Fighting to LODEINFO
Investigation for Continuous Cyberespionage
Based on Open Source

Ryo Minakawa, Daisuke Saika, Hiroki Kubokawa @ NFLaboratories.

whoamiRyo Minakawa

Daisuke Saika

Hiroki Kubokawa

APT / Malware Hunter

Malware Analyst

CTI Analyst

Copyright © 2023 N.F.Laboratories Inc.

1

Agendaはじめに
これまでの LODEINFO キャンペーン
調査とハンティング方法
2022年以降のTTPsの変化
攻撃者グループの考察
限界とまとめCopyright © 2023 N.F.Laboratories Inc.

2

はじめに

Copyright © 2023 N.F.Laboratories Inc.

3

Overviewn

LODEINFO マルウェアを利用したキャンペーンの共有ppn

2019年末から約3年間継続的に利用背景に中国国家支援のAPTグループがいると言われている (APT10 説)

本講演で伝えたいことppp

最新の LODEINFO マルウェアの分析結果
オープンソースベースでの標的型攻撃の防御およびハンティングロジック構築方法
攻撃者グループに関わる新たな視点での考察

https://blogs.jpcert.or.jp/ja/2021/02/LODEINFO-3.html

Copyright © 2023 N.F.Laboratories Inc.

4

Overviewn

LODEINFO マルウェアを利用したキャンペーンの共有ppn

2019年末から約3年間継続的に利用背景に中国国家支援のAPTグループがいると下2つをより濃密に話します
言われている ( APT10 説 )本講演で伝えたいことp

最新の LODEINFO マルウェアの分析結果
オープンソースベースでの標的型攻撃の防御およびハンティングロジック構築方法☛☛ 攻撃者グループに関わる新たな視点での考察
pp

https://blogs.jpcert.or.jp/ja/2021/02/LODEINFO-3.html

Copyright © 2023 N.F.Laboratories Inc.

5

こ れ ま で のLODEINFO
キ ャ ン ペ ーン

Copyright © 2023 N.F.Laboratories Inc.

6

LODEINFO の概要
n

日本への標的型攻撃で使用されるファイルレスRAT
p
p
p
p
p

n

標的セクター: 安全保障, 国際政治, 外交, メディア
スピアフィッシングメールに添付される形式で配信
2019年末から継続的にアップデート
マルウェア内部に存在するバージョン情報が頻繁に更新
C2サーバを日本にIP GeolocationがあるVPS,
Hosting service に立てる傾向 (Vultr, CHOOPA, LINODE)

本マルウェアを利用したオペレーションの背景にAPT10がいるという考察が多いp

過去に使用されたマルウェア(bisonal など)との類似性 (version 情報の埋め込み)p

TTPs の類似性 (Spear-Phishing, DLL Side-Loading)

Copyright © 2023 N.F.Laboratories Inc.

7

2022年までのタイムライン
2019年12月に初観測以降、継続的にアップデートされながら標的型攻撃に利用されている※検体未確認v0.1.2v0.3.5v0.2.7n rm コマンドn C2 通信のn LODEINFO

データ
フォーマットを一部変更

マルウェアの初観測
n Rundll32.exe

を利用した
LOLBAS で
DLL を実行v0.3.2n print コマンド追加, 実装n ransom,

keylog のコマンドも追加されるが機能は未実装v0.4.6n ransom,v0.5.6v0.4.9n mv, cp,

keylog
コマンドの
機能実装

mkdir
コマンド追加,実装

n ps, pkill

難読化実装
n C2 通信のサイドロード形式へ変更

12月

暗号化機能を
追加実装

2020年

2019年
4月

5月

n confign コマンドのn 実行フローを DLL

11種類

comc コマンド追加, 実装コマンドが追加 (未実装)

コマンド追加,実装

追加, 実装n コマンドはn autorun,

2021年
12月

4月

Copyright © 2023 N.F.Laboratories Inc.

11月

8

v0.1.2

LODEINFO の感染/実行フローnn

悪性マクロを実行後にドロップされる
DLL を RunDll32.exe から実行 (LOLBAS)LODEPNG というオープンソースのコードの中に悪性コードを埋め込んでビルドphttps://github.com/lvandeve/lodepngppdb の情報も残留

実行

ドロップ

ロード

LODEINFO

RunDll32.exe

インジェクションn

Shellcode は末尾 1byte を利用したSingle Byte XOR で暗号化されているp

現在も shellcode の暗号化手法に変化なし

Copyright © 2023 N.F.Laboratories Inc.

svchost.exe

9v0.1.2

C2通信のデータフォーマット
Header 部分と Main Data 部分をそれぞれ固有のデータフォーマットで作成し、カスタムBase64でエンコードして送信。SHA-512/128 で想定した検体の通信かを検証
Customized Base64 Encode

Customized Base64 Encode

送受信される
データ形式

HeaderMain Data

AES Key
SHA512/128

Data
size

N/A

Raw
data
size

AES Key
SHA512/384

オフセット

サイズ（byte）

0x00

16

AESキーのSHA512の先頭16byte

0x10

4

メインデータ部分をbase64エンコードしたサイズ

0x14

1

N/A

0x15

48

ペイロードのRaw DataのSHA512の先頭48byte

0x45

4

ペイロードのサイズ

0x49

可変長

Payload説明

ペイロード

Copyright © 2023 N.F.Laboratories Inc.

10

v0.1.2

C2通信のデータフォーマット
Header 部分と Main Data 部分をそれぞれ固有のデータフォーマットで作成し、カスタムBase64でエンコードして送信。SHA-512/128 で想定した検体の通信かを検証
Customized Base64 Encode

Customized Base64 Encode

送受信される
データ形式

Raw=> QuickLZ 圧縮 =>AES
AES256(CBC)の順でデータを処理
AESRaw
Key DataData
Key
data
N/A
Payload
SHA512/384
SHA512/128
size
size

オフセット
0x00

HeaderMain Data

0x10

サイズ（byte）
AES のKEYとIVは

説明

16
AESキーのSHA512の先頭16byte
検体ごとに固有の値がHardcode
されている
4
メインデータ部分をbase64エンコードしたサイズ

0x14

1

N/A

0x15

48

ペイロードのSHA512の先頭48byte

0x45

4

ペイロードのサイズ

0x49

可変長

KEY

IV

ペイロード

Copyright © 2023 N.F.Laboratories Inc.

11

v0.1.2

Beacon 送信データのサンプル

Header以降はMain Data

POST パラメータ名は検体内部に Hardcode

3文字分のみ変更した
カスタム Base64

Payload の平文 = “実行時間のUNIXTIME|ANSIコード|MACアドレス|コンピュータ名”

Copyright © 2023 N.F.Laboratories Inc.

12

v0.1.2

RAT コマンド一覧
コマンド

機能

MZ

PEファイルを実行

0xE9

shellcode を実行

command

利用可能なコマンド一覧を返す

cd

カレントディレクトリの変更

ls

ファイル一覧

send

ファイルのダウンロード

recv

C2へのファイル送信

cat

C2へのファイルの送信

memorysvchost へシェルコードをインジェクト

kill

指定したプロセスの停止

verバージョン情報の送信

Copyright © 2023 N.F.Laboratories Inc.

13

v0.2.7

C2通信データフォーマットの変化
n

通信の復号スクリプト公開後の次のVersionでデータフォーマットが変化☛ これまでのスクリプトでは正常に復号不可に

n

オープンソースから v0.2.7 のサンプルを収集できていないが、我々で確認できた v0.3.2 以降でも同様のフォーマットとなっているため正しいものと思われる

snip.

https://blogs.jpcert.or.jp/ja/2020/06/LODEINFO-2.html

Copyright © 2023 N.F.Laboratories Inc.

