主なポイント
- RedLineの情報窃取型マルウェアのサンプル群は、我々がテストしたあらゆる従来のサンドボックスで実行に失敗したが、それこそが、これらを改めて注目する価値がある理由だった
- このマルウェアは、通信先のサーバーをハードコードしていません。通信先は別の何かによって決定されており、それは誰でも簡単にオフラインにできるようなサーバーではありません。
- 当社のFileScan.io Threat Labsチームは、そのインフラストラクチャを、単一のブロックされたIPアドレスからは決して明らかにならないほどさらに遡って追跡しました
- 捜査で明らかになった痕跡によると、そのインフラは1年以上もの間、ひっそりと稼働し続けていた。
- この傾向はこれらのサンプルにとどまらず、実際にどれだけのインフラが接続されているのかという疑問を投げかけている
- トレイルの全行程を追うと、繰り返されるホスティングパターンが見て取れる
この手法は、一般的な情報窃取型マルウェアの配布手法と何が異なるのか？
情報窃取型マルウェアの摘発の多くは、サーバーの特定と遮断に依存しています。しかし、これらのサンプルは異なる手法を採用しています。これらは「EtherHiding」という手法を利用しており、キャンペーンの実際のコマンド＆コントロール先をマルウェア本体ではなくブロックチェーンのスマートコントラクト内に保存することで、攻撃者はバイナリに一切手を加えることなくキャンペーンの宛先を変更できるようになっています。
さらに、これらのサンプルは、標準的なサンドボックス内では通常のプログラムとして実行されませんでした。これは、ペイロードが実行される機会を完全に奪うために、自動実行を回避するよう意図的に構築された回避層です。
SOCチームやエンジニアはなぜこれを重視すべきなのか？
SOCの専門家および脅威ハンター
ブロックされたIPアドレスだけでは、キャンペーンがどれくらいの期間実行されているか、あるいはそのインフラが実際にどこまで広がっているかについては、ほとんど何もわかりません。全体像を把握するには、単なる脅威フィードだけでなく、パブリックブロックチェーンを読み解き、ほとんどのSOCツールでは相関分析を行うよう設計されていない証拠を結びつける必要があります。
Software およびインフラエンジニア
ウォレットやdAppがネットワークと通信するために使用するのと同じ通信方式であるブロックチェーンのRPC呼び出しが、マルウェア内部のC2シグナルとしてますます多く確認されるようになっています。ブロックチェーンインフラを構築または保護するチームは、RPCトラフィックがマルウェアのコマンド＆コントロールに悪用される可能性を、今後考慮に入れる必要があります。
どの組織が最も大きなリスクにさらされているのか？
RedLineは認証情報、セッショントークン、およびブラウザに保存されたデータを盗み出すため、失うことのできない貴重なアクセス権を持つあらゆる組織を標的としています。特にリスクが高いカテゴリーは以下の通りです：
- 金融サービスおよびフィンテック分野では、盗まれた認証情報が直接不正利用につながる
- 政府機関や重要インフラの運営事業者。これらにおいては、アクセス権限が侵害されると、業務に支障をきたしたり、データが流出したりする恐れがある
- マネージドサービスプロバイダーでは、たった1つの認証情報が盗まれるだけで、下流の複数のクライアントへの侵入経路が開かれてしまう
- セッショントークンやAPI キーが重要な標的となるテクノロジー企業やSaaS企業
このようなキャンペーンは、どのような被害をもたらす可能性があるのでしょうか？
RedLineが認証情報を収集すると、その影響は、その認証情報で何がアクセス可能かによって異なります。直接的な金融詐欺から、後のランサムウェア展開のための足掛かりとなるケースまで多岐にわたります。復旧には通常、マルウェアが接触した可能性のあるすべての認証情報をローテーションし、アクティブなセッションを無効化し、検知される前に盗まれたアクセス権がどのシステムに到達したかを再構築する必要があります。隠されたコマンドインフラストラクチャが存在すると、盗まれたアクセス権が利用可能な状態が続く期間が長引く可能性があります。
MetaDefender の「Aether」がこの構図にどう組み込まれるか
MetaDefender Aether™は、本調査の対象となったサンプルを含め、従来のサンドボックスを意図的に回避するマルウェアを検出するように設計されています。その高度なエミュレーション機能により、手動での調整を必要とせずに、アンチVM、アンチデバッグ、および時間ベースの回避手法を無効化するため、従来のサンドボックスを突破するように設計されたサンプルも、見逃されることなく確実に分析されます。
その後、同社の脅威インジケーター・リポジトリは、特定されたIPアドレス、ドメイン、ハッシュ値を500億件以上の既知のインジケーターと照合し、SOCチームに対して各インジケーターに関するより広範なインフラストラクチャのコンテキストを提供します。
FileScan.ioの調査からは何が明らかになるのか？
また、当社のFileScan.io Threat Labsチームは、これらのサンプルの背後にあるインフラストラクチャを追跡しました。
調査報告書の全文では、次のように説明されている：
- 研究者たちは、従来のサンドボックス環境では意図的に失敗するように設計されたサンプルを、どのようにリバースエンジニアリングしたのか
- 暗号化されたコマンドアドレスをどのように復元したのか
- 選挙運動の体制はどれほど過去に遡るのか
- 他にも、同じ基本的な仕組みを共有しているキャンペーンはいくつあるでしょうか
よくある質問
EtherHidingとは？
E therHidingとは、 コマンドサーバーのアドレスなど、攻撃者が制御する設定情報を、パブリックブロックチェーンのスマートコントラクト内に保存または取得する手法です。これにより、目に見えるインフラが破壊された後も、攻撃キャンペーンの真の標的を隠したままにすることができます。
RedLineは新しいマルウェアファミリーなのでしょうか？
いいえ。RedLineは以前から知られている情報窃取型マルウェアです。このクラスターは、EtherHidingとの組み合わせや、FileScan.io Threat Labsが分析中に確認した回避行動が特徴的です。
既知のコマンドサーバーを遮断しても、なぜキャンペーンが停止しないのでしょうか？
キャンペーンを支えるスマートコントラクトは、依然として代替アドレスにリダイレクトできるため、個々の指標が排除されてもインフラは存続するのです。
研究者たちは、どのようにしてこのサンプルのサンドボックス対策の防御を突破したのでしょうか？
これが、今回の調査における主要な発見の一つです。その手法の詳細は、FileScan.io Threat Labsの記事で解説されています。
MetaDefender のAetherは、このようなマルウェアの検出にどのように役立つのでしょうか？
MetaDefender Aetherは、アンチVMやアンチデバッグの回避策を無効化するために開発された「Advanced Emulation」と、数十億件の既知のインジケーターを横断してコマンド＆コントロール（C&C）インフラを関連付ける「Threat Indicator Repository」を組み合わせることで、従来のサンドボックスをすり抜けるように設計されたサンプルを検知します。
- 脅威分析 ,
- マルウェア解析 ,
- MetaDefender
