BlackTech
標的型攻撃解析レポート

NTT セキュリティ・ジャパン株式会社

本レポートの目的
NTT セキュリティ・ジャパン株式会社のセキュリティオペレーションセンター（以下 SOC）は、グローバルにおけるお客様システムを 24 時間体制で監視し、迅速な脅
威発見と最適な対策を実現するマネージド・セキュリティ・サービス（以下 MSS）を提供しています。最新の脅威に対応するための様々なリサーチ活動を行い、その結果をブ
ラックリストやカスタムシグネチャ、IOC（Indicator of Compromise）、アナリストが分析で使用するナレッジとしてサービスに活用しています。
SOC では、標的型攻撃グループ BlackTech による攻撃を多く観測しています。
BlackTech が使用するマルウェアの情報は様々な組織から公開されていますが、SOC
で 2021 年度に観測した攻撃事例をもとに、昨今の BlackTech による攻撃について情報をまとめ、今後の対策の参考として活用していただくため、ホワイトペーパーを公開
します。

1

目次
1. はじめに .................................................................. 4
2. 攻撃概要 .................................................................. 5
2.1.

スピアフィッシングメール ................................................................... 5

2.2.

脆弱性の悪用（サーバー） ................................................................... 7

2.3.

マルウェアの関連性 ........................................................................... 8

3. マルウェア解析 .......................................................... 9

4.
5.
6.
7.
8.

3.1.

Flagpro ........................................................................................... 9

3.2.

SelfMake Service ..............................................................................13

3.3.

SelfMake Loader ..............................................................................14

3.4.

HeavyROT Loader ............................................................................17

3.5.

AresPYDoor ....................................................................................21

3.6.

Spider RAT .....................................................................................23

3.7.

BTSDoor ........................................................................................30

3.8.

Gh0stTimes ....................................................................................32

3.9.

TSCookie .......................................................................................36

3.10.

ELF_TSCookie..............................................................................40

3.11.

IamDown .....................................................................................43

3.12.

ELF_Bifrose .................................................................................47

3.13.

ELF_PLEAD .................................................................................51

防衛策 ................................................................... 55
おわりに ................................................................ 56
本レポートについて .................................................. 57
参考文献 ................................................................ 58
付録 ...................................................................... 602

概要
NTT セキュリティ・ジャパン株式会社の SOC では、2021 年度も活発に標的型攻撃グループ BlackTech による攻撃を観測しています。本レポートでは、BlackTech について、以下の通り調査した結果を報告します。

⚫

BlackTech による攻撃の概要。特にスピアフィッシングの場合と、サーバーの脆弱性を悪用した場合の攻撃について。

⚫

BlackTech が使用するマルウェアの解析結果。

⚫

BlackTech による攻撃から組織を守るためのロジックの考案。

付録には、今回の調査で入手した検体のハッシュ値を記載しています。感染防止や被害を受けた端末の発見などの対策にご活用ください。

3

1. はじめに
標的型攻撃グループ BlackTech（あるいは Palmerworm、
Red Djinn、Earth Hundun、
HUAPI）は少なくとも 2012 年頃から活動しており、東アジアの組織、特に台湾と日本を標的としており、標的組織から機密情報を窃取することが目的であると考えられます。
BlackTech は様々なマルウェアファミリを使用します。Bifrose や Gh0st RAT のよ
うな一般に公開されたマルウェアも使用しますし、TSCookie や PLEAD と言ったオリ
ジナルのマルウェアも使用します。また、BlackTech は新たなマルウェアを生み出し続けており、その活動の活発さが伺えます。
SOC ではこれまでも BlackTech による攻撃を度々観測してきましたが、特に 2020
年頃から急増しており、日本の通信・防衛・メディアの複数組織に対して繰り返し攻撃が行われていることを観測しています。私たちが観測した攻撃では、日本企業の海外拠点が攻撃起点となることが極めて多く、そこから本社の重要システムなどへ侵害を広げていました。
今後も日本企業は BlackTech による攻撃に晒される可能性が高く、海外拠点を含め全社的にセキュリティ対策を実施し、攻撃から組織を守る必要があります。本稿では、
私たちが 2021 年度に観測した BlackTech による攻撃事例を中心に、日本の組織を標的とした BlackTech の攻撃キャンペーンやマルウェアを総覧し、組織を守るために必要な対策を考案するための一助となることを目指しています。

4

2. 攻撃概要BlackTech による日本の組織に対する攻撃はいくつかのパターンがありますが、一部の例外を除き、攻撃起点は以下の 2 つであることがほとんどです。

1. スピアフィッシングメール
2. 脆弱性の悪用（サーバー）

2.1. スピアフィッシングメール
私たちが観測した攻撃の多くはスピアフィッシングメールが起点となっていました。
具体的には、取引先を詐称したメールが標的ユーザーへ送られ、そのメールに添付されたファイルを開いてしまうことでマルウェアに感染します。メール文面や添付ファイルは一見すると攻撃であるとは分からないような、標的ユーザーにとって違和感のないものとなっています。SOC では、過去に標的組織の社内向け文書がデコイファイルに利用されていたことを観測しております。
添付されたファイルは 2 重拡張子の実行可能ファイルか、あるいは Microsoft Office
Word の xlsm ファイルでした。これらのファイルは RAR フォーマットなどで圧縮フ
ァイルに含まれていることも散見されます。圧縮ファイルにはパスワード保護が施されており、パスワードはメール文面に書かれています。
私たちは複数の xlsm ファイル（LAMICE と呼ばれている[1]）を観測していますが、それらは極めて類似したマクロが仕込まれており、同一のツールで作成されたものであると推測されます。

5

図 1 BlackTech が多用するマクロの例

非常に興味深いことに、Blackgear という攻撃グループが極めて類似したマクロを使用した事例が観測されています。このことから、このツールは複数の組織で共有されているか、あるいは BlackTech と Blackgear は近しいグループである可能性があります。

6

2.2. 脆弱性の悪用（サーバー）
BlackTech は こ れ ま で も 様 々 な 脆 弱 性 を 悪 用 し て 攻 撃 を 行 っ て き ま し た 。
JPCERT/CC によって公開されたブログ[2]では、BlackTech の C&C サーバー上に様々な脆弱性を悪用するためのツールがあったことが報告されています。また、複数のレポート[3][4][5]で報告されているように、Microsoft Exchange Server の脆弱性を悪用することも観測されています。
脆弱性が悪用された場合、環境に合わせてマルウェアが実行されます。そのマルウェ
アを使用して、環境情報を収集し、横展開を繰り返し、標的組織のシステム深部へと入り込んでいきます。その際、侵入ホストが Windows 環境であれば PE 版の Bifrose、Linux 環境であれば ELF 版の Bifrose など、同一のマルウェアファミリを異なるプラッ
トフォーム上で実行することが観測されています。