14

v0.2.7

C2通信データフォーマットの変化
Main Data のサイズ部分のみ1 byte XORの暗号化処理とその鍵が追加
Customized Base64 Encode

Customized Base64 Encode

送受信される
データ形式

HeaderMain Data

AES Key
SHA512/128

Data
size

N/A

Enc.
data
size

AES Key
SHA512/384

XOR
Key

Payload

オフセット

サイズ（byte）

説明

0x00

16

AESキーのSHA512の先頭16byte

0x10

4

メインデータ部分をbase64エンコードしたサイズ

0x14

1

N/A

0x15

48

ペイロードのSHA512の先頭48byte

0x45

4

ペイロードのサイズをSingle byte key でXORしたデータ

0x49

1

Single byte XOR key

0x4A

可変長

ペイロード

Copyright © 2023 N.F.Laboratories Inc.

15

v0.3.2

LODEINFO の実行フローの変化n

悪性マクロから正規の署名付き実行ファイルとLODEINFO のDLL shellcode loaderをドロップし、
DLL Side-Loading を起点に実行
pp

中国のAPTグループがよく用いる
検知回避技術の取り入れドロップ

ドロップと実行

正規実行ファイルのMD5:
1871402d3c83b2e15bf516d754458bd4

ロード
SfsDll32.dll

以降、同ハッシュ値の実行ファイルは
サイドロードのために継続的に使用される

SfsDllSample.exe

on memory

LODEINFO

Copyright © 2023 N.F.Laboratories Inc.

16

v0.5.6

さらなるC2通信データフォーマットの変化

v0.5.6より前

Customized Base64 Encode

Customized Base64 Encode
AES Key
SHA512/128

Data
size

N/A

AES Key
SHA512/384

Customized Base64 Encode

v0.5.6
以降

Enc.
data
size

XOR
Key

PayloadCustomized Base64 Encode

Encryption
AES Key
SHA512/128

Data
size

N/A

データ構造はそのままにHeader部分を暗号化

AES Key
SHA512/384

☛

Enc.
data
size

XOR
Key

Payload

再びスクリプトの改修が必要

Copyright © 2023 N.F.Laboratories Inc.

17

v0.5.6

Beacon データの変化

Header以降はMain Data

オフセット

サイズ（byte）

0

4

データサイズ4

4

ダミーデータのサイズ

Header 復号に利用するための共通鍵と末尾にダミーデータ追加

説明

Payload の平文収集した環境情報
0x11

任意“実行時刻のUNIXTIME文字列|ANSIコード|MACアドレス|
コンピュータ名#換字式暗号の鍵” の形式

データサイズ + 27

任意

使用しないカスタムBase64(ダミー)のデータ

Copyright © 2023 N.F.Laboratories Inc.

18

v0.5.6

Header の暗号化処理

Header以降はMain Data
検体固有に Hardcode

Main Data の末尾
鍵長文を取得POST パラメータに設定し、これを鍵として Header を同様の処理で暗号化

文字列のインデックスをベースにした換字式暗号※ 復号スクリプトは Appendix D にあるGithubで公開

Copyright © 2023 N.F.Laboratories Inc.

19

RAT コマンドに 2byte XOR の追加

v0.5.6

検体のコマンド識別の文字列がコマンドごとに異なる 2bytes XOR で格納されるよう変更

コマンド文字列格納部分

コマンド文字列比較部分 (ls)コマンド文字列比較部分 (command)

Copyright © 2023 N.F.Laboratories Inc.

20

RAT コマンドに 2byte XOR の追加

v0.5.6

検体のコマンド識別の文字列がコマンドごとに異なる 2bytes XOR で格納されるよう変更

コマンド文字列格納部分

コマンド文字列比較部分 (ls)コマンド部分を特徴として捉えていた
コマンド文字列比較部分 (command)
シグネチャでは検知が難しくなる

https://github.com/JPCERTCC/jpcert-yara/blob/main/other/lodeinfo.yara

Copyright © 2023 N.F.Laboratories Inc.

21

タイムラインのまとめ
n

デコイ文書の作り込みやC2サーバのIP Geolocationからも、日本に対する攻撃へのモチベーションが非常に高いオペレーションであるn

アップデートを繰り返しながら継続的に使用され続けているpn

2022年以降も使用される可能性が極めて高い

TTPs の変化が激しい
p

p

ツールによる解析やシグネチャマッチを回避するための工夫が継続して行われ続けている
事後のIoC, シグネチャをそのまま適用して運用するだけでは、
この脅威を捕捉できない可能性が高い

Copyright © 2023 N.F.Laboratories Inc.

22

調査とハンティング方法

Copyright © 2023 N.F.Laboratories Inc.

23

調査のモチベーションn

自組織にとって潜在的な脅威となりうる存在への対抗
pp「レポートを読んでおしまい」ではなく、継続してその脅威を観測し、最新の攻撃も追従できるようにしたい
代表的な一つの存在、LODEINFO を利用した攻撃キャンペーンn

しかし、我々では生のインシデント事例を扱うことは難しいn

オープンソースの脅威情報を起点としてできること☛ オープンソースの情報源を活用して脅威の片鱗を検出することを目指す!!
pp
p

外部公開されたIoCから継続的な観測レポートを深掘りして具体的な検知ロジックの作成
アクティブな脅威情報収集および共有

Copyright © 2023 N.F.Laboratories Inc.

24

脅威情報の収集源
Twitter

インテリジェンスの不法投棄場。幅広い情報収集や第一報の素早い捕捉に利用

ANY.RUN & Hybrid Analysis

VirusTotal

投稿されている検体を眺めて掘り出し物探索、Yara rule
ハンティングの実施

大規模データからリアルタ
イムの Yara ruleハンティ
ング、検体のダウンロード(年に 200万円課金)

Copyright © 2023 N.F.Laboratories Inc.

25

Twitter での脅威情報監視Twitter 公式クライアントは難易度が高いので、TweetDeck で鍵リストと常に追いたいキーワードを置いて監視

Copyright © 2023 N.F.Laboratories Inc.

26

VirusTotal の活用
IoC, レポートをもとに検体をVirusTotalから収集、マルウェア解析を行い Yara rule を作成して Livehunt 機能でマルウェアハンティング☛ ワークする rule は自組織の検知ロジックへ組み込み

https://www.virustotal.com/

Copyright © 2023 N.F.Laboratories Inc.

27

DLL の特徴から Yara rule 作成は可能か?
SfsDll32.dll を模した shellcode loader は内部処理に大きな変更が入る

v0.3.5

XOR 復号の処理

v0.5.6Loader は単純な作りであるため変更が容易であり、コードの特徴を捉えたつもりでも更新後のバージョンを捕捉できない事例が発生(※)※ 1 byte XOR なので brute force する手法もあるが、RAT コマンド変更のような 2 byte XOR に変更されると対応できない

Copyright © 2023 N.F.Laboratories Inc.

28

レポートからより変更が少ない TTPs を探すn

LODEINFO の Loader は正規の実行ファイルのデフォルトの実行パスから Side-Loading される

n

悪用された正規の実行ファイルは確認されているもので2つのみ
p

SfsDllSample.exe: 2020/05 ~ 2021/12

p

K7SysMon.exe: 2022/03 ~https://www.macnica.co.jp/business/security/
cyberespionage̲report̲2021̲6.pdf

Copyright © 2023 N.F.Laboratories Inc.

29

レポートからより変更が少ない TTPs を探すn

LODEINFO
1つの仮説: の Loader は正規の実行ファイルのデフォルトの『Loader の内部処理の変更よりも実行パスからside loading される
悪用する正規ファイルの変更の方が変更が困難である可能性がある』

悪用された正規の実行ファイルは確認されているもので2つのみ

☛

n

p
p

SfsDll32.dll: 2020/05~ 2021/12
Side-Loading
される可能性のあるファイルを全て捕捉して検証
K7SysMn1.dll: 2022/03 ~https://www.macnica.co.jp/business/security/
cyberespionage̲report̲2021̲6.pdf

Copyright © 2023 N.F.Laboratories Inc.

