2021年3月、ESETは東アジアにあるソフトウェア開発会社のネットワークが攻撃されていることを検出したため通告しました。このときの攻撃方法は明らかになっていません。

攻撃者はマルウェアを展開して常駐化させ、Q-dirと呼ばれる正規のアプリケーションのインストーラをトロイの木馬化したコピーに置き換えます。このインストーラが実行されると、ReVBShellというオープンソースのVBScriptバックドアと、正規のQ-dirアプリケーションのコピーをドロップします。これにより、トロイの木馬化されたインストーラが、リモートサポートツールから転送され、侵害されたこのDLPソフトウェア会社の顧客2社のネットワークで悪意のあるコードが実行されました。このDLPソフトウェア会社が顧客にテクニカルサポートを提供したときに、このインシデントが発生した可能性があります。

また、攻撃者はアップデートサーバーも侵害しており、DLPソフトウェア会社のネットワークにあるマシンに2回にわたって悪意のあるアップデートが配信されました。ESETのテレメトリ（監視データ）からは、DLPソフトウェア会社のネットワークの外部に悪意のあるアップデートが配信されたケースは検出されていません。

このDLPソフトウェア会社は政府機関や軍関係者の顧客を抱えており、TickのようなAPTグループにとって、このような企業は特に魅力的な標的となっています。

ESETのテレメトリによると、2021年3月に攻撃者はこのDLPソフトウェア会社の複数のマシンにマルウェアを展開しています。このマルウェアには、NetboyおよびGhostdown系統の亜種と、ShadowPyという名前のこれまで検出・文書化されていないダウンローダーが含まれていました。

2021年4月に攻撃者はQ-dirインストーラをトロイの木馬化したコピーを、この企業のネットワークに展開しました。

2021年6月と9月に、侵害したこの会社のネットワークで、同企業が開発したソフトウェアのアップデートを実行するコンポーネントが、悪意のある実行ファイルを含むパッケージをダウンロードしました。

2022年2月と6月には、トロイの木馬化されたQ-dirインストーラがリモートサポートツールを介して、侵害されたこのDPLソフトウェア会社の顧客に転送されました。

マルウェアが含まれるアップデートが登録された初めてのインシデントは2021年6月に発生し、その後9月に再度発生しました。いずれのケースでも、DLPソフトウェア会社のネットワークのマシンにアップデートが配信されています。

このアップデートは、悪意のある実行ファイルを含むZIPアーカイブとして提供されました。侵害されたこの会社が開発したソフトウェアから、正規のアップデートエージェントによってマルウェアが展開され、実行されています。この攻撃チェーンを図2に示します。

最初に検出されたケースは2021年6月に発生しました。このときには、社内のサーバーからアップデートがダウンロードされ、展開されています。2番目のケースでは、2021年9月にインターネットに公開されているサーバーから発生しました。

悪意のある実行ファイルが、http://103.127.124[.]117/index.htmlにHTTP GETリクエストを実行し、RC6アルゴリズムで暗号化され、埋め込まれているペイロードを解読するキーを取得します。このペイロードは、ランダムな名前と.vbeという拡張子が付けられて、%TEMP%ディレクトリにドロップされて実行されます。

侵害されたマシンからドロップされた検体をESETは入手していませんが、検出した内容（VBS/Agent.DL）から、ESETはこのスクリプトがオープンソースのバックドアReVBShellである可能性が高いと考えています。

ESETのテレメトリでは、このDLPソフトウェア会社が開発したソフトウェアから、悪意のあるファイルを同社の顧客が受信したケースは確認されていません。この攻撃者は、外部の顧客に対してサプライチェーン攻撃を仕掛けるためではなく、ネットワークのラテラルムーブメントを行うためにアップデートサーバーを侵害したとESETは考えています。