7

2.3. マルウェアの関連性
BlackTech は様々なマルウェアファミリを使用しますが、私たちが把握している攻撃
事例における攻撃経路とマルウェアの関係は以下のようになっています。

図 2 BlackTech が使用するマルウェアの関係性

8

3. マルウェア解析
3.1. Flagpro
Flagpro は攻撃の初期段階で使用されるマルウェア[6][7]で、攻撃環境の調査や２次検体のダウンロード・実行に使用されます。Flagpro(v1.0)は 2020 年 10 月時点で攻撃に使用されていた可能性があり、MFC(Microsoft Foundation Class)ライブラリを利用した新たな Flagpro(v2.0)は 2021 年 7 月以降で使用されていた可能性があります。
Flagpro の主な機能は以下のとおりです。

⚫

ツールのダウンロードと実行⚫

OS コマンドの実行と実行結果の送信⚫

Windows に保存された認証情報の収集と収集した情報の送信

3.1.1. COM オブジェクトの利用
Flagpro は、C&C サーバーとのアクセス処理に Internet Explorer の COM オブジェ
クトから IWebBrowser2 インターフェイスなどを使用しています。

図 3 外部アクセスにおける COM オブジェクトの利用

9

3.1.2. ダイアログ表示の自動クローズ
外部サイトにアクセスした際に Proxy 認証の確認ダイアログなどが表示された場合、
Flagpro はこうしたダイアログを自動的にクローズさせます。このダイアログの自動クローズ機能は、Flagpro が外部サイトにアクセスしたことをユーザーに気付かせないよ
うにするために実装されたものだと推測されます。

3.1.3. ダミーコードの挿入
Flagpro のプログラムの中に不要な処理であるダミーコードやダミー関数が繰り返し挿入され、コード解析に対する難読化が施されています。こうした難読化は、BlackTech が使用するマルウェアにしばしば実装されています。

図 4 ダミー関数の挿入

103.1.4. 制御コマンド
C&C サーバーから受信した制御コマンドは Base64 でエンコードされており、
Flagpro(v2.0)のデコード後のコマンドは以下の形式となっています。

図 5 Flagpro のコマンド形式

Download Command は、以下に示した形式になっており、文字列"Exec"、文字列"Yes"、そして、ダウンロード対象の URL パスで構成されています。文字列"Exec"は活動フラグであり、Download Command 1 と 2 の両方にこれが記載されていないとダウンロードや OS コマンド実行といった主要な処理が実施されません。文字列"Yes"は実行フラグであり、これが記載されていないとダウンロードしたファイルは実行されません。

図 6 Download Command 形式

3.1.5. C&C 通信
Flagpro の C&C サーバーとの通信では HTTP プロトコルを使用しており、以下の表にある通り、通信の目的ごとにアクセスする URL パスを切り換えています。また、OSコマンドの実行結果や収集した認証情報を送信する際、送信内容を Base64 方式でエンコードして、URL パラメータの値として C&C サーバーに送っています。

表 1 目的ごとの URL パスとクエリー
目的

URL パスとクエリー

制御コマンドのリクエスト/index.html

OS コマンドの実行結果の送信/index.htmld?flag=[Encoded Data]

認証情報の送信/index.htmld?flagpro=[Encoded Data]11

3.1.6. 特徴的な IoC⚫

⚫

⚫

URL パス⚫

index.htmld?flag=[Base64 Encoded String]⚫

index.htmld?flagpro=[Base64 Encoded String]

ファイルパス⚫

%TEMP%\~MY[Uppercase Hexadecimal Value (16bit)].tmp⚫

%TEMP%\~MY[Uppercase Hexadecimal Value (16bit)].tmp.exe

Mutex
⚫

71564__40Fllk293_DD71_4715_A3177782516DB5__71564_⚫

71564__40Fllk293_DD71_4715_A55778278645__71564_⚫

71564__40Fllk293_DD71_4715_A317try516DB5__71564_

12

3.2. SelfMake Service
SelfMake Service はローダーであり、感染端末上のマルウェアをロード・実行します。Windows のサービス上で動作することを前提していることが特徴です。また、後述する SelfMake Loader を実行した事例[5]が報告されています。

一部の検体では単にマルウェアをロード・実行するだけでなく、splwow64.exe というプロセスを終了し、感染端末上のマルウェアを splwow64.exe に上書きした上で実行する検体も確認されています。splwow64.exe は PrintSpooler という印刷に関連する Windows のサービスで使用されるファイルです。

図 7 splwow64 を上書きしてマルウェアを実行する処理のデコンパイル結果

13

3.3. SelfMake Loader
SelfMake Loader はマルウェアをロードして実行するマルウェア[1][3]です。過去には Spider RAT を実行した事例があります。SelfMake Loader という名前は検体に含まれる文字列に由来しており、selfmake2 又は selfmake3 という文字列が確認されています。また、MFC が利用されていることも特徴のひとつです。

図 8 IDAPro による SelfMake Loader の解析結果

図 9 IDAPro による SelfMake Loader の解析結果

これまでに発見された SelfMake Loader は実行するマルウェアのロード方法によって 2 種類に大別できます。一方は感染端末上に存在するファイルをロード・実行するパターンです。ロードするマルウェアは下記のディレクトリを順に探索し、最初に見つかったものを実行します。

⚫

SelfMake Loader の実行ディレクトリ

⚫

C:\Program Files (x86)\Common Files
14もう一方は C&C サーバーからダウンロードするパターンです。このパターンでは、
C&C サーバーからファイルを%TEMP%ディレクトリにダウンロードし、そのダウンロードしたファイルをロード・実行します。また、XOR エンコードされた Config が検体に含まれています。この Config はパイプ区切りで先頭から C&C サーバーのドメインやポート番号を表していますが、BlackTech が使用する Bifrose においても類似した形式で Config 情報を保有しています。このようなパイプ区切りの Config は BlackTechのマルウェアに共通して確認される特徴です。

図 10 SelfMakeLoader の Config

SelfMake Loader が感染端末上からロードするファイルの形式を以下に示します。
なお、下記の形式は C&C サーバーからダウンロードするファイルも同様の形式になっています。実行されるマルウェアは XOR でエンコードされており、ファイルに含まれるキーによってデコードされます。