30

デフォルト実行パスからロードされる関数の特定n正規の実行ファイルのデフォルト実行パスからのコードを静的解析

nK7SysMn1.dll の side load 時に読み込まれる関数は“StartSystemMonitor” 関数のみ☛
StartSystemMonitor 関数がexport table に必須!

Copyright © 2023 N.F.Laboratories Inc.

31

File search modifiers による検証
export tableに ”StartSystemMonitor” の関数名が存在するファイルは3ヶ月で 4 件ほど☛ ルールとして運用可能な範囲の検知数

entity: 検索対象のタイプ
exports: PE のexportsに存在する関数名の指定
fs: 初投稿日時の指定

Copyright © 2023 N.F.Laboratories Inc.

32

Yara rule 作成とハンティング
Cheap なルールだが LODEINFO の潜在的な脅威をハンティング可能に☛ v0.5.9 の事例から運用を開始 v0.6.3 までの検体まで検出”MZ” からデータが始まり
export table に ”StartSystemMonitor” が含まれるファイルを v0.5.9 以降の LODEINFO 候補とする

Copyright © 2023 N.F.Laboratories Inc.

33

ハンティング => 解析 => 蓄積の半自動化

手動作業

Copyright © 2023 N.F.Laboratories Inc.

34

インテリジェンスの蓄積
自動解析とアナリストの分析結果を OpenCTI へ蓄積し、継続的な調査や大規模データをもとにした相関分析ができる形式へ変換

Copyright © 2023 N.F.Laboratories Inc.

35

インテリジェンスの蓄積
自動解析とアナリストの分析結果を OpenCTI へ蓄積し、継続的な調査や大規模データをもとにした相関分析ができる形式へ変換

Copyright © 2023 N.F.Laboratories Inc.

36

Hybrid Analysis の活用
VirusTotal がなくても、自作ルールの精度検証と簡易的なハンティングが可能

Yara rule
精度検証

https://www.hybrid-analysis.com/yara-search

Copyright © 2023 N.F.Laboratories Inc.

37

ANY.RUN の活用
ANY.RUN は詳細な検索条件の指定と検体のダウンロードができるため、標的型検体らしきものを観測できる場合がある (要訓練)実行タイプ

投稿された国

悪性判定

ファイルタイプhttps://app.any.run/

Copyright © 2023 N.F.Laboratories Inc.

38

ANY.RUN の活用

ANY.RUN に投稿された LODEINFO

Copyright © 2023 N.F.Laboratories Inc.

39

ANY.RUN の活用

ANY.RUN に投稿された LODEINFO
スクリーンショットでもデコイファイルの異様さを感じ取ることができる

Copyright © 2023 N.F.Laboratories Inc.

40

2 0 2 2年 以 降 のT T P s の 変化

Copyright © 2023 N.F.Laboratories Inc.

41

2022年のタイムラインと傾向nnInitial Access の手法, 標的セクターに大きな変化はなし
p

スピアフィッシングメールにマルウェアを添付pメディア, 安全保障のセクターに対する攻撃を継続して確認

DLL Side-Loading に使用する正規の実行ファイルを変更
pn

約1年半使用し続けた “SfsDllSample.exe” から “K7SysMon.exe” へ

LODEINFO マルウェアのコマンドの一部と実行フローについては変化が見られた
v0.6.5v0.6.2v0.6.3https://www.macnica.co.jp/business/security/cyberespionage̲report̲2021̲6.pdf

v0.5.9

2021年

3月

4月

6月

2022年

Copyright © 2023 N.F.Laboratories Inc.

2023年

42

C2サーバのホスティング情報n

インフラストラクチャの傾向に変化はなし
pVultr, CHOOPA, LINODE などのホスティングサービスを利用

p

IP Geolocation も継続して Japan が多い
C2

version

Hosting service

location

45.77.28[.]124

v0.5.9, v0.6.2

Vultr

Ōi, Saitama, Japan

172.105.223[.]216

v0.6.2, v0.6.5

LINODETokyo, Tokyo, Japan

202.182.108[.]127

v0.6.2, v0.6.5

CHOOPAŌi, Saitama, Japan103.175.16[.]39

v0.6.3

Mondoze

Kuala Lumpur, Kuala Lumpur, Malaysia

5.8.95[.]174

v0.6.3G-Core Labs S.A.

Urayasu, Tokyo, Japan

172.104.112[.]218

v0.6.5

LINODE

Ōi, Saitama, Japan

Copyright © 2023 N.F.Laboratories Inc.

43

API hash アルゴリズムの変更(2022/3)

v0.5.9API hashing アルゴリズムを JSHash ベースのアルゴリズム + XOR へ変更☛

解析時に XOR Key の抽出が必須に
v0.5.9 より前

v0.5.9 以降

CRC32

Justin Sobel hash Based Hashing
Copyright © 2023 N.F.Laboratories Inc.

44

v0.6.2

Beacon payload の変更(2022/4)
snip.

Header以降はMain Data

オフセット

サイズ
（byte）

04

データサイズ4

4

ダミーデータのサイズ

説明収集した環境情報

Beacon のフォーマットにversion 情報が追加

0x11

任意

“実行時刻のUNIXTIME文字列|ANSIコード|MACアドレス
コンピュータ名#換字式暗号の鍵-バージョン” の形式

データサイズ + 27

任意

使用しないカスタムBase64(ダミー)のデータ

Copyright © 2023 N.F.Laboratories Inc.

※ v.0.5.9 にもそれらしきコードは存在するが、実装にバグがある

45

memory コマンドの機能追加(2022/4)

v0.6.2

64bit shellcode への対応
nshellcode の先頭 1byte 目を確認

n0x8D の場合は 0xE9 へ置換し64bit shellcode として実行

Copyright © 2023 N.F.Laboratories Inc.

46

ロケールによる環境情報チェック(2022/4)
Locale チェックなし

該当コード

v0.6.2

ja-JP チェック

en-US チェック

snip.

snip.

snip.

snip.

後期の v0.6.2
MD5 hash値

動作概要

016a974e70bbce6161862e0ac01a0211

da1c9006b493d7e95db4d354c5f0e99f

ff71fadc33b883de934e632ddb4c6b78

ロケール情報をチェックせずに、永続化以降の処理を実行

端末のロケール情報が ja-JP でない場合はこの関数を無限ループ

端末のロケール情報が en-US の場合はこの関数を無限ループ(v0.6.3 以降も使用)

v0.6.2 の検体の中でも動作に差異あり☛

同一バージョン = 基本動作が同じとは限らない

Copyright © 2023 N.F.Laboratories Inc.

47

v0.6.3

コマンド削除 (2022/6)
実装コマンド本バージョンから削除されたコマンド
コマンド

機能

コマンド

機能

ls

ファイル一覧

command

使用可能なコマンド一覧を表示

rm

指定したファイルの削除

config未実装 (“Not available.” を返す)

mv

ファイルの移動cd

カレントディレクトリの変更

cp

ファイルのコピーsend

ファイルのダウンロード

cat

C2へのファイルの送信

recv

C2へのファイル送信

mkdir

ディレクトリの作成

memorysvchost へシェルコードをインジェクト

keylogキーロガー有効化kill

指定したプロセスの停止

ps

プロセス一覧の取得

ver

バージョン情報の送信

pkill

指定したプロセスの停止

print

スクリーンショットの取得

autorun

永続化の設定/解除

ransom

指定したファイル、ディレクトリの暗号化

コマンド数が 21 => 11 へ減少

comc

WMIを利用したコマンド実行

Copyright © 2023 N.F.Laboratories Inc.

