Last Updated on 2024-04-18 19:33 by admin
DuneQuixoteキャンペーンは、中東の組織を対象としたマルウェア「CR4T」を使用する攻撃活動である。このキャンペーンでは、30以上のドロッパーサンプルと2つのCR4Tインプラントが確認されている。ドロッパーには、通常のバージョンと「Total Commander」の改ざんされたインストーラーファイルの2種類があり、スペインの詩のスニペットを利用して検出を回避するデコイAPI呼び出しを行う。CR4Tインプラントは、被害者のマシンでコマンドライン実行、ファイルのダウンロード、アップロード、変更を可能にする。
ドロッパーはWindows x64実行可能ファイルで、C/C++で開発されており、スペインの詩の文字列を利用して検出を回避する。また、Windows API関数のメモリオフセットを動的に解決し、C2アドレスを復号化してC2サーバーとの接続を確立する。
CR4Tインプラントは、名前付きパイプを使用してプロセス間通信を行い、コマンドとその出力をBase64でエンコードして送受信する。さらに、PowerShellを使用してスケジュールされたタスクの名前を取得するなどの機能を持つ。
キャンペーンのインフラストラクチャーは米国の商用ホスター2箇所に配置されており、被害者は中東に存在する。また、VPNの出口ノードとして機能するソースも特定された。
結論として、DuneQuixoteキャンペーンは中東の組織を標的にしたマルウェア攻撃であり、検出回避のために複数の技術が使用されている。キャンペーンの背後にいる脅威アクターは、C/C++およびGolangのバージョンのCR4Tインプラントを使用している。
【ニュース解説】
中東の政府機関を標的とした新たなマルウェアキャンペーン「DuneQuixote」が発見されました。このキャンペーンでは、30以上のドロッパーサンプルが活動的に使用されており、これらは正規のツール「Total Commander」のインストーラーファイルに紛れ込んだものや、通常のドロッパーとして機能します。これらのドロッパーは、バックドアとして機能する追加のペイロード「CR4T」をダウンロードするための悪意のあるコードを含んでいます。
このキャンペーンの特徴は、攻撃者が収集や分析を防ぐために複数の回避手法を採用している点にあります。例えば、ネットワーク通信やマルウェアコード内での高度な回避方法が実装されています。初期ドロッパーは、実行に際して実際には何の役にも立たないデコイAPI呼び出しを行い、これにより従来の検出方法を回避します。また、C2（コマンド＆コントロール）サーバーのアドレスを復号化する際には、自動化されたマルウェア分析システムによる露見を防ぐための独自の技術が用いられています。
CR4Tインプラントは、攻撃者が被害者のマシン上でコマンドライン実行、ファイルのダウンロード、アップロード、変更を行うことを可能にします。このインプラントは、cmd.exeプロセスを隠しウィンドウで起動し、名前付きパイプを通じてプロセス間通信を確立します。さらに、C2サーバーとの通信には特定のユーザーエージェントが埋め込まれています。
このキャンペーンのインフラストラクチャは米国内の2つの商用ホスターに位置しており、被害者は中東地域に存在することが確認されています。このキャンペーンは、検出を回避するための複雑な手法と、攻撃の持続性を確保するためのツールの配列を通じて、中東の組織を標的にしています。
このキャンペーンの発見は、サイバーセキュリティの分野において重要な意味を持ちます。まず、攻撃者がどのようにして検出を回避し、長期間にわたって活動を続けることができるのかについての理解を深めることができます。また、このような攻撃に対抗するためには、従来の検出手法だけでなく、より高度な分析技術や対策が必要であることを示しています。さらに、政府機関や企業が自身のセキュリティ対策を見直し、強化するきっかけとなるでしょう。
しかし、このキャンペーンは潜在的なリスクも示唆しています。例えば、攻撃者が政府機関のネットワークに侵入し、機密情報を盗み出すことができれば、国家安全保障に対する脅威となり得ます。また、この技術が他の犯罪者によって模倣され、さらに多くの組織や個人が標的となる可能性もあります。
最終的に、DuneQuixoteキャンペーンは、サイバーセキュリティの専門家が常に警戒を怠らず、最新の脅威に対応するための知識と技術を更新し続ける必要があることを改めて強調しています。また、国際的な協力と情報共有が、このような脅威に効果的に対抗するための鍵となるでしょう。
from DuneQuixote campaign targets Middle Eastern entities with “CR4T” malware.