図 11 感染端末上からロードするファイルの形式

15

また、コードの類似点から、デコードされたデータを実行する処理は GitHub で公開されているコード[8]が利用されていると考えています。
SelfMake Loader には下記の関数を呼び出している箇所が多く存在します。下記の関数は printf 関数で文字列を出力しているだけであり、特に意味のないダミーコードです。このようなダミーコードが使用されることは、BlackTech が使用するマルウェアの特徴の一つです。

図 12 SelfMake Loader のダミーコード

16

3.4. HeavyROT Loader
HeavyROT Loader はダウンローダーであり、C&C サーバーからマルウェアをダウ
ンロードし実行します。また、SelfMake Loader と同じ C&C サーバーを利用している検体が存在していることから、BlackTech に関連した検体であると考えています。後述
するように、このマルウェアには暗号アルゴリズムの RC6 やチェックサムの計算処理において、ビット演算の Rotation が使用されており、このような特徴に因んで私たちが HeavyROT Loader という名前を付けました。

C&C サーバーとの通信には HTTP 通信を用いており、サーバー側には BASIC 認証を設定できるようになっています。また、HTTPS 通信する際に認証局に関するエラー(ERROR_INTERNET_INVALID_CA)が発生した場合、証明書のエラーを無視するフラグを有効にした上で再度通信する処理が実装されていました。更に、HTTP リクエストのヘッダに付与するユーザーエージェントは、感染端末のレジストリから値を取得しています。

図 13 C&C サーバーとの通信処理

17

C&C サーバーからダウンロードするデータには、暗号化された PE 形式のデータや復号鍵生成用のシードが含まれています。また、PE 形式のデータを復号する前後でチェックサムを計算しており、そのチェックサムがダウンロードしたデータの値と一致しな
い場合、処理が途中で終了する仕組みになっています。

図 14 ダウンロードデータの形式

def calc_checksum(data):rol = lambda val, r_bits, max_bits=32: ¥(val << r_bits%max_bits) & (2**max_bits-1) | ¥((val & (2**max_bits-1)) >> (max_bits-(r_bits%max_bits)))
result = 0
for byte_val in data:
result = rol(result,0xb) + byte_val
return result
図 15 チェックサムの計算式

復号鍵生成用のシードから鍵を生成する処理は下記の通りです。
def calc_key(seed):val1 = (seed&1)|(seed<<16)&0xFFFFFFFF
val2 = (seed>>16)|(seed&0x00001000)
return ((val1<<8)&0xFFFFFFFF) | ((val2)>>8)&0xFFFFFFFF)
図 16 シードから復号用の鍵を生成する処理
18

鍵の生成後、RC6 というアルゴリズムでデータを復号します。データ復号の際、RC6 の復号ルーチンではなく暗号化ルーチンを呼び出していることが特徴です。理論
的な裏付けはとれていませんが、RC6 を通常とは逆の順序で実行しても(復号ルーチンを実行した後に暗号化ルーチンを実行しても)元のデータに戻ることが確認されています。そのため、C&C サーバーからダウンロードされるデータには攻撃者が RC6 の復号ルーチンを実行したデータが含まれており、感染端末上で暗号化ルーチンが実行されることで元の PE ファイルに戻るものと考えています。
class RC6Const:
round = 16
blocksize = 64
def get_wordsize():
return RC6Const.blocksize // 2
def get_extend_s_len():return 2 * RC6Const.round + 4
rol = lambda val, r_bits, max_bits=32: ¥(val << r_bits%max_bits) & (2**max_bits-1) | ¥((val & (2**max_bits-1)) >> (max_bits-(r_bits%max_bits)))
def init_S(key):s_len=get_extend_s_len()w=get_wordsize()
MOD = 2**w
encoded = [key]S=s_len*[0]S[0]=0xB7E15163
for i in range(1,s_len):S[i]=S[i-1]+0x9E3779B9
S[i]=S[i]%MOD
A=B=i=j=0
for _ in range(0,3*max(len(encoded),s_len)):
A = S[i] = rol((S[i] + A + B)%MOD,3,w)
B = encoded[j] = rol((encoded[j] + A + B)%MOD,(A+B)%w,w)
i = (i + 1) % s_len
j = (j + 1) % len(encoded)
return S
def rc6_encrypt(data,S):
r=RC6Const.round19w=get_wordsize()
MOD = 2**w
lgw = 5A = int.from_bytes(data[0:4],'little')
B = int.from_bytes(data[4:8],'little')
C = int.from_bytes(data[8:12],'little')
D = int.from_bytes(data[12:16],'little')
B = (B + S[0])%MOD
D = (D + S[1])%MODfor i in range(1,r+1):
t = rol(((B*(2*B + 1))%MOD),lgw,w)
u = rol(((D*(2*D + 1))%MOD),lgw,w)
A = (rol(A^t,u%w,w) + S[2*i])%MODC = (rol(C^u,t%w,w) + S[2*i+1])%MOD(A, B, C, D) = (B, C, D, A)
A = (A + S[2 * r + 2])%MODC = (C + S[2 * r + 3])%MOD
ret = [A,B,C,D]
return ret
def main():## set appropriate parameters
key = 0x68000010## set the key generated from seed in
downloaded data.
input_file = "encrypted.bin" ## set a inputdata filename.
output_file = "decrypted.bin" ## set a outputdata filename.
## initialize S
S = init_S(key)## decrypt
in_datas = open(input_file,"rb").read()i = 0
out_f = open(output_file,"wb")while i < len(in_datas):
in_data = in_datas[i:i+16]
decrypted = rc6_encrypt(in_data,S)for e in decrypted:
bin = e.to_bytes(4, byteorder="little")
out_f.write(bin)i=i+16
out_f.close()
if __name__ == "__main__":main()
図 17 PE 形式のデータの復号処理

20

3.5. AresPYDoor
AresPYDoor はバックドアの機能を有するマルウェアで、BlackTech が使用する
Bifrose と C&C サーバーが関連しているため、BlackTech と関係のあるマルウェアであると言われています[17]。GitHub で Ares という名前で公開されている Python 製
RAT[9]をベースにしており、実行形式のファイルに変換されていることが特徴です。

AresPYDoor は C&C サーバーに下記の URL でアクセスし、コマンドを受信します。

(scheme)://(host)/api/(uid)/hello
図 18 コマンド受信時の URL

なお、uid は下記コードにより生成されます。

import uuid, getpass
def get_UID(self):""" Returns a unique ID for the agent """return getpass.getuser() + '_' + str(uuid.getnode())
図 19 uid の生成処理