48

v0.6.3

実行フローの変化1 (2022/6)
SFX & DLL Side-Loading

Side-Loading
XOR デコード
展開

1.docx

デコイの表示K7SysMn1.dll

K7SysMon.Exe

実行

on memory

LODEINFO

Copyright © 2023 N.F.Laboratories Inc.

49

v0.6.3

実行フローの変化2 (2022/6)
SFX & DLL Side-Loading& BLOB

Side-Loading展開

4.docxK7SysMon.Exe.db K7SysMn1.dll

K7SysMon.Exe

実行

デコイの表示on memory
XOR デコードLODEINFO

Copyright © 2023 N.F.Laboratories Inc.

50

v0.6.5

v0.6.5 の詳細な変化(2022/6)
v0.6.5v0.6.3

無駄なコードを挿入することによる擬似的なsleep機能の実装

Copyright © 2023 N.F.Laboratories Inc.

51

v0.6.5

v0.6.5 の詳細な変化(2022/6)
v0.6.5v0.6.3

ランダム時間経過するまでランダム文字列のSHA256を計算し続ける

無駄なコードを挿入することによる擬似的なsleep機能の実装

Copyright © 2023 N.F.Laboratories Inc.

52

v0.6.5

実行フローの追加 (2022/6)
shellcode2vba.py

DLL Side-Loading から実行フローを変更したが、著名なツールの出力をほぼ流用しているように見えるため脅威の検出は難しくないと思われる
https://github.com/DidierStevens/DidierStevensSuite/blob/master/shellcode2vba.py

新たな LODEINFO の実行フローとして
VBA の shellcode downloader の報告
https://securelist.com/apt10-tracking-down-lodeinfo-2022-part-i/

Copyright © 2023 N.F.Laboratories Inc.

53

v0.6.5

実行フローの追加 (2022/6)
実行

ダウンロードwinword.exe
実行decoy.doc

C2 sever11554.htm

プロセス作成blob.tmp
読み込み
デコード

on memory

msiexec.exe

on memoryshellcode 実行

malicious vba

Downloader

インジェクションLODEINFO

Side-Loading はしなくなったが、LODEINFO 側での永続化に失敗するためおそらく恒久的な変更ではなく突発的な変更☛

検知回避の試行のフェーズであり、今後も大きく TTPs が変化する可能性が大きい

Copyright © 2023 N.F.Laboratories Inc.

54

攻撃者グループの考察

Copyright © 2023 N.F.Laboratories Inc.

55

v0.6.3 の TTPs の変化から見えることn

中国のAPTグループが好んで使用する3点セット方式へ進化『正規署名付き実行ファイル + DLL shellcode loader + 暗号化シェルコードファイル』

☛
p
p
p

n

PlugX
ShadowPad
HUI Loader

特にsfx fileを利用した攻撃手法は、
2018年5月に報告された APT10 の攻撃事例に酷似
https://www.lac.co.jp/lacwatch/people/20180521̲001638.html

Copyright © 2023 N.F.Laboratories Inc.

56

v0.6.3 の TTPs の変化から見えること
デコイファイル外観n

中国のAPTグループが好んで使用する3点セット方式へ進化『正規署名付き実行ファイル + DLL ローダー + 暗号化シェルコードファイル』

☛
p
p
p

n

【参考】 v0.5.9 のデコイファイル

PlugX
ShadowPad
HUI Loader

特にsfx fileを利用した攻撃手法は、
機械翻訳と手の抜き方に
2018年5月に報告された APT10 の攻撃事例に酷似
LODEINFO に近いものを感じさせる☛ デコイファイルに類似点はあるか?
Copyright © 2023 N.F.Laboratories Inc.

57

デコイファイルの表層情報の調査
オープンソースから発見できたデコイファイルは以下の6つ
DLL shellcode loader

Decoy file

検体番号
MD5

Version

MD5

備考

1

e7c9d5568ed5c646c410e3928ab9a093

v0.3.5c031b786cb0a7479cc72d299dab2f0e3

N/A

2

327d8070a583bdecc349275b1f018dce

v0.3.6bca533b3336240bc5cc68117408debdf

N/A3

e6979fdd5f92d68cbbf06889f52f4f32

v0.5.6

1871402d3c83b2e15bf516d754458bd4

N/A

4

cb2fcd4fd44a7b98af37c6542b198f8d

v0.5.9da20ff8988198063b56680833c298113

N/A

5

a8220a76c2fe3f505a7561c3adba5d4av0.6.3

bfb70a586ad1a60509dcea8839132662

sfx ファイルに同封

626892038ab19c44ba55c84b20083cdbd

v0.6.3025aa0aeb7ed182321bc21e5c9f44fc4

sfx ファイルに同封

Copyright © 2023 N.F.Laboratories Inc.

58

デコイファイルの表層情報の調査
各ファイルのタイムスタンプだけ抜き出して表示
検体番号

First Submission
Time for DLL (JST)DLL shellcode loader

Decoy fileCompilation
Timestamp (JST)VersionCreation Time (JST)Last Modified
Time (JST)1

2020/05/20 (Wed) 14:49

2009/02/20 (Fri) 23:27

v0.3.52020/05/18 (Mon) 11:08

2020/05/19 (Tue) 12:07

2

2020/05/26 (Tue) 18:00

2009/02/21 (Sat) 03:25

v0.3.62020/05/25 (Mon) 12:25

2020/05/26 (Tue) 16:20

32021/11/09 (Tue) 14:55

2019/01/04 (Fri) 17:18

v0.5.62021/08/26 (Thu) 15:37

2021/11/06 (Sat) 05:31

42022/03/07 (Mon) 16:15

2021/04/16 (Fri) 02:40

v0.5.92021/08/26 (Thu) 15:37

2022/03/03 (Thu) 21:21

52022/06/17 (Fri) 20:53

2021/08/19 (Thu) 02:58

v0.6.32022/06/14 (Tue) 11:43

2022/06/14 (Tue) 11:47

62022/07/07 (Thu) 21:00

2021/10/24 (Sun) 01:46

v0.6.32022/07/04 (Mon) 14:01

2022/07/04 (Mon) 14:01

Copyright © 2023 N.F.Laboratories Inc.

59

デコイファイルの表層情報の調査
VirusTotal での初観測日時とデコイファイルの最終編集時刻がほぼ一致
検体番号

First Submission
Time for DLL (JST)DLL shellcode loader

Decoy fileCompilation
Timestamp (JST)VersionCreation Time (JST)Last Modified
Time (JST)1

2020/05/20 (Wed) 14:49

2009/02/20 (Fri) 23:27

v0.3.52020/05/18 (Mon) 11:08

2020/05/19 (Tue) 12:07

2

2020/05/26 (Tue) 18:00

2009/02/21 (Sat) 03:25

v0.3.62020/05/25 (Mon) 12:25

2020/05/26 (Tue) 16:20

32021/11/09 (Tue) 14:55

2019/01/04 (Fri) 17:18

v0.5.62021/08/26 (Thu) 15:37

2021/11/06 (Sat) 05:31

42022/03/07 (Mon) 16:15

2021/04/16 (Fri) 02:40

v0.5.92021/08/26 (Thu) 15:37

2022/03/03 (Thu) 21:21

52022/06/17 (Fri) 20:53

2021/08/19 (Thu) 02:58

v0.6.32022/06/14 (Tue) 11:43

2022/06/14 (Tue) 11:47

62022/07/07 (Thu) 21:00 2021/10/24 (Sun) 01:46

v0.6.32022/07/04 (Mon) 14:01

2022/07/04 (Mon) 14:01

Copyright © 2023 N.F.Laboratories Inc.

