Sagerunex マルウェアの亜種
ロータス パンダとして知られる悪名高い脅威アクターが、フィリピン、ベトナム、香港、台湾の政府、製造、通信、メディア部門にサイバー攻撃を仕掛けていることが確認されています。これらの攻撃には、ロータス パンダが少なくとも 2016 年から利用しているマルウェア ストレインであるSagerunexバックドアの更新バージョンが関係しています。APT (Advanced Persistent Threat) グループは、長期持続型コマンド シェルを使用し、マルウェア兵器の新しい亜種を開発しながら、戦術を改良し続けています。
目次
サイバースパイ活動で有名な人物
ロータス・パンダは、ビルバグ、ブロンズ・エルギン、ロータス・ブロッサム、スプリング・ドラゴン、スリップとも呼ばれ、少なくとも2009年から活動している中国のハッキング集団と疑われている。サイバーセキュリティ研究者らは2018年6月に初めて同集団の活動を公表し、同集団がアジア全域にわたる一連のサイバースパイ活動に関与していると主張した。
注目を浴びた侵入事件の歴史
2022年後半、セキュリティ専門家は、ロータス・パンダによるデジタル認証局やアジア全域の政府機関、防衛機関への攻撃の詳細を明らかにした。これらの攻撃には、 HannotogやSagerunexなどの高度なバックドアの導入が含まれており、同グループが重要な機関を侵害する能力があることを浮き彫りにしている。
侵入ポイントは不明だが、攻撃方法はよく知られている
ロータス パンダが最新の標的に侵入するために使用した正確な手法は不明です。しかし、このグループは、最初のアクセスを得るために水飲み場型攻撃やスピアフィッシング攻撃を行ってきた経歴があります。侵入すると、攻撃者は Sagerunex バックドアを展開します。これは、 Evoraとして知られる古いマルウェアの亜種の進化形であると考えられています。
回避策：合法的なサービスの悪用
Lotus Panda に関連する最近の活動により、ソース コード内のデバッグ文字列によって識別される、Sagerunex の新しい「ベータ」亜種が 2 つ明らかになりました。これらのバージョンは、Dropbox、X (Twitter としてよく知られています)、Zimbra などの正当なサービスをコマンド アンド コントロール (C2) チャネルとして巧妙に使用しているため、検出がさらに困難になっています。
高度なバックドア機能
Sagerunex バックドアは、感染したマシンに関する詳細な情報を収集し、それを暗号化して、攻撃者が管理するリモート サーバーに流出させるように設計されています。Dropbox と X の亜種は 2018 年から 2022 年にかけて使用されていたと報告されており、Zimbra バージョンは 2019 年から運用されています。
Zimbra ウェブメールの亜種: 秘密のコントロールハブ
Sagerunex の Zimbra ウェブメール バリアントは、単なるデータ収集にとどまりません。攻撃者は Zimbra メール コンテンツを介してコマンドを送信し、侵入先のマシンを効果的に制御できます。メールに正当なコマンドが検出されると、バックドアがそれを抽出して実行します。そうでない場合、マルウェアはメールを削除し、次の指示を待ちます。実行されたコマンドの結果は RAR アーカイブとしてパッケージ化され、メールボックスの下書きフォルダーとゴミ箱フォルダーに保存されます。
完全な武器庫: 追加のツールが活躍
Lotus Panda は Sagerunex だけに依存しているわけではありません。同グループは次のような追加のツールも導入しています。
- Chrome ブラウザの認証情報を収集する Cookie スティーラー。
- オープンソースのプロキシユーティリティ、Venom。
- より高いシステムアクセスを取得するための権限昇格ツール。
- 収集されたデータを圧縮および暗号化するためのカスタム ソフトウェア。
ネットワーク偵察と制限の回避
攻撃者は、net、tasklist、ipconfig、netstat などの偵察コマンドを実行して、ターゲット環境を評価していることが確認されています。さらに、インターネット接続をチェックし、ネットワーク制限に基づいてアプローチを調整します。アクセスが制限されている場合、次の操作を試みます。
- 被害者のプロキシ設定を使用して接続を確立します。
- Venom プロキシ ツールを展開して、分離されたマシンをインターネットにアクセス可能なシステムにリンクします。
進行中の脅威
Lotus Panda の継続的な進化と洗練された戦術は、それが依然として重大なサイバー脅威であることを示しています。適応能力、ステルスのための正規サービスの利用、長期的なスパイ活動の実行能力により、アジア太平洋地域およびそれ以外の地域の組織にとって、Lotus Panda は手強い敵となっています。