21

実装されているコマンドは以下のとおりです。

表 2 AresPYDoor のコマンド
ID

処理内容

cd

カレントディレクトリの移動

uploadアップロードdownload

ダウンロードpersist

永続化

clean

永続化の解除exit

AresPYDoor 自身のプロセス終了

zip

ファイル又はフォルダの ZIP 圧縮

pythonpython コードの実行

help

help の表示(上記以外)

シェルの実行

AresPYDoor の特徴の一つとして、マルチプラットフォームに対応しているという点があげられます。
下記に示しているのは永続化コマンドの一部ですが、他にも Windowsと Linux の両方で動作するように実装されている箇所が複数存在します。

図 20 永続化コマンドの処理

22

3.6. Spider RAT
Spider RAT は LAMICE や SelfMake Loader から実行される RAT[1][4]です。32bitと 64bit の検体が確認されており、同じ特徴を持った部分が多いですが、実装されている機能が分かれている為別々に紹介します。

3.6.1.

32bit

3.6.1.1. Config
Config は XOR でエンコードされており、以下の図のような情報が設定されていました。内容としては以下となります。

IP1|PORT1|IP2|PORT2|IP3|PORT3|PROXYNAME|PROXYUSERNAME|PROXYPASS|SLEEPTIME|用途不明|PERSISTENCE

私たちが確認できた検体では以下のように設定されていました。

図 21 Spider RAT Config 情報

23

3.6.1.2. 埋め込まれている DLL ファイル
.data 領域に 2 つの実行ファイル(DLL ファイル)が埋め込まれていることが確認できます。1 つは後に永続化挙動にて編集されドロップされます。単体の DLL の挙動を確認すると、C:\Windows\System32\calc.exe を実行するという挙動でした。2 つファ
イルが埋まっていますが、同じ動作をします。

図 22 Spider RAT に埋め込まれている DLL

3.6.1.3. 特徴的な文字列
デバッグ出力に特徴的な文字列が確認できます。このような文字列は 64bit 検体でも見られました。

図 23 Spider RAT の特徴的な文字列

24

3.6.1.4. 永続化挙動
Config にある PERSISTENCE の値によって以下 3 つの永続化挙動を指定出来ます。
今回の検体では下記の永続化挙動が動かない様に設定されていました。
⚫

HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run による永続化
自分自身を c:\users\public\downloads\schmet.exe にコピーし、Ofice というキーに c:\users\public\downloads\schmet.exe を設定します。

図 24 Spider RAT 永続化 125⚫

OneDrive の DLL Search Order Hijacking による永続化
自分自身を C:\programdata\schost.exe にコピーし、.data 領域に埋まっている 1 つの DLL ファイルの中にある文字列”C:\Windows\System32\calc.exe”
を”C:\programdata\schost.exe”に書き換え
c:\Users\USERNAME\AppData\Local\Microsoft\OneDrive\FileSyncFal
wb.dllにドロップします。その後、cmd /c taskkill /f /im onedrive.exe を実行します。これにより再度 OneDrive が起動した際に悪意のある FileSyncFalwb.dll が先にロードされることで C:\programdata\schost.exe を実行します。

図 25 Spider RAT 永続化 226

⚫

HKCU\Environment\UserInitMprLogonScript を利用した永続化
自分自身を c:\users\public\downloads\mpetect.exe にコピーし、
HKCU\Environment\UserInitMprLogonScript の値を
c:\users\public\downloads\mpetect.exe に設定します。これによりログオン
時に c:\users\public\downloads\mpetect.exe を実行します。

図 26 Spider RAT 永続化 327

3.6.1.5. 機能
以下は実装されているコマンドの一覧です。各コマンドは受信データの Offset 0x4と Offset 0x8 の組み合わせです。

表 3 Spider RAT 32bit のコマンド一覧
Offset 0x4

Offset 0x8

処理内容

0

2

再接続

1

1

リモートシェル起動(PowerShell)

1

10

リモートシェル終了

1

11

リモートシェルコマンド実行

1

2

リモートシェル起動(PowerShell)

1

20

リモートシェル終了

1

21

リモートシェルコマンド実行

2

0

FileManager 終了

2

1

FileManager 起動

2

6

ファイルダウンロード

2

7

ファイルアップロード

28

ファイル名変更

2

9

ファイル一覧送信2

100

ファイル削除28

3.6.2.

64bit

私たちは 64bit の検体も観測しました。32bit とは異なり実装がシンプルです。複数のスレッドを利用していますが、未実装のスレッドも確認出来ました。今後機能が拡充されるものと思われます。

3.6.2.1. Config や特徴的な文字列
Config は 32bit の様に特徴的な構造では無く、C&C サーバーの情報などはハードコードされていました。また、32bit と同じ特徴的なデバッグ出力の文字列が確認できます

図 27 Spider RAT 特徴的な文字列

3.6.2.2. 機能
以下は実装されているコマンドの一覧です。各コマンドは受信データの Offset 0x4と Offset 0x8 の組み合わせです。

表 4 Spider RAT 64bit のコマンド一覧
Offset 0x4

Offset 0x8

処理内容

1

1

コマンド実行

3

0

－

3

1

ファイルのダウンロードと実行

29

3.7. BTSDoor
BTSDoor は BackDoor の機能を有するマルウェア[6]です。過去には Flagpro によってダウンロードされ、実行された事例があります。BTSDoor という名前の由来は pdb
パスに由来しています。

BTSDoor はコマンドの受信をする前に感染端末の情報を C&C サーバーに送信します。なお、通信は AES により暗号化されています。

⚫

IP アドレス⚫

コンピューター名

⚫

ユーザー名

⚫

WindowsOS バージョン⚫

BTSDoor のプロセス ID

30

BTSDoor には下記のコマンドが実装されています。感染端末の情報送信時と同様にして、通信は AES で暗号化されています。

表 5 BTSDoor のコマンド
ID

処理内容

0x20

ファイルのアップロード

0x22

ファイルアップロードのスレッドのセマフォを解放

0x30

ファイルダウンロード用のハンドルをオープン

0x31

ファイルのダウンロード

0x33

ファイルダウンロード用のハンドルをクローズ

0x39

ShellExecuteW によるコマンド実行

0x40"Not implemented!"という文字列を返送

0x41"N"という文字列を返送

0x50

コマンドプロンプトのプロセスを起動

0x51

コマンドプロンプトのプロセスを終了

0x52

コマンドプロンプトにコマンドを送信

0x53

コマンドプロンプトのスレッドのセマフォを解放

0xA1

BTSDoor 自身のプロセスを終了

31

3.8. Gh0stTimes
Gh0stTimes はソースコードがリークされている Gh0st RAT をベースにカスタムして作成されたマルウェア[2]で、2020 年前半頃から攻撃に使用されていることを確認しています。

3.8.1. 機能の拡張と流用
Gh0stTimes では、新たに CPortmapManager クラスや CUltraPortmapManager
クラスを実装して、C&C サーバーとの通信を中継する機能を追加しています。また、
Gh0stTimes に も フ ァ イ ル 操 作 (CFileManager ク ラ ス ) や リ モ ー ト シ ェ ル(CShellManager クラス)の機能が実装されていますが、これは Gh0st RAT の実装が流用されています。