60

デコイファイルの表層情報の調査
VirusTotal での初観測日時とデコイファイルの最終編集時刻がほぼ一致
検体番号

First Submission
Time for DLL (JST)DLL shellcode loader

Decoy fileCompilation
Timestamp (JST)VersionCreation Time (JST)Last Modified
Time (JST)1

2020/05/20 (Wed) 14:49

2009/02/20 (Fri) 23:27

v0.3.52020/05/18 (Mon) 11:08

2020/05/19 (Tue) 12:07

2

2020/05/26(Tue) 18:00 2009/02/21 (Sat) 03:25
人間の生活味がある時間帯に

v0.3.62020/05/25 (Mon) 12:25

2020/05/26 (Tue) 16:20

32021/11/09 (Tue) 14:55

2019/01/04 (Fri) 17:18

v0.5.62021/08/26 (Thu) 15:37

2021/11/06 (Sat) 05:31

42022/03/07 (Mon) 16:15

デコイの表層情報は
2021/04/16 (Fri) 02:40
ノータッチ説??

v0.5.92021/08/26 (Thu) 15:37

2022/03/03 (Thu) 21:21

52022/06/17 (Fri) 20:53

2021/08/19 (Thu) 02:58

v0.6.32022/06/14 (Tue) 11:43

2022/06/14 (Tue) 11:47

62022/07/07 (Thu) 21:00 2021/10/24 (Sun) 01:46

信頼度が高めで調査に利用できる可能性
v0.6.32022/07/04 (Mon) 14:01

2022/07/04 (Mon) 14:01

集中しているようにも見える☛

Copyright © 2023 N.F.Laboratories Inc.

61

作成/編集者情報をもとにした表層情報の調査
ユーザ情報にも偏りがあり、複数人が異なる環境で作成していると推測
Decoy file
検体番号
Creation Time (JST)AuthorLast Modified
Time (JST)LastModifiedBy

1

2020/05/18 (Mon) 11:08

John

2020/05/19 (Tue) 12:07

D3vle02

2020/05/25 (Mon) 12:25

D3vle02020/05/26 (Tue) 16:20

user

3

2021/08/26 (Thu) 15:37

D3vle0pc

2021/11/06 (Sat) 05:31

D3vle0pc

4

2021/08/26 (Thu) 15:37

D3vle0pc

2022/03/03 (Thu) 21:21

D3vle0pc

52022/06/14 (Tue) 11:43

Windows ユーザー

2022/06/14 (Tue) 11:47

Windows ユーザー

6

2022/07/04 (Mon) 14:01

user

2022/07/04 (Mon) 14:01

user

Copyright © 2023 N.F.Laboratories Inc.

62

作成/編集者情報をもとにした表層情報の調査

nv0.6.3 で使用されたデコイファイル(※1)にはoffice document の property に“Windows ユーザー” の文字列pp

何かの初期値には見える
しかし、一般的にはホストのユーザ名が入る場合が多いため遭遇頻度は高くない※1 MD5: bfb70a586ad1a60509dcea8839132662

Copyright © 2023 N.F.Laboratories Inc.

63

VirusTotal で検索して確認
3ヶ月で ”Windows ユーザー” が表層情報にあるdocx ファイルはたった 30 件

tag: VT のタグによるドキュメントファイルの指定
metadata: ファイルのメタデータ検索

約6ヶ月の監視を続けても 94 件の観測だったため珍しい初期値

Copyright © 2023 N.F.Laboratories Inc.

64

“Windows ユーザー” が出現する環境調査

Office 2016 以下の古い日本語バージョンで初期値が格納されることを確認☛

攻撃者が昔のオペレーションで使用した環境を使い回している可能性

Copyright © 2023 N.F.Laboratories Inc.

65

VirusTotal でのさらなる調査
さらに AV Scan で1つでも悪性判定されたものに限定すると 2 件にまで絞られる

p: AV Scan で悪性判定された数の指定

日本語の古いoffice環境を用意してデコイファイルを作成する攻撃者グループは非常に限定されていると予想

Copyright © 2023 N.F.Laboratories Inc.

66

VirusTotal でのさらなる調査
さらに AV Scan で1つでも悪性判定されたものに限定すると 2 件にまで絞られる

p: AV Scan で悪性判定された数の指定

2018年5月に報告された APT10 のデコイファイル

Copyright © 2023 N.F.Laboratories Inc.

67

“Windows ユーザー” が含まれる悪性検体の収集
先ほどの条件で観測できた検体が 13 件、うちオープンソースから帰属が判明した検体が 11件
MD5First Submission
Time for VT (JST)

投稿されたファイル名

Creation Time (JST)Last Modified Time(JST)

c965bcc3b2bc3d54bc93121ae46eb0b0

2017/11/29 (Wed) 15:33

防衛省からの情報提供（最新版）
2.docm2017/11/29 (Wed) 15:33

2017/11/29 (Wed) 15:33

797b450509e9cad63d30cd596ac8b608

2018/01/10 (Wed) 16:18

2018年度（平成30年度）税制改正について.doc, 1.docx

2018/01/09 (Tue) 12:56

2018/01/09 (Tue) 13:25

57228e857180205643a0e1c1b43a5c3f

2018/01/23 (Tue) 13:45

test.doc

2018/1/18 (Thu) 13:45

2018/01/18 (Thu) 13:50

fefaa0df12195fc3d90d9393ad3a7840

2018/01/30 (Tue) 13:55

世界経済アウトルック.doc

2018/01/29 (Mon) 18:41

2018/01/29 (Mon) 18:55

9706c9b6c5133c2a9be5a67da069b97f

2018/02/01 (Thu) 13:41[MD5 hash value]

2017/11/29 (Wed) 15:33

2017/11/29 (Wed) 15:33

b7b97eb5a297e8371b6964a83f4650da

2018/02/01 (Thu) 13:45

lmane.doc

2017/11/29 (Wed) 15:33

2017/11/29 (Wed) 15:33

95b862f508bd2473012065947abc2eb3

2018/03/12 (Mon) 18:36

新旧参与会議意見書の比較.doc

2018/03/09 (Fri) 18:05

2018/03/09 (Fri) 18:09

e0b9a79d594e5a05a83e450e7a27637b

2018/04/03 (Tue) 17:08

test.doc

2018/04/03 (Tue) 16:47

2018/04/03 (Tue) 16:47

f82fbfb10958eb37e0d570c66c180c1b

2018/04/03 (Tue) 19:03

1.docx2018/01/09 (Tue) 12:56

2018/01/09 (Tue) 13:25

82f65647ff02fb0f13880f9158acfbcd

2018/04/26 (Thu) 18:50【6月26日（火）】 「三極委員会東京
地域会合」ご案内2.doc.docm

2018/04/26 (Thu) 18:49

2018/04/26 (Thu) 18:49

56cbbea8535c0e8ae967fcdec17db491

2018/05/24 (Thu) 08:02

確認資料 国際法務.doc

2018/05/15 (Tue) 09:45

2018/05/15 (Tue) 13:06

Copyright © 2023 N.F.Laboratories Inc.

