソースの実装から取り入れたUACバイパスの手法を使って、新しい権限昇格のプロセスを作成します。どちらのDLLを使用するかは、表 3にあるように、いくつかの条件によって異なります。

ロードされると、オーケストレーターはタスクを実行するために2つのスレッドを作成します。

オーケストレーターはディスクから元のドロッパーファイルを削除し、msfmtkl.datからバックドアをロードします。ファイルが存在しなかったり、開けなかったりした場合、オーケストレーターはWindowsのインターネットAPIを使って、先に説明したように中国企業のBaidu（百度）の正規Webサイトへの接続を開きます。

サーバーからの応答は、検証されて一時ファイルに保存されます。すべての条件に一致する場合、このファイルにある暗号化されたペイロードは新しいファイルに書き込まれ、msfmtkl.datという名前に変更されます。

暗号化されたペイロードで新しいファイルが作成されると、オーケストレーターはその内容を読み取り、RC4でペイロードを復号化します。復号化されたPEはメモリにロードされ、そのエントリポイントが実行されます。

オーケストレーターのスレッド2

オーケストレーターは、現在のプロセスの名前を判断して、プラグインのロードや、中国で製造されている3つのマルウェア対策ソフトウェアのローカルデータベース内のローダーDLLを許可する除外リストの追加など、いくつかのアクションを実行します。

オーケストレーターがそのローダーをその許可リストに追加したセキュリティソフトウェアの名前と、プロセス名が一致する場合に実行されるアクションを表 4に説明します。

表 5に、指定されたインスタントメッセージソフトウェアのプロセス名と一致した場合に実行されるアクションを示します。これらの場合、オーケストレーターはディスクからプラグインをロードします。

プロセスに対応するアクションを完了すると、スレッドに戻ります。

プラグイングループ「c」

オーケストレーターのコードを分析したところ、「c」グループに属する少なくとも6つのプラグインが存在する可能性があることが分かりました。これらの中の3つのプラグインは現時点で特定されています。

表 6に、特定されたプラグインの基本的な機能を示します。

バックドアの基本的な目的である、コントローラーとの通信と収集したデータの外部への送信については、ここまでにいくつかの詳細をお伝えしました。コントローラーとの多くの通信は、license.datという暗号化されていないファイルにプラグインの設定データを書き込み、ロードされたプラグインから関数を呼び出すことで行われています。表 7に、このバックドアが最も多く使用するコマンドを示します。

バックドアコンポーネントには、ディスクに書き込まれ、バックドアに基本的なスパイ機能と情報収集機能を追加する、独自の埋め込みプラグインDLL（ 表 8を参照）が含まれています。

ESETは、中国、日本、英国の個人および企業に対してサイバースパイ活動を行っているサイバー攻撃組織をBlackwoodと命名し、その攻撃手法と能力を分析しました。Blackwoodが採用している独自のインプラントであるNSPX30は、ESETがProject Woodと命名した2005年に見つかった小規模なバックドアから進化を続けています。

2005年のProject Woodインプラントは、実装されている手法から、マルウェア開発の経験を有する開発者が作成したと考えられます。そのため、このバックドアのさらに前の起源について、まだ多くのことが分かっていない可能性があります。

この表は、MITRE ATT&CKフレームワークのバージョン14を使用して作成されています。