図 28 中継機能の追加

32

3.8.2. ダミーコードの挿入
Gh0stTimes のプログラムの中に不要な処理であるダミーコードが繰り返し挿入され、コード解析に対する難読化が施されています。こうした難読化は、BlackTech が使用するマルウェアにしばしば実装されています。

図 29 ダミーコードの挿入

33

3.8.3. 制御コマンド
Gh0stTimes が受信する制御コマンドには、ファイル操作やリモートシェルなどの機
能ごとにコマンドが用意されています[2]。さらに、ファイル操作に関しては、具体的な操作ごとにコマンドが割り当てられています。

表 6 機能コマンド
コマンド

内容

0x0

通信終了

0x1

ファイル操作 (CFileManager)

0x28

リモートシェル (CShellManager)

0x32

C&C サーバーリダイレクト機能 (CPortmapManager)

0x3F

プロキシ機能 (CUltraPortmapManager)

表 7 ファイル操作コマンド
コマンド

内容

0x2

ファイルリストの取得 (SendFilesList)

0x3

ファイルのアップロード (UploadToRemote)0x4

ファイルのダウンロード (CreateLocalRecvFile)0x5

ファイルのダウンロード (WriteLocalRecvFile)0x7

ファイルのアップロード (SendFileData)

0x8

アップロードの中止 (StopTransfer)

0x9

ファイルの削除 (DeleteFile)

0xA

フォルダの削除 (DeleteDirectory)

0xB

転送モードの設定 (SetTransferMode)

0xC

フォルダの作成 (CreateFolder)

0xD

ファイルのリネーム (Rename)0xE

ファイルの実行 (OpenFile(SW_SHOW))

0xF

ファイルの実行 (OpenFile(SW_HIDE))

34

3.8.4. C&C 通信
Gh0stTimes は C&C サーバーと TCP 接続し、独自のプロトコルで通信を行います。
Gh0stTimes は、最初に C&C サーバーとアクセスする際に、認証 ID を送信し、正しい認証 ID でなかった場合、認証は失敗します。
制御コマンドの送受信では、以下のような暗号化処理や圧縮処理が実施されています。
暗号化キーは、ハードコードされた元データに特定の処理を実施することで作成され、初回アクセス時にこの元データを C&C サーバーに送信しています。

表 8 Gh0stTimes の C&C 通信方式
処理

方式

暗号化

RC4 + XOR 0xAC

圧縮

Zlib

35

3.9. TSCookie
TSCookie はダウンローダー機能を有するマルウェアで、ローダーと TSCookie RAT
をダウンロードします[11]。ダウンロードされたファイルはエンコードされており、メ
モリ上に展開後デコードされ実行されます。Windows 版と Unix 系 OS 版(ELF バイナ
リ版)が存在しています。本項目では Windows 版について記載し、Unix 系 OS 版については次項で記載します。なお、ローダーや TSCookie RAT の挙動は JPCERT/CC の記事をご参照ください[10][11]。

3.9.1. DLL の復号
TSCookie を実行するとリソース領域にある RC4 で暗号化されたデータをメモリ上に展開し、復号します。復号されたデータは DLL ファイルです。なお、他の BlackTech
関連のマルウェアと同様、ダミーコードが挿入されていました。

図 30 ダミーコード
復号された DLL がメモリ上で実行されると、C&C サーバーへの通信が行われます。
通信先を含む Config は検体にハードコードされており、その Config のデータ構造は
JPCER/CC のレポートと概ね同じでした[11]。

363.9.2. ローダーのダウンロード通信
C&C サーバーへの通信に関して、まず HTTP GET メソッドによりローダーをダウンロードします。TSCookie はローダーのダウンロードの際に、RC4 で暗号化されたデー
タを C&C サーバーに送信します。JPCERT/CC のレポート[11]では Cookie ヘッダに暗号化されたデータが挿入されると報告されていますが、今回の検体では URL のパス部に暗号化されたデータが含まれていました。

図 31 GET リクエストのパケットキャプチャー

HTTP GET リクエストの URL パスは以下のような形式になっていました。URL パス
は書式文字列を元にして、swprintf()により置き換えられます。URL パスの具体例は図31 に示しています。また、暗号化されたデータは前後半に分割され、分割される位置は乱数を元に決定されます。

説明
①, ②

ランダムな 32bit 整数③, ⑤

ランダムな小文字アルファベット④

暗号化されたデータの前半部分⑥

暗号化されたデータの後半部分

図 32 URL パスの形式

37

暗号化されたデータについて、オリジナルのデータの構造は下記の通りです。既存の報告[11]から多少変化していることが確認できます。

表 9 GET リクエストで送られる暗号化前のデータ
オフセット

長さ

内容

0x00

4

システム情報から作成した 4 byte

0x04

4

0x10050017

0x08

4

0x1E9CE6A

0x0C

4

0x04

0x10

4

システム情報から作成した 4 byte

また、ローダーのダウンロード通信に関して、レスポンスの先頭 4 バイトが検体にハードコードされた値と一致しない場合、その後のモジュールのダウンロードは実行され
ません。

38

3.9.3. モジュールのダウンロード通信
TSCookie はローダーのダウンロード後、モジュールをダウンロードします。通信はHTTP の POST メソッドが利用されます。BODY 部に RC4 で暗号化されたデータが付与されます。RC4 鍵は Date の値を利用します。

図 33 POST リクエストのパケットキャプチャー

この POST リクエストはハートビートの役割もあり、約 50 秒間隔で C&C サーバーに送信されます。ただし、レスポンスの先頭 4 バイトが検体にハードコードされたバイト列と一致しない場合、次回以降送信されません。

39

3.10.