Q-DirはSoftwareOKが開発した正規のアプリケーションであり、図3に示すように、同じウィンドウで4つのフォルダを同時に操作できるようにします。Q-Dirが検出されたネットワークの場所から、これは、侵害されたDPLソフトウェア会社の従業員が使用しているツールキットの1つだと考えられます。

ESETのテレメトリによると、悪意のあるアップデートが検出される2ヶ月前の2021年4月から、攻撃者はアプリケーションの32ビットおよび64ビットのトロイの木馬化したインストーラを、この企業のネットワークに展開しています。

ESETは、2022年2月と6月の2回にわたって、東アジアにある2社（1社は技術系企業、もう1社は製造業）のパソコンに、リモートサポートツールであるhelpUとANYSUPPORTによって、トロイの木馬化されたインストーラが転送されていたことを確認しています。

これらのコンピュータには、侵害されたこの会社のDLPソフトウェアがインストールされており、トロイの木馬化されたQ-dirのインストーラは、ユーザーがサポートソフトウェアをインストールした数分後に受信されています。

DLPソフトウェア会社の顧客は、これらのリモートサポートツールの1つを介してテクニカルサポートを受けており、悪意のあるインストーラは、このDLP会社の顧客にサポートサービスを提供するために使用されていた可能性があります。攻撃者が、トロイの木馬化したインストーラを転送するために、サポートツールをインストールした可能性は低いと思われます。

インストーラをトロイの木馬化するために、セクションヘッダーテーブルの末尾の空洞部にシェルコードを挿入する手法が使用されています。このアプリケーションは、FileAlignmentとSectionAlignmentに0x1000を使用してコンパイルされています。0xD18バイトの空洞部が残っていることから、位置を指定する必要のない悪意のあるシェルコードを十分に保存することが可能です。このアプリケーションのエントリポイントのコードは、シェルコードを指定するJMP命令が適用されており、WinMain（図4）の呼び出しの直後に配置されています。そのため、アプリケーションの正規のコードが実行された後に、悪意のあるコードは実行されます。

悪意のある32ビットのインストーラは1つしか検出されていませんが、64ビットのインストーラはこのDLPソフトウェア会社のネットワークの数カ所で検出されました。このインストーラには、Q-Dirアプリケーションと、攻撃者によってカスタマイズされエンコードされた（VBE）ReVBShellバックドアが含まれており、どちらもLZOで圧縮され、RC6で暗号化されています。これらのファイルは、%TEMP%ディレクトリにドロップされ実行されます。

このセクションでは、侵害されたDLPソフトウェア会社のネットワークに展開されたツールやマルウェア系統の詳細について説明します。

常駐するために、攻撃者は悪意のあるローダーDLLを、DLLの検索順序のハイジャックの脆弱性がある署名されている正規のアプリケーションと一緒に展開しています。これらのDLLの目的は、ペイロードを復号化して指定されたプロセスに挿入することです（今回のインシデントでは、すべてのローダーがsvchost.exeに挿入されるように設定されています）。

各ローダーのペイロードは、ShadowPy、Ghostdown、Netboyの3つのマルウェア系統の1つになっています。図6は、ロードのプロセスを示しています。

このレポートでは、ShadowPyダウンローダーとNetboyバックドアの分析結果を中心に説明します。

ShadowPyは、Pythonで開発されたダウンローダーであり、カスタマイズされたpy2exeのバージョンを使用して、Windowsの実行ファイルに変換されます。ダウンローダーはC&Cサーバーと通信し、実行するPythonスクリプトを取得します。

今回の調査結果から、このマルウェアは2021年にこのDLPソフトウェア会社が侵害された少なくとも2年前には開発されていた可能性があります。ESETは、ShadowPyが展開された他のインシデントをこれまで確認していません。

カスタムpy2exeローダー

前に説明した通り、悪意のあるDLLローダーは、DLLサイドローディングによって実行されます。ShadowPyのケースでは、vssapi.dllがavshadow.exeによってサイドローディングされています。avshadow.exeは、Aviraセキュリティソフトウェアに含まれる正規のソフトウェアコンポーネントです。

