信頼できる正規サービスを悪用するAPT-C-60の攻撃手法

JPCERT/CCは2024年8月頃に確認されたAPT-C-60による国内組織を標的とした攻撃について、解説しており、本攻撃は、正規サービス（Google Drive、Bitbucket、StatCounterなど）を悪用し、入社希望者を装ったメールを通じてマルウェアを拡散させるものでした。

マルウェア感染までの流れ

本攻撃は、標的型攻撃メールを使用しており、採用担当窓口宛のメールに記載されたGoogle DriveリンクからVHDX形式のファイルをダウンロードさせる形で実行されます。

感染のプロセス

1. メール受信：採用担当窓口宛に送られるメールにGoogle Driveのリンクが記載されています。
2. VHDXファイルの展開：仮想ディスク形式のVHDXファイルをダウンロード・マウント。内部には以下が含まれています：
   • Self-Introduction.lnk（LNKファイル）
   • IPML.txt（おとり文書およびマルウェアの実行トリガー）
3. LNKファイルの実行：LNKファイルを通じて正規実行ファイル（git.exe）を使用し、IPML.txtを実行します。
4. 永続化の実施：COMハイジャッキングを利用してSecureBootUEFI.datを永続化。

上記とは別の事例で、APT-C-60は2022年から韓国を標的とした攻撃を行っており、APTグループのサイバー攻撃者は韓国の大学院生の論文審査を装い、cloud.mail.ruにホストされている悪意のあるファイルをダウンロードするようターゲットを誘導していました。

ダウンローダーの詳細分析

SecureBootUEFI.datは、正規サービスであるBitbucketやStatCounterを悪用し、感染端末の確認とさらなるマルウェアのダウンロードを行います。

通信の流れ

• StatCounterへのアクセス：感染端末固有の情報（コンピュータ名、ユーザー名など）をエンコードし、リファラー情報として送信。
• Bitbucketからのダウンロード：以下のプロセスでService.datを取得・実行：
  1. XORキーでエンコードされたService.datを取得。
  2. 解読後、端末内に保存および実行。
• 次のステージのマルウェア取得：cn.datおよびsp.datをBase64とカスタムXORキーでデコードし保存。COMハイジャッキングを利用して永続化。

バックドアの分析

今回使用されたバックドアは、ESETによりSpyGraceと命名されているもので、以下の特徴があります

• 初期化フェーズ：Mutexの作成、ネットワーク疎通確認、特定フォルダー内のファイル実行などを実施。
• コマンド実行機能：リモートシェル、スクリーンショットの自動送信、ファイルのアップロード/ダウンロードなど幅広いコマンドを実行可能。

バックドアの詳細なコマンド一覧はAppendix Aに記載しています。

 同種マルウェアを使用したキャンペーン

本マルウェアと類似したキャンペーンが、2024年8月～9月にかけて日本、韓国、中国を含む東アジアで確認されています。これらの攻撃では、BitbucketやStatCounterを悪用し、永続化にCOMハイジャッキングを使用する共通点が見られます。

確認されたおとり文書例：今回のVHDXファイル内部には、日本や韓国を想定した文書が含まれており、特定地域を標的としていることが示唆されます。

Appendix A: バックドアのコマンド一覧

コマンド	実行内容
cd	指定されたディレクトリへの移動
download	暗号化されたファイルのダウンロード
upload	ファイルアップロード
screenupload	スクリーンショットのアップロード