ELF_TSCookie

TSCookie の Unix 系 OS 向け ELF マルウェア[14]です。Windows 版とは異なり機能がしぼられておりますが、基本的な機能は有しています。
私たちが検出した最新と思われる検体に対象の OS が Linux だけでなく、FreeBSDの環境を目的としたものが確認されました。攻撃者は被害対象の OS の環境に合わせて対応していると考えられます。
過去の検体の詳細な解析結果が JPCERT/CC[12]にあります。こちらで紹介されている内容からコマンドの値が変更されています。

3.10.1. 特徴
file コマンドや readelf -p .comment コマンドの実行結果は以下の通りです。

図 34 ELF_TSCookie file コマンド実行結果

file コマンドの実行結果から、静的リンクされていることがわかります。また
readelf コマンドの結果から古い環境でコンパイルされたと考えられます。これは攻撃者が環境依存の問題を減らしたいものと考えられます。

40

JPCERT/CC[12]にもありますが C&C サーバーの情報などが平文で埋め込まれており、メモリ上に確保した領域へ通信先などの情報をコピーし RC4 で暗号化し後続の処理で利用しています。

図 35 ELF_TSCookie Config の取得

C&C サーバーへホストの情報を送信しています。送信内容としては、マルウェアプ
ロセスの PID、ホスト IP、ホスト名、ログイン名です。
下記の図は当該情報を取得するコードです。uname コマンドの実行結果も取得した
い意図があると思われますが、オプションが”-a00”となっており実行に失敗している
ためこちらの内容は送信されません。

図 36 ELF_TSCookie ホスト情報収集部分のデコンパイル結果

41

3.10.2. 機能
コマンド一覧は以下の通りです。JPCERT/CC[12]による解析結果から大きく変わっておりません。
表 10 ELF TSCookie のコマンド一覧
コマンド

内容

0x7200AC03

リモートシェル起動

0x7200AC04

リモートシェルへコマンド送信

0x7200AC05

リモートシェル終了

0x7200AC07－

0x7200AC0B

定数値を送信

0x7200AC0C

ファイル一覧送信

0x7200AC0D

ファイルダウンロード

0x7200AC0E

ファイルアップロード

0x7200AC10－

0x7200AC11

プロセスの終了

0x7200AC13

ファイル削除(rm -rf)

0x7200AC16

ファイル移動・ファイル名変更

0x7200AC1A

コマンド実行42

3.11. IamDown
IamDown は少なくとも 2014 年頃から使用されており、別のマルウェアをダウンロ
ードして実行する機能を有したマルウェアです。このマルウェアは、"i am mutex!"という特徴的な文字列が埋め込まれており、このマルウェアはダウンローダーであることから、私たちはこのマルウェアを"IamDown"と呼んでいます。

図 37 特徴的な文字列

これまでに発見された IamDown には、いくつかの共通した特徴が存在するため、以下に紹介します。

3.11.1. ハードコードされた特徴的な文字列
このマルウェアには、前述した"i am mutex!"という文字列とアクセス先ドメイン、
Mutex 値がそのまま埋め込まれています。Mutex 値に利用されている”)!VoqA”は、Poison Ivy のデフォルト Mutex 値[13]である”)!VoqA.I4”と先頭部分が共通していることから、IamDown は、Poison Ivy と何らかの関係があるかもしれません。

43

3.11.2. 送信
このマルウェアの通信には、Socket を利用し C&C サーバーと TCP/443 で接続します。このとき、送信データの先頭 16 バイトは固定されたデータとなっています。

図 38 通信時のキャプチャ

3.11.3.

受信

外部からダウンロードされたデータを先頭から比較し、図の赤枠に合致する場合はSocket がクローズされ、そうでない場合にデータが実行される処理となっています。

図 39 受信データの比較処理
44

3.11.4.

ファイルレス

外部からダウンロードされたデータは、ファイルとして感染ホストに保存されずに同じプロセス上の新規スレッドで実行されます。

図 40 ダウンロードしたデータの実行処理

45

3.11.5. API HashCreateMutexA や Socket 通信で利用される API などは Hash によって難読化されています。

図 41 API 名の Hash 化

46

3.12.

ELF_BifroseLinux 版の Bifrose マルウェアです。過去の分析記事[14]に記載されている検体と大きく機能は変わっておりませんが、私たちが確認した検体について紹介します。

3.12.1. 特徴
file コマンドや readelf -p .comment コマンドの実行結果は以下の通りです。古い環境でコンパイル・静的リンクされており、攻撃者は環境依存の問題を減らしたいものと考えられます。

図 42 ELF_Bifrose file コマンド実行結果

47

3.12.2. 送信データ
初回の C&C サーバー通信時には以下のようなデータが暗号化され送信されます。可変の内容は以下の通りです。
⚫

端末 IP

⚫

ホスト名

⚫

PID

図 43 ELF_Bifrose C2 サーバーへの送信データ

暗号化方式は参考情報[15]にもあるように、RC4 で暗号化されています。検体によって若干処理内容が異なります。

48

図 44 ELF_Bifrose RC4 暗号化処理部分のデコンパイル結果

初回の C&C サーバーとの通信例は以下の通りです。通信先は 80,443,8080 の様々なポート宛に通信しますが、HTTP(S)プロトコルではなく Socket 通信します。

49

図 45 ELF_Bifrose C&C サーバーへの送信データサンプル

3.12.3. 機能
その後 C&C サーバーよりコマンドを受信します。実装されているコマンドは以下の通りです。過去検体[14]と大きく変化はありません。

表 11 ELF Bifrose のコマンド一覧
コマンド

内容

0x15

ランダムデータの送信

0xC6

プロセスの終了

0xF7

リモートシェルへコマンド送信

0xF8

リモートシェル終了

0xF6

リモートシェル起動

0x82

固定値の送信

0x83

ファイルリスト送信

0x84

ファイル属性情報送信

0x85

ファイルダウンロード

0x86

ファイルアップロード

0x87

ファイルクローズ

0x89

ディレクトリ作成

0x8A

ファイル削除

0x8B

ディレクトリ削除

50

3.13.

