Klingon RAT
マルウェア作成者が作成のためにオープンソースのプログラミング言語であるGolangに目を向ける傾向は、ますます強くなっているようです。その結果、Golangで作成されたマルウェアの数はかつてないほど増えています。脅威によって示される高度化のレベルの上昇も重要です。このような脅威となるリモートアクセス型トロイの木馬の1つが、最近infosecの研究者によって検出され、その脅威をKlingonRATと名付けました。
Klingon RATは、その最もユニークなコードにより、最初に研究者の注目を集めました。これはサイバー脅威の分野ではかなり珍しいことです。マルウェアの作成者は、新しい脅威のツールを完成させるために必要な時間を短縮するために、コードの大きなチャンクを再利用することがよくあります。クリンゴンRATは、RATの脅威に期待される通常の特性を備えています。ただし、それらに加えて、セキュリティ製品、永続化メカニズム、および特権昇格の方法に対する大幅に拡張された対策が装備されています。
初期活動
侵害されたシステムでKlingonRATが実行する最初のアクションの1つは、マルウェア対策セキュリティ製品に関連する500を超えるさまざまなプロセスを強制終了しようとすることです。脅威は、システム上のアクティブなプロセスをチェックし、それらをターゲットプロセスのリストと比較します。一致するプロセスはすべて、taskkillコマンドを介して終了します。
HKEY_LOCAL_MACHINE
Software \ Microsoft \ Windows NT \ CurrentVersion \ Accessibility
HKEY_CURRENT_USER
Software \ Microsoft \ Windows NT \ CurrentVersion \ Image File Execution Options \ Magnify.exe
侵害されたマシン上での継続的な存在を保証するために、KlingonRATはいくつかの異なる永続化スキームを開始します。この脅威により、2つのレジストリ実行キーが作成されます。1つは現在のユーザーの下にあり、もう1つはローカルマシンにあります。 Klingon RATは、Microsoft Screen Magnifier（magnify.exe）のバイナリを乗っ取って、マルウェア自体を強制的に実行することもできます。これは、実行可能ファイルにフラグを付けて「デバッガー」ツールとして使用できるようにするイメージファイル実行オプションを介して実現されます。この手法を機能させるために、マルウェアは次の2つのレジストリキーがシステムに存在することを確認します。
Klingon RATは、「WMIC」を使用して、Windowsの起動ごとに60秒以内に破損したペイロードを開始する永続化メカニズムとして機能するイベントサブスクリプションも生成します。別の手法では、マルウェアが「WinLogon」キーを変更し、Windowsの起動時にRATを強制的に実行することができます。
最後に、Klingon RATは、「OneDriveUpdate」という名前でスケジュールされたタスクを生成します。このタスクは、システムでの永続性を維持することもできます。構成するタスクの場合、脅威は最初に「elevtor.xml」というXMLファイルをAPPDATAにドロップします。
その特権をエスカレートする
Klingon RATは、その広範な永続化技術とは別に、侵害されたシステムに対する特権をエスカレートするための同様に広範な方法を備えています。脅威はまず、2つのチェックを実行して、管理者権限がまだないかどうかを判断します。 KlingonRATは「\\\\。\\ PHYSICALDRIVE0;」を開こうとします。そして、そうしなかった場合は、「\\\\。\\ SCSI0」を開こうとします。どちらのチェックも成功しなかった場合、脅威は特権昇格ルーチンを実行します。
Klingon RATは、特定のレジストリキーを悪用し、computerdefaults.exeというプログラムを実行してプロセスを完了します。前のものと同様の別のエクスプロイトには、プログラム「Features on DemandHelper」（Fodhelper.exe）が含まれます。これは、「autoelevate」設定がtrueに設定されているバイナリです。スケジュールされたタスク「SilentCleanup」も悪用される可能性があります。攻撃者は、特権のないユーザーが開始する機能を維持しながら、可能な限り最高の特権で実行されるという事実を悪用します。 Infosecの研究者は、KlingorRATのコードでさらに別の手法である「イベントビューア」UACバイパスを発見しました。ただし、この機能は、脅威の現在のサンプルに誤って実装されているようです。
Klingon RATは、マルウェア作成者によって解き放たれる最新のGolang製品です。脅迫的なツールキットに関しては、サイバー犯罪者がこのプログラミング言語に切り替えるスレッドをさらに強化します。個々のユーザーと組織は、この新しい脅威の波に対処するために、サイバーセキュリティ戦略で適切な対策を講じる必要があります。