68

“Windows ユーザー” が含まれる悪性検体の収集
先ほどの条件で観測できた検体が 13 件、うちオープンソースから帰属が判明した検体が 11件
MD5First Submission
Time for VT (JST)

投稿されたファイル名

Creation Time (JST)Last Modified Time(JST)

c965bcc3b2bc3d54bc93121ae46eb0b0

2017/11/29 (Wed) 15:33

防衛省からの情報提供（最新版）
2.docm2017/11/29 (Wed) 15:33

2017/11/29 (Wed) 15:33

11件全てが2018年度（平成30年度）税制改正につ
2018/01/10 (Wed) 16:18
2018/01/09 (Tue) 12:56
いて.doc, 1.docx
2018年5月に報告があった
57228e857180205643a0e1c1b43a5c3f
test.doc
2018/01/23 (Tue) 13:45
2018/1/18 (Thu) 13:45
APT10 のオペレーションで
fefaa0df12195fc3d90d9393ad3a7840
世界経済アウトルック.doc
2018/01/30 (Tue) 13:55
2018/01/29 (Mon) 18:41
使用されたデコイファイル
797b450509e9cad63d30cd596ac8b608

2018/01/09 (Tue) 13:25
2018/01/18 (Thu) 13:50
2018/01/29 (Mon) 18:55

2018/02/01 (Thu) 13:41[MD5 hash value]

2017/11/29 (Wed) 15:33

2017/11/29 (Wed) 15:33

b7b97eb5a297e8371b6964a83f4650da

2018/02/01 (Thu) 13:45

lmane.doc

2017/11/29 (Wed) 15:33

2017/11/29 (Wed) 15:33

95b862f508bd2473012065947abc2eb3

2018/03/12 (Mon) 18:36

新旧参与会議意見書の比較.doc

2018/03/09 (Fri) 18:05

2018/03/09 (Fri) 18:09

test.doc

2018/04/03 (Tue) 16:47

2018/04/03 (Tue) 16:47

1.docx2018/01/09 (Tue) 12:56

2018/01/09 (Tue) 13:25【6月26日（火）】 「三極委員会東京
地域会合」ご案内2.doc.docm

2018/04/26 (Thu) 18:49

2018/04/26 (Thu) 18:49

確認資料 国際法務.doc

2018/05/15 (Tue) 09:45

2018/05/15 (Tue) 13:06☛

9706c9b6c5133c2a9be5a67da069b97f

TTPs の変更に伴い2018/04/03 (Tue) 17:08
過去に APT10 が使用した環境を
f82fbfb10958eb37e0d570c66c180c1b
使い回した可能性 2018/04/03 (Tue) 19:03
82f65647ff02fb0f13880f9158acfbcd
2018/04/26 (Thu) 18:50(Moderate Confidence)
e0b9a79d594e5a05a83e450e7a27637b

56cbbea8535c0e8ae967fcdec17db491

2018/05/24 (Thu) 08:02

Copyright © 2023 N.F.Laboratories Inc.

69

ダイヤモンドモデルの作成
AdversaryppCapabilitiesp

中国のAPTグループ
APT10 に関連するメンバーが存在すると思われる

Custom Malware(LODEINFO/
MirrorFace)

Social-Politics Axisp

Technical Axis
Infrastructurep

VPS/Hosting サービス
(Vultr/CHOOPA/LINODE)p

Spear-phishingp

DLL Side-Loadingp

日本語のデコイファイルp

カスタムマルウェアの使用p

Victimsp

日本の経済団体に対して攻撃のモチベーションをもつ

日本にGeo Locationがある
IP アドレスの使用

日本の安全保障, 外交, 国際政治, メディア

Copyright © 2023 N.F.Laboratories Inc.

70

Operation RestyLink との関連n

2021年10月頃から観測されている日本を対象とした標的型キャンペーン
p
p

p

n

標的セクター: 学術機関(エネルギー), シンクタンク
フィッシングメールを起点にやり取りを重ね最終的に悪性ファイルのあるURLへ誘導
背景の攻撃者情報は不明

J-CRAT の報告ではOperation RestyLink で標的となった組織を詐称した
LODEINFO の標的メールを観測したと報告

https://www.ipa.go.jp/files/000106897.pdf※図中の “2.1” はOperation RestyLink を指す

Copyright © 2023 N.F.Laboratories Inc.

71

関連すると思われる標的型メール
日本生産性本部(2022/08/04)

国際経済連携推進センター(2022/08/10)

snip.
snip.

https://www.jpc-net.jp/news/detail/20220804̲005992.html

https://www.cfiec.jp/2022-08-07/

経済, 安全保障, 外交に関心のある人物・組織にメールを送信していると思われる

Copyright © 2023 N.F.Laboratories Inc.

72

ダイヤモンドモデルの比較
LODEINFO
キャンペーン

Social-Politics Axis
日本の幅広い財団法人に対する興味・関心

p

Adversary
Capabilitiesp

Custom
Malware(LODEINFO/
MirrorFace)pp

Spear-phishingp

DLL Side-Loadingp

日本語のデコイファイルp

カスタムマルウェアの使用p

日本にGeo Locationがある
IP アドレスの使用

中国のAPTグループ
APT10 に関連するメンバーが存在すると思われる

Capabilitiespp

Social-Politics Axis
東アジアに関わる日本の外交(政治, 安全保障関連への興味?)

p

Adversary

Downloader(LNK file,Multiple document,
Golang binary)

Believed to be based in
East Asia?

p

Cobalt Strike

Infrastructure

Infrastructure

Technical Axisp

Operation
RestyLink ([11])VPS/Hosting サービス
(Vultr/CHOOPA/LINODE)p

Victimsp

日本の安全保障, 外交,
国際政治, メディアp

Technical Axis

VPS/Hosting サービス
(Vultr/CHOOPA/LINODE)p

Spear-phishingp

OpenRestyp

DLL Side-Loadingpドメイン名の模倣

p

Microsoft word startupp

日本語のデコイファイルp

日本にGeo Locationがある
IP アドレスの使用

Copyright © 2023 N.F.Laboratories Inc.

Victimsp

日本企業

p

日本の学術機関, シンクタンク

73

ダイヤモンドモデルの比較
Social-Politics Axis

LODEINFO
キャンペーン

日本の幅広い財団法人に対する興味・関心

p

Adversary
Capabilities
Custom
Malware(LODEINFO/
MirrorFace)p

Spear-phishingp

DLL Side-Loadingp

日本語のデコイファイルp

カスタムマルウェアの使用

p

Capabilitiesp

日本にGeo Locationがある
IP アドレスの使用

東アジアに関わる日本の外交(政治, 安全保障関連への興味?)

p

Adversary

Downloader(LNK file,Multiple document,
Golang binary)

Believed to be based in
East Asia?

p

使用する具体的なツールは異なるが、TTPs や標的の興味がある分野には類似性が見られる
Cobalt Strike

Technical Axisp

中国のAPTグループ

p

Social-Politics Axis

Operation
RestyLink ([11])p

Infrastructure☛ 検出して防御できることが早急に求められる
Infrastructurep

関連組織はこれらのテクニックをTechnical Axis
VPS/Hosting サービス
(Vultr/CHOOPA/LINODE)p

Victimsp

日本の安全保障, 外交,
国際政治, メディア

VPS/Hosting サービス
(Vultr/CHOOPA/LINODE)p

Spear-phishingp

OpenRestyp

DLL Side-Loadingpドメイン名の模倣

p

Microsoft word startupp

日本語のデコイファイルp

日本にGeo Locationがある
IP アドレスの使用

Copyright © 2023 N.F.Laboratories Inc.

Victimsp

日本企業

p

日本の学術機関, シンクタンク

74

限界とまとめ

Copyright © 2023 N.F.Laboratories Inc.

75

オープンソースで得られる情報の”限界”
nn

基本: 後手p

検体がインターネットに投稿されるのを祈るしかないp

コンテキストが大きく失われている場合も多いp

TTPs が大きく変わると追従が難しい

外部のインテリジェンスや人脈を駆使して情報を収集し分析しなければ、断片的な調査しかできない
p

点で得られる情報をもとにキャンペーンの全体をなるべく把握する工夫は必須p(一組織だと限界があるから他にも一緒に追いかけてくれる人いないだろうか)

Copyright © 2023 N.F.Laboratories Inc.

76

テイクダウンの困難さ
攻撃者インフラをテイクダウンするのはこちらから先手を打てる好ましい手段……であるが、実現は非常に難しいn

攻撃者側もテイクダウンされにくい
事業者を選んでC2サーバを構築

n「abuse report くれたら調査するよ!」とDMがきたケースでもテイクダウンに至らず

Copyright © 2023 N.F.Laboratories Inc.