ELF_PLEAD

PLEAD の Linux 版です。詳細な分析結果が JPCERT/CC から公開[16]されていますが、今回は新たに観測された検体について紹介します。

3.13.1. 特徴
file コマンドや readelf -p .comment コマンドの実行結果は以下の通りです。古い環境でコンパイル・静的リンクされており、攻撃者は環境依存の問題を減らしたいものと考えられます。

図 46 ELF_PLEAD file コマンド実行結果

3.13.2. Config
Config について過去検体と変更点はなく、RC4 で Config が暗号化されています。デ
コード後の Config のサンプルは以下の通りです。図の先頭 32byte が RC4 のキーで
以下 0x1AA サイズの Config となります。デコード後にあるように通信先の情報がプ
ライベート IP に設定されていました。宛先ポートも通常は利用されないと思われる
29678 ポートとなっており、これはすでに侵入した企業に合わせた Config と考えら
れます。

51

図 47 ELF_PLEAD デコード後の Config

3.13.3. 機能実装されているコマンドは以下の通りです。

表 12 ELF PLEAD のグループ番号 0 コマンド一覧
コマンド

内容

4

ランダムデータの送信

5

再接続

6

リスタート

7

終了

8

終了

9

Socket の変更

10

接続先の変更52

表 13 ELF PLEAD のグループ番号 1(CFileManager)コマンド一覧
コマンド

内容

0

ファイルリスト送信

5

ファイル属性情報送信

7

ファイル名変更

9

ファイル・ディレクトリ削除

11

ファイルアップロード

13

ファイル実行

17

ディレクトリ作成

19

ファイル移動21

ディレクトリ削除

表 14 ELF PLEAD のグループ番号 2(CFileTransfer)コマンド一覧
コマンド

内容

0

ファイル属性情報送信

3

ディレクトリ作成

6

ファイルダウンロード

7

ファイル情報送信

11

ファイルアップロード

表 15 ELF PLEAD のグループ番号 3(CRemoteShell)コマンド一覧
コマンド

内容

0

リモートシェル起動

2

リモートシェル起動

5

カレントディレクトリ変更

7

リモートシェル終了

9

ファイルリスト送信

12

ディレクトリ削除53

表 16 ELF PLEAD のグループ番号 4(CPortForwardManager)コマンド一覧
コマンド

内容

2

プロキシセットアップ

4

－

6

プロキシデータ送信

8

－

10

プロキシ接続12

Proxy 終了

54

4. 防衛策
前述したとおり BlackTech による攻撃は主に 2 種類の経路が存在します。
スピアフィッシングメールを起点とする場合、これの対策はひとえに不審なメール・
リンク・ファイルを開かないことです。BlackTech は取引先かのように巧妙に詐称したメールや添付ファイルを用いて攻撃を行いますが、送信元アドレス、メール文面、添付ファイルの２重拡張子などを注意深く判断することで、攻撃を防ぐことが可能です。また、メールセキュリティ対策製品の導入も有効な対策であり、過去に SOC では
BlackTech によるスピアフィッシングメールが検知されていることを確認しております。
サーバーの脆弱性を悪用する攻撃の場合、更新プログラムやセキュリティパッチを適用することで防衛することが可能です。
ネットワークセキュリティ製品やエンドポイントセキュリティ製品を導入し、適切に運用している場合、初期侵入が行われてしまっても、それ以降の挙動で検知することが可能なことがあります。SOC では、このような挙動を検知するカスタムシグネチャを作成しており、実際に検知して隔離することで被害を最小限に抑えた事例もあります。
BlackTech は活発に新たなマルウェアを開発していますが、その攻撃手法はあまり変化しておらず、それらを検知するようにロジックを構築することが重要となります。
スピアフィッシングメールでも脆弱性を悪用する場合でも、BlackTech は標的組織の脆弱な箇所を狙って攻撃を仕掛けてきます。特に、海外の拠点に対して攻撃が行われることが多く、自組織の体制を適切に管理することが重要となります。自組織の重要インフラが閉じたネットワークで管理されていたとしても、BlackTech はそこへ通じるありとあらゆる経路を検証し、脆弱なアタックサーフィスを見つけ出し、侵入を試みます。
また、BlackTech は同一の標的組織に対して繰り返し攻撃を行うことが知られています。1 度侵害されても、あるいは侵害を防いだとしても、以降何度も攻撃が行われる可能性があるため、逐次最新の攻撃動向をキャッチアップし、適切に対策を実施することが推奨されます。

55

5. おわりにNTT セキュリティ・ジャパン株式会社の SOC では、インシデント発生の防止、イン
シデント発生時の早期発見のためのリサーチ活動を行っています。特に、標的型攻撃に関する調査や解析は、高度な攻撃への対策として重要な手がかりとなるため、積極的なリサーチを行ってきました。
本レポートでは、
近年活発に活動している標的型攻撃グループ BlackTech について、SOC で 2021 年度に観測した攻撃事例をもとに、その活動を調査しまとめました。
BlackTech は極めて活発に日本の組織に対して攻撃を繰り返しており、今後も継続すると考えられます。SOC では引き続き BlackTech についてリサーチを続けていくつもりです。
付録には、IOC を記載しておりますので、ご活用いただければ幸いです。

56

6. 本レポートについて
レポート作成者
NTT セキュリティ・ジャパン株式会社
林匠悟、小澤文生、高井一、甘粕伸幸、小池倫太郎、田邉龍一、
澤部祐太、平尾早智澄

履歴2022 年 04 月 20 日（ver1.0）: 初版公開
2022 年 04 月 27 日（ver1.1）

57

7. 参考文献[1]

TrendMicro, "Ambiguously Black: The Current State of Earth Hundun's

Arsenal", https://jsac.jpcert.or.jp/archive/2022/pdf/JSAC2022_8_hara_en.pdf[2]

JPCERT/CC, "攻撃グループ BlackTech が使用するマルウェア Gh0stTimes",

https://blogs.jpcert.or.jp/ja/2021/09/gh0sttimes.html[3]

SEQRITE, "Everything you need to know about the Microsoft Exchange

Server Zero-Day Vulnerabilities", https://www.seqrite.com/blog/4898-2/[4]

Deep Learning for Cybersecurity, "Blue Hexagon Security Advisory:

Microsoft Exchange Server 0-days", https://medium.com/deep-learning-forcybersecurity/blue-hexagon-security-advisory-microsoft-exchange-server-0days-83f49d528d34[5]

FREEBUF, "利用 Exchange 漏洞入侵安插后门，小心数据泄露",

https://www.freebuf.com/articles/system/303176.html[6]PwC, "Back to Black(Tech): an analysis of recent BlackTech operations

and an open directory full of exploits",
https://vblocalhost.com/uploads/VB2021-50.pdf[7]

NTT Security Japan, "標的型攻撃グループ BlackTech が使用するマルウェア

Flagpro について", https://insightjp.nttsecurity.com/post/102h7vx/blacktechflagpro[8]