悪意のあるDLLには、カスタムpy2exeローダー、Pythonエンジン、PYCコードの主な3つのコンポーネントが含まれ、DLLのオーバーレイで暗号化されています。最初に、DLLローダーのコードは、DLLのオーバーレイで独自のローダーpy2exeを見つけ、0x56をキーとして、NULL部分ではXOR演算を実施しないNULL-preserving XORの手法で復号化し、メモリにロードして、新しく作成したsvchost.exeプロセスに挿入します。次に、カスタムローダーpy2exeのエントリポイントがリモートプロセスで実行されます。元のpy2exeローダーのコードとTickがカスタマイズして使用しているバージョンの違いは、カスタムローダーが悪意のあるvssapi.dllの内容をディスクから読み取り、オーバーレイの中からPythonエンジンとPYCコードを検出しているのに対し、元のローダーは、PythonエンジンとPYCコードをリソースセクションで検索する点です。

このロードチェーンを、図7に示します。

Netboy（別名 Invader）はDelphiでプログラムされたバックドアで、34個のコマンドをサポートしています。攻撃者はこのバックドアを使用して、画面キャプチャ、侵害したマシンでのマウスおよびキーボード操作、ファイルおよびサービスの操作、システムおよびネットワーク情報の取得する機能などを利用できます。

ネットワークプロトコル

NetboyはC&CサーバーとTCPで通信します。このバックドアとC&Cサーバー間で情報を交換するために使用されるパケットフォーマットを、図9に示します。

ESETは、発見されたマルウェアが過去にTickが利用しており、ESETが把握している限りでは他のAPTグループが利用していないないこと、ShadowPyとNetboyが使用するローダーとコードが酷似していることから、この攻撃がTickによって実行された可能性が高いと考えています。

さらに、攻撃者がC&Cサーバーとの通信に使用したドメイン（2015年のwaterglue[.]org、2020年のsoftsrobot[.]com）は、過去にTickが攻撃で使用しているドメインです。

2022年5月、AhnLabのリサーチャーは、サイドローディングのために正規の実行ファイルと悪意のあるDLLを展開し、CHMファイルを使用して韓国の団体や個人を標的としたサイバー攻撃者に関するレポートを公開しました。この攻撃者の詳細は特定されていません。このDLLの目的は、%TEMP%フォルダにあるVBEスクリプトを解凍、復号、ドロップして、実行することです。復号化されたスクリプトからは、ReVBShellのバックドアが見つかっています。

これらの攻撃で使用されたカスタムReVBShellバックドアは、今回の攻撃で使用されたバックドアと同じであり、悪意のある64ビットインストーラ（SHA-1: B9675D0EFBC4AE92E02B3BFC8CA04B01F8877DB6）とAhnLabが説明しているquartz.dllの検体（SHA-1：ECC352A7AB3F97B942A6BDC4877D9AFCE19DFE55）間でもいくつかのコードが酷似していることから、このキャンペーンは本レポートで紹介した攻撃と関連している可能性が高いと考えられます。

ESETのリサーチャーは、東アジアのDLP（情報漏洩防止）ソフトウェア会社が侵害されていることを発見しました。侵入時には、攻撃者は少なくとも3つの系統のマルウェアを展開し、同社が使用するアップデートサーバーやツールを侵害しました。その結果、同社の顧客2社のセキュリティが侵害されました。

この攻撃で使用された悪意のあるツールを分析したところ、これまで検出・文書化されていなかったマルウェアが発見されました。ESETは、このマルウェアをShadowPyと命名しました。今回の調査でマルウェアの類似性が特定されたことから、APAC地域を対象としたサイバースパイ活動を実施しているAPTグループ「Tick」によってこの攻撃は実行されているとESETは確信しています。

この調査で情報や検体を共有いただいたAhnLabのCha Minseok氏に感謝します。

ファイル