PLAYFULGHOST マルウェア
サイバーセキュリティの専門家は、PLAYFULGHOST と呼ばれる新たな脅威を特定しました。これは、キーロギング、画面および音声キャプチャ、リモート シェル アクセス、ファイル転送または実行機能など、幅広い情報収集機能を備えたバックドアです。
目次
Gh0st RAT とのつながり
PLAYFULGHOST は、2008 年にソース コードが漏洩して広く利用されるようになった有名なリモート管理ツールであるGh0st RATと機能的に類似しています。これは、PLAYFULGHOST の背後にいる脅威アクターが、古いツールの基盤を基にしながら、その機能を拡張するための拡張機能を導入した可能性があることを示唆しています。
初期感染経路
PLAYFULGHOST の背後にいる脅威アクターは、ターゲット システムへの初期アクセスを取得するために複数の手法を採用しています。これには、行動規範関連のテーマや SEO ポイズニング戦術を利用して LetsVPN などの正規の VPN アプリケーションのトロイの木馬バージョンを配布するフィッシング キャンペーンが含まれます。
フィッシング攻撃のシナリオでは、被害者は、誤解を招く「.jpg」拡張子を使用して画像ファイルを装った破損した RAR アーカイブを開くように誘導されます。アーカイブを解凍して実行すると、有害な Windows 実行ファイルがドロップされ、リモート サーバーから PLAYFULGHOST を取得して起動します。
一方、SEO ポイズニングは、何も知らないユーザーを誘惑して、侵害された LetsVPN インストーラーをダウンロードさせるために使用されます。このインストーラーは、実行されると中間ペイロードを展開し、バックドアのコア コンポーネントを取得してアクティブ化します。
高度な回避と実行戦術
PLAYFULGHOST は、検出を逃れ、侵害されたシステムに足場を築くために、さまざまなステルス技術を利用しています。これには、DLL 検索順序のハイジャックや、侵害された DLL を導入して復号化し、バックドアをメモリに挿入する DLL サイドローディングが含まれます。
より複雑な実行方法として、研究者は、2 つの追加ファイル (「h」と「t」) を組み合わせて不正な DLL を生成する Windows ショートカット ファイル (「QQLaunch.lnk」) の使用を観察しました。この DLL は、「curl.exe」の名前変更バージョンを通じてサイドロードされ、バックドアの秘密の展開を確実にします。
持続性とデータ収集
インストールされると、PLAYFULGHOST は複数の手法を使用して感染したシステム上に永続性を確立します。これには、Windows レジストリ (Run キー) の変更、スケジュールされたタスクの作成、Windows スタートアップ フォルダへのエントリの追加、Windows サービスとしての登録などが含まれます。
このバックドアの機能により、キー入力、スクリーンショット、音声録音、クリップボード データ、インストールされているセキュリティ ソフトウェアの詳細、システム メタデータ、QQ アカウントの認証情報など、さまざまな機密情報を収集できます。さらに、キーボードとマウスの入力をブロックしたり、イベント ログを改ざんしたり、クリップボードの内容を消去したりして、ユーザー操作を妨害するコマンドを実行することもできます。
PLAYFULGHOST にはファイル操作機能も備わっており、Sogou、QQ、360 Safety、Firefox、Google Chrome などのアプリケーションからブラウザ キャッシュやプロファイルを消去できます。さらに、Skype、Telegram、QQ などのメッセージング プラットフォームに関連付けられたプロファイルやローカル ストレージを削除することもできます。
追加ツールの導入
PLAYFULGHOST と並行して、脅威アクターが感染したシステムに対する制御を強化するために補助ツールを展開していることが確認されています。これらの中には、よく知られている認証情報ダンプツールであるMimikatzや、特定のレジストリエントリ、ファイル、プロセスを隠すように設計されたルートキットがあります。さらに、脆弱性のあるドライバーの持ち込み (BYOVD) 技術によってセキュリティメカニズムを無効にするために、Terminator と呼ばれるオープンソースユーティリティが導入されています。
少なくとも 1 つの例では、PLAYFULGHOST は、追加された Portable Executable (PE) ペイロードの展開を容易にするシェルコード ベースのメモリ内ドロッパーである BOOSTWAVE 内に埋め込まれています。
ターゲット層の可能性
Sogou、QQ、360 Safety などのアプリケーションに重点が置かれ、LetsVPN がルアーとして使用されていることから、このキャンペーンは主に中国語を話す Windows ユーザーを狙っていると考えられます。ただし、PLAYFULGHOST の高度な機能は、この特定のユーザー層を超えて、より広範囲に悪用される可能性を示唆しています。