77

テイクダウンの困難さ
nLocalize された標的型RATのインフラであることを証明することがそもそも難しいppn

たとえ対応に前向きな事業者でも確実に黒である証拠がないとテイクダウンが難しい
素人でも理解できるLODEINFO C2
サーバの証拠とは……🤔

存在を確認し次第abuse reportは継続するが、効果のほどは不明

Copyright © 2023 N.F.Laboratories Inc.

78

LODEINFO の脅威に対して我々ができることn

インテリジェンスの生成側: 情報源を監視してリアルタイムに脅威情報を収集, 提供
pn

再現性の高い “ACT” なIoC, シグネチャ

インテリジェンスの消費側: インテリジェンスを有効活用できる体制を作るp

ハッシュ値, 通信先から侵害を確認できる?

p

シグネチャは自組織で評価できる? 組み込める?

p

ログはどの範囲まで取得できている?

p

いつまで遡って調査できる?

The Sliding Scale of Cyber Security(SANS: 『The Sliding Scale of Cyber Security』の図1より引用)
https://www.sans.org/white-papers/36240/

Copyright © 2023 N.F.Laboratories Inc.

79

Tips: AppLocker によるDLLの制御
n

署名付き実行ファイルからのDLL Side-Loading を防止する
1つの手段として有効
pn

頻繁にソフトウェアの追加を行わないユーザ向け

LOLBAS によるDLL実行も防ぐことができるprundll32.exe

pregsvr32.exe

Copyright © 2023 N.F.Laboratories Inc.

80

Conclusionnn

観測できた最新の LODEINFO キャンペーンに関する共有
p

v0.6.3 以降に見られる中国系APTグループが得意とするTTPsへの変化

p

デコイ文書の視点から見たAPT10との関連性に関わる考察

公開情報を元にしたサイバー脅威の収集, 分析方法の紹介
pn

調査に限界はあれど、自組織に関連する脅威情報をベンダーレポートよりも素早く入手できる可能性がある

インテリジェンスを最大限に活用できる体制作りの必要性p

後手なりに最善手を打てるための取り組みp

自組織をきちんと知る(ログはいつまで・どの範囲まで遡れるか?)

Copyright © 2023 N.F.Laboratories Inc.

81

Any Questions?

Copyright © 2023 N.F.Laboratories Inc.

82

References (1)n[1] JPCERT 『日本国内の組織を狙ったマルウエアLODEINFO』(2020/02/20)
https://blogs.jpcert.or.jp/ja/2020/02/LODEINFO.htmln[2] JPCERT 『マルウエアLODEINFOの進化』(2020/06/11)
https://blogs.jpcert.or.jp/ja/2020/06/LODEINFO-2.htmln[3] JPCERT 『マルウエアLODEINFOのさらなる進化』(2021/02/09)
https://blogs.jpcert.or.jp/ja/2021/02/LODEINFO-3.htmln[4] macnica & T5 『標的型攻撃の実態と対策アプローチ 第5版 日本を狙うサイバーエスピオナージの動向 2020 年度』(2021/05/21)
https://www.macnica.co.jp/business/security/manufacturers/files/mpressioncss̲ta̲report̲2020̲5.pdf

n[5] macnica, 『Tracking rapid evolution? Copycat? of An APT RAT in Asia』, VB2020, (2020/09)
https://vb2020.vblocalhost.com/uploads/VB2020-66.pdf

Copyright © 2023 N.F.Laboratories Inc.

83

References (2)n[6] kaspersky 『 APT10 HUNTER RISE ver3.0: Repel new malware LODEINFO, DOWNJPIT and LilimRAT』,
HITCON 2021, (2021/11)
https://hitcon.org/2021/agenda/6d88317b-4d90-4249-ba87d81c80a21382/APT10%20HUNTER%20RISE%20ver3.0%20Repel%20new%20malware%20LODEINFO%20DO
WNJPIT%20and%20LilimRAT.pdfn[7] macnica & T5 『標的型攻撃の実態と対策アプローチ 第6版 日本を狙うサイバーエスピオナージの動向 2021年度』(2022/06/15)
https://www.macnica.co.jp/business/security/cyberespionage̲report̲2021̲6.pdf

n[8] kaspersky, 『 APT10: Tracking down LODEINFO 2022, part I』 (2022/10/31)
https://securelist.com/apt10-tracking-down-lodeinfo-2022-part-in[9] kaspersky, 『 APT10: Tracking down LODEINFO 2022, part II』 (2022/10/31)
https://securelist.com/apt10-tracking-down-lodeinfo-2022-part-iin[10] eset 『Unmasking MirrorFace: Operation LiberalFace targeting Japanese political entities』(2022/12/14)
https://www.welivesecurity.com/2022/12/14/unmasking-mirrorface-operation-liberalface-targeting-japanesepolitical-entities/

Copyright © 2023 N.F.Laboratories Inc.

84

References (3)n[11] NTT Security 『 Operation RestyLink: 日本企業を狙った標的型攻撃キャンペーン』(2022/5/11)
https://insight-jp.nttsecurity.com/post/102ho8o/operation-restylinkn[12] IPA『サイバーレスキュー隊（J-CRAT）活動状況 [2022年度上半期] 』(2022/12/28)
https://www.ipa.go.jp/files/000106897.pdfn[13] LAC, 『 APT攻撃者グループ menuPass(APT10) による新たな攻撃を確認』 (2018/5/21)
https://www.lac.co.jp/lacwatch/people/20180521̲001638.html

Copyright © 2023 N.F.Laboratories Inc.

85

Appendix A: IoC - file hash (1)TypeVersionb50d83820a5704522fee59164d7bc69bea5c834ebd9be7fd8ad35b040910807f

dll

v0.1.2

1cc809788663e6491fce42c758ca3e52e35177b83c6f3d1b3ab0d319a350d77d

shellcode

v0.3.2

8c062fef5a04f34f4553b5db57cd1a56df8a667260d6ff741f67583aed0d4701

dll

v0.3.565433fd59c87acb8d55ea4f90a47e07fea86222795d015fe03fba18717700849

dll

v0.3.6641d1e752250d27556de774dbb3692d24c4236595ee0e26cc055d4ab5e9cdbe0

doc

v0.3.573470ea496126133fd025cfa9b3599bea9550abe2c8d065de11afb6f7aa6b5df

doc

v0.3.63fda6fd600b4892bda1d28c1835811a139615db41c99a37747954dcccaebff6e

dll

v0.4.6

f142eecf2defc53a310b3b00ae39ffecc1c345527fdfbfea8ccccd0d69276b41

dll

v0.4.92169d93f344e3f353444557b9009aef27f1b0a0a8aa3d947b5b8f0b36ef20672

dll

v0.5.6d75537d59954ec3cc092378f00b16b6c9935590ef1074cb308e1ed65e922762c

dll

v0.5.61dbf67d7dadba5505073aaf3e4478dd295b074bddf10ac5ac7b80d7fc14bea63

dll

v0.5.6

fc602ebcf5f9697bedae0e641adfc16985058212f7b9e69dad0f1bf53daf93f9

doc

v0.5.6

SHA-256

Copyright © 2023 N.F.Laboratories Inc.

86

Appendix A: IoC - file hash (2)SHA-256

Type

Version978ba248c02eb9c130c1459b767527f8a3a9714c6686c12432e027da56f6c553

dll

v0.5.9dab7d79644453a7ca61b9b585c1081167dbe5df0da398df2458c1081295f68e6

dll

v0.5.950cf6841cbc0ce395a23b9a4d2ddac77b11a376929878717e90c9a7430feddc3

dll

v0.5.988efbc6e883336a0b910b7bcf0ef5c2172d913371db511a59a4a525811173bf1

dll

v0.5.9e764f26c3e5bf8467da51fbb33c3d80f026b8fe5bd5a6b84318b3f0aedb667cd

dll

v0.5.9fde82dcccd471b63f511c6f76dc04e12334818cda8b38f5048b8ad85c9357089

doc

v0.5.9a5cf580c1768bb8d28716978fa026b7e2dec4eb5a9c4396ede0c704bfe09ed36

dll

v0.5.9Copyright © 2023 N.F.Laboratories Inc.