GitHub, "abhisek/Pe-Loader-Sample", https://github.com/abhisek/Pe-

Loader-Sample[9]

GitHub, "sweetsiftware/Ares", https://github.com/sweetsoftware/Ares[10] JPCERT/CC, "攻撃グループ BlackTech が侵入後に使用するマルウエア",
https://blogs.jpcert.or.jp/ja/2019/09/tscookie_loader.html[11] JPCERT/CC, "プラグインをダウンロードして実行するマルウエア TSCookie(2018-03-01)", https://blogs.jpcert.or.jp/ja/2018/03/tscookie.html[12] JPCERT/CC, "攻撃グループ BlackTech が使用する Linux 用マルウエア(ELF_TSCookie)", https://blogs.jpcert.or.jp/ja/2020/02/elf_tscookie.html

58

[13] Volatility Labs, "Reverse Engineering Poison Ivy's Injected CodeFragments",
https://volatility-labs.blogspot.com/2012/10/reverse-engineering-poisonivys.html[14] マクニカネットワークス, "標的型攻撃の実態と対策アプローチ 第 4 版 日本を狙うサイバーエスピオナージの動向 2019 年度下期",
https://www.macnica.co.jp/business/security/manufacturers/files/mpressionc
ss_ta_report_2019_4.pdf[15] TeamT5, "中國駭客 HUAPI 的惡意後門程式 BiFrost 分析",https://teamt5.org/tw/posts/technical-analysis-on-backdoor-bifrost-of-theChinese-apt-group-huapi/[16] PCERT/CC, "攻撃グループ BlackTech が使用する Linux 版マルウェア（ELF_PLEAD）", https://blogs.jpcert.or.jp/ja/2020/11/elf_plead.html[17] ThreatBook, "东亚黑客组织 BlackTech 针对金融、教育等行业展开攻击",http://report.threatbook.cn/BL.pdf

59

8. 付録BlackTech に関連するマルウェアについて、IOC を以下に示します。

検体ハッシュ値
ハッシュ値（SHA256）

e81255ff6e0ed937603748c1442ce9d6588decf6922
537037cf3f1a7369a8876
77680fb906476f0d84e15d5032f09108fdef8933bca
d0b941c9f375fedd0b2c9655ca39beb2413803af099879401e6d634942a169d2
f57eb30f96154a78b2ad5
e197c583f57e6c560b576278233e3ab050e38aa9424
a5d95b172de66f9cfe970
935e61aba8df5f6e80e001af0fa9c6a50c2cf50f406
8e9dd4277f2cd1297d95c
2657ca121a3df198635fcc53efb573eb069ff2535dc
f3ba899f68430caa2ffce
7da969010a55919aa66ed97a2d2d6d6a0be3d8dc615
1eeb6cebc15e4f06d4553
5a57c9d19c7fb42832085f88d92f9f57d64b1bca8f2
a19b0533a4caee1a792cc
3891fb7b3d1e5fc2d028ed3d0debe868189971b20eb
8edb295e2b8d2d0c1a02a
8bdfc1ed5bfec964050a42a0f1ddd8709fcf14fab1ede151c5a7161be904cd96
92c75df382218e7743359aa83b403e443550e766c84
74a59c9dcbd4903a4bf02
c2b23689ca1c57f7b7b0c2fd95bfef326d6a22c1508
9d35d31119b104978038b
8c3df0e4d7ff0578d143785342a8033fb6e76ce9f61
c2ea14c402f45a76ab118
dced553a6f835162f0515a41a330404466f3ca44bc4
3a2f8b5675ca28609c905
d196969b35966462fa03ef857e375e9d6172b34053b
115df04cefa3d673b9d85
ee6ed35568c43fbb5fd510bc863742216bba54146c6
ab5f17d9bfd6eacd0f796
85fa7670bb2f4ef3ca688d09edfa6060673926edb3d
2d21dff86c664823dd609
01581f0b1818db4f2cdd9542fd8d663896dc043efb6
a80a92aadfac59ddb7684

説明
FlagproFlagproFlagproFlagpro
SelfMake Loader
SelfMake Loader
SelfMake Loader
SelfMake Loader
SelfMake Loader
SelfMake Loader
SelfMake Loader
Spider RAT
Spider RAT
Spider RAT
Spider RAT
BTSDoor
BTSDoor
Gh0stTimes60

13c19132f7c0c2c02f4070eca9367bdf8ab2bf59c59
93c6e853584ac215857c7
638cfbe609d7f3e88767133be5ea5f9a75f1d703275
f38eb9ec2414e179483b9
0e0198d3409e8dccf2ba1eeed41f56e24b633188230
ed062a43fac0517e8da8f
3802fe08235724a1c8f68563aa1166e509aeb27c59c
008dccace5e2513b03375
994b294eac5d099392621e6c813694bc254a7d77471
7709ee3b67211df10d963
42416e73ebc0b776c726e6075fa73bb418f24b53b0b
2086141a2aba22301ec6a
d8500672e293ef4918ff77708c5b82cf34d40c440d5
a4b957a5dbd3f3420fdc4
0a06d4dc8d5be03cc932b74758f0004aeaa6cdf1480
6635b9452b5c4db900184
a914c729e4816fb49c8b9830694be385460c2cc366b
f1ab1410e84295cfa0946
0478fe3022b095927aa630ae9a00447eb024eb862db
fce3eaa3ca6339afec9c1
4549745d0bbc9b4c16c815927e7720258cd64bb3dcc
76e6f850c845d603cca13
a394250a66dede23931b9bb5d5aced5d32ab171b1f2
8382305d9c942859ef5d1
4dc515a288be6e64b006fe418c5477bd0982ce801e829d8299ee0eb949b20dc2
f32318060b58ea8cd458358b4bae1f82e073d1567b9
a29e98eb887860cec563c
4991c98c55bfa0b269b05b8e2f0944edb85ddc1d2ba
4dffe0cbf9a7b89a98911
76bf5520c19d469ae7fdc723102d140a375bb32f64b
0065470238e6c29ac2518
e4d837dc1a700bf71b218e41ed50abdbb2ba0352394
504a0cdaa12948d3daf2f

TSCookie
ELF_TSCookie
ELF_TSCookie
ELF_TSCookie
IamDown
IamDown
IamDown
IamDown
ELF_Bifrose
ELF_Bifrose
SelfMake Service
SelfMake Service
SelfMake Service
HeavyROT Loader
HeavyROT Loader
AresPYDOOR
ELF_PLEAD

61