87

Appendix A: IoC - file hash (3)SHA-256

Type

Version40a650488e94455b181716efba43f082e891e1c6e45d3f1e5ab827de319276c9

dll

v0.6.25738bf7b27c61c1421b08be98143ab3bc32b779a45d5350f40f689bf268489ed

dll

v0.6.2

9af72a598dc4a1e10265dcf7da20d6433a9473a338e2fc012f4e490ad721d871

dll

v0.6.2

7f32df11846b0a5b4d43d8ce1f7ddcebf9aef6d568ba210534a0b9e246d6561edll

v0.6.20abbdee5d3c5191bfb9a3a91712d8b538d6d8a0cc0489b3e5aa10034b2fccd3c

dll

v0.6.2

5faa813b811236f14fec8e0e7ee9d0135efaf296d6dcb4bd2be8cf3165fa940d

dll

v0.6.231c87d9a84c7996a56024c93787de9332099faf707cd8d0166e5af9d491977b8

dll

v0.6.2

f53c5fd78000755ccfff11d2f1b7d659f4a71c887083697d54b8fe8cf905ef6a

sfx

v0.6.3a8ec766eee6cc3c6416519f8407ac534f088637ed1a6bc05ed0596d8a0237548

sfx

v0.6.3a5ce5a179ec56aa6e2bc86be77df07b15650cdbcbca046515263fe16b8e2a036

dll

v0.6.38260b1e80eeff2e0b39f782eebfa9460b00ebef480c3fed6fbccf8cfc67dbef9

loader

v0.6.3ed82f4fff39fbdcbefdbcb0a9c9ae6fb689f6db64f94bd8eb6c924fd0409792c

XORed shellcode

v0.6.38f51b5bdb9b7234426fa8fdfbfac9eb46d650c6a22c9ed49ab8f0fc09e5d76a5

XORed shellcode

v0.6.5

Copyright © 2023 N.F.Laboratories Inc.

88

Appendix A: IoC - network
LODEINFO C2 Server
45.67.231[.]169

45.76.216[.]40

45.77.28[.]124

162.244.32[.]148

103.140.45[.]71

172.105.223[.]216

193.228.52[.]57

139.180.192[.]19

103.175.16[.]39

103.27.184[.]27

167.179.84[.]162

172.104.112[.]218

103.140.187[.]183

167.179.65[.]11

202.182.108[.]127

103.204.172[.]210

130.130.121[.]44

5.8.95[.]174

133.130.121[.]44

118.107.11[.]135

172.104.72[.]4

167.179.101[.]46

172.105.230[.]196

www.amebaoor[.]net

167.179.112[.]74

172.104.78[.]44

www.evonzae[.]com

172.105.232[.]89

108.61.201[.]135

www.dvdsesso[.]com

194.68.27[.]49

139.162.112[.]40

Copyright © 2023 N.F.Laboratories Inc.

89

Appendix B: MITRE ATT&CK (1)TacticTechniqueID

Procedure

Resource Development

Acquire Infrastructure: Server

T1583.004

C2サーバ用にホスティングサービスを利用している

Initial Access

Phishing: Spearphishing
Attachment

T1566.001

スピアフィッシングメールによる配送

Execution

Windows Management
Instrumentation

T1047

wmi を使用して任意のコマンドを実行(comc コマンド)

Execution

Command and ScriptingInterpreter: Visual Basic

T1059.005

ドキュメントに埋め込まれたマクロが実行され、悪性なDLLがドロップされる

Execution

User Execution: Malicious File

T1204.002

悪性なドキュメントをユーザが開き、感染する

Persistence

Boot or Logon Autostart
Execution: Registry Run Keys /Startup Folder

T1547.001

Run キーによる永続化

Copyright © 2023 N.F.Laboratories Inc.

90

Appendix B: MITRE ATT&CK (2)TacticTechniqueID

Procedure

Defense Evasion

Hijack Execution Flow: DLL SideLoading

T1574.002

正規の実行ファイルが、悪性なDLLをサイドロードする

Defense Evasion

Obfuscated Files orInformation: Dynamic API
Resolution

T1027.007

APIはCRC32などでハッシュ化されている

Defense Evasion

Obfuscated Files orInformation: Embedded Payloads

T1027.009

シェルコードが暗号化された状態で実行ファ
イルに埋め込まれている

Defense Evasion

Deobfuscate/Decode Files orInformation

T1140

コンフィグが暗号化された状態で実行ファイ
ルに埋め込まれている

Defense Evasion

Process Injection

T1055

svchost.exe にシェルコードをインジェク
トする (memory コマンド)

Copyright © 2023 N.F.Laboratories Inc.

91

Appendix B: MITRE ATT&CK (3)TacticTechniqueID

Procedure
ロケール情報やキーボードレイアウトを取得
して動作分岐する

Discovery

System Location
Discovery: System Language
Discovery

T1614.001

Discovery

System Information Discovery

T1082

コンピュータ名やMACアドレス、コード
ページなどのシステム情報を取得する

Discovery

File and Directory Discovery

T1083

ファイルやディレクトリの一覧を表示する(ls コマンド)Collection

Archive Collected Data: Archive via
Library

Collection

Screen Capture

Collection

Input Capture: Keylogging

T1560.002

T1113

T1056.001

Copyright © 2023 N.F.Laboratories Inc.

LODEINFO から収集されたデータはQuickLZで圧縮される
スクリーンショットを取得する機能がある(print コマンド)
キーロガーの機能が実装されている(keylog コマンド)92

Appendix B: MITRE ATT&CK (4)TacticTechniqueID

Procedure

Command and Control

Application Layer Protocol: Web
Protocols

T1071.001

C2サーバとの通信にはHTTPが使用される

Command and Control

Encrypted Channel: Symmetric
Cryptography

T1573.001

C2サーバとやり取りするデータは AES 等
で暗号化される

Command and Control

Data Encoding: Non-Standard
Encoding

T1132.002

C2サーバとやり取りするデータはカスタム
Base64でエンコードされる

Exfiltration

Exfiltration Over C2 Channel

T1041

任意のファイルをC2にアップロードする機能がある(recv コマンド)

ImpactData Encrypted for Impact

T1486

ディスクを暗号化する (ransom コマンド)

ImpactData Destruction

T1485

任意のディレクトリやファイルを削除する機能がある (rm コマンド)

Copyright © 2023 N.F.Laboratories Inc.

93

Appendix C: RAT コマンドの推移(~ 2022年)
コマンド

機能

v0.3.2v0.3.5v0.3.6v0.4.6v0.4.9v0.5.6

〇

〇

〇

〇

〇

〇

print

スクリーンショットの取得

rm

ファイルの削除

〇

〇

〇

〇

〇

ransomファイルの暗号化

△

△

〇

〇

〇

keylogキーロガーの有効化

△

△

〇

〇

〇

ps

プロセス一覧の取得

〇

〇

〇

pkill

任意のプロセスの停止

〇

〇

〇

mv

ファイルの移動〇〇cp

ファイルのコピー

〇

〇

mkdir

ディレクトリの作成〇〇

autorun

永続化の設定〇comc

WMIを利用したコマンドの実行〇

config未実装（Not available を返す）△※△は未実装（コマンドを受け取っても Not Available を返す）

Copyright © 2023 N.F.Laboratories Inc.

94

Appendix D: Scripts

n v0.5.6 以降のC2通信復号スクリプト+n API Hash 解決とLODEINFOマルウェアのトリアージを行うIDPython スクリプト

All scripts => https://github.com/nflabs/aa̲tools/tree/main/lodeinfo

Copyright © 2023 N.F.Laboratories Inc.

95