標的型攻撃の実態と対策アプローチ 第 3 版

日本を狙うサイバーエスピオナージの動向 2019 年度上期

2019年10月1日

Copyright © 2019 Macnica Networks Corp. All rights reserved.

本資料に記載されている情報は、マクニカネットワークス株式会社が信頼できると判断したソースを活用して記述されていますが、そのソースをマクニカネットワークス株式会社が保証しているわけではありません。この資料に、著者の意見が含まれる場合がありますが、その意見は変更されることがあります。この資料は、マクニカネットワーク
ス株式会社が著作権を有しています。この資料を、全体または一部を問わず、ハードコピー形式か、電子的か、またはそれ以外の方式かに関係なく、マクニカネットワークス
株式会社の事前の同意なしに複製または再配布することは禁止いたします。

目

次

はじめに ・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・ 2
攻撃が観測された業種と傾向 ・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・ 2
攻撃のタイムラインと攻撃の概要 ・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・ 3
2019 年 4 月（メディア）・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・ 3
2019 年 5 月（研究関連、通信）・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・ 42019 年 7 月（メディア、化学、半導体）・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・ 4
・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・ 5
2019 年 8 月（クリティカルインフラ）

新しい TTPs や RAT など ・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・ 6
DarkHotel・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・ 6BlackTech（最近の TTPs の変化）・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・ 8
Tick ・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・ 17

攻撃グループごとの TTPs（戦術、技術、手順）・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・ 20
TTPs より考察する脅威の検出と緩和策 ・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・ 21
マルウェアの配送について ・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・ 21
攻撃について・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・ 21
インストールされる RAT、遠隔操作（C&C について）・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・ 21

検知のインディケータ ・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・ 22

標的型攻撃の実態と対策アプローチ 日本を狙うサイバーエスピオナージの動向 2019 年度上期

はじめに2019年上半期 (4月から9月) に観測された、日本の組

マルウェア (RAT) を用いる攻撃グループが関与したと思

織から機密情報 (個人情報、政策関連情報、製造データなわれる事案を中心に、新しい攻撃手法やその脅威の検出にど) を窃取しようとする攻撃キャンペーンについて、注意ついて記載しています。

喚起を目的として記載します。ステルス性の高い遠隔操作

攻撃が観測された業種と傾向
2019年度上半期の観測では、メディア組織への攻撃

は通信や半導体などハイテク素材の製造企業といった業種が目立ちました。メディア組織への攻撃は、DarkHotelが標的になっていると分析しています。リサーチ関連、半攻撃グループ による活動と分析しており、同攻撃グルー

導体、クリティカルインフラ系を標的として攻撃活動をプによるものと思われる防衛関連組織への攻撃も観測され行ったグループは、BlackTech攻撃グループ3と分析してました。現在のところ、日韓情勢に関連して活動が若干活います。昨年の観測 4 では海洋技術や重工業の企業を標的発化したのではないかと分析しています。続いて、化学ととした活動があり、これまでとは異なった標的の特徴を見

通信関連組織への攻撃が多く観測されました。攻撃グルー

せています。BlackTech攻撃グループは、幅広い業種でプは、Tick攻撃グループ によるものと分析しています。

攻撃が観測されており、国内の組織は引き続き注意警戒が具体的な標的としては、5Gに関連した製造企業、化学で必要だと思われます。

1

2

防衛
クリティカルインフラ

半導体

10%

10%

メディア

30%

10%

リサーチ

10%

化学
通信製造

10%
図 1. 標的組織のパイチャート

220%

標的型攻撃の実態と対策アプローチ 日本を狙うサイバーエスピオナージの動向 2019 年度上期

攻撃のタイムラインと攻撃の概要
以下は、4月から9月までの月ごとの攻撃グループの活

せていました。また、Tick攻撃グループは、昨年度から動を表にしています。BlackTech攻撃グループとTick攻製造業を標的とした活動を継続しています。

撃グループは、侵入に成功した場合継続した攻撃活動を見

19/04

DarkHotel

19/05

19/06

メディア

19/07

19/08

19/09

メディア
防衛

BlackTech

リサーチ

半導体

Tick

通信

化学

クリティカルインフラ

表 1. タイムラインチャート

2019年4月 (メディア)ルに含まれるBase64エンコードされた実行ファイル(EXE)

DarkHotel攻撃グループによるものと思われる不審ながスクリプトで抽出されてファイルとして保存さメールが、メディア組織に配送されました（図２）。メー

れ、実行されました。EXEファイルは最終的にhttp

ル本文には、メール開封確認の通信を発生させるリンクと[:]//market.pwsmbx[.]com/3W3s6/around.phpとクラウドストレージへのリンクが含まれていました。クラ通信し、ダウンロードしたシェルコードをメモリ上で実行

ウドストレージ上のファイルは、WORDアイコンのするつくりになっていました。一連の攻撃の流れと検体のショートカットファイルをZip圧縮したファイルでした。

解析は詳細に行われ公開されています56

このショートカットを実行すると、ショートカットファイ

図 2. メディア組織に配送された不審なメール
1

https://media.kaspersky.com/jp/pdf/pr/Kaspersky-WP-DARKHOTEL-PR-1002.pdf

2https://blogs.jpcert.or.jp/ja/2019/02/tick-activity.html

3

https://blogs.jpcert.or.jp/ja/tags/blacktech/4

https://www.macnica.net/ﬁle/mpressioncss̲ta̲report̲2019.pdf

5https://insight-jp.nttsecurity.com/post/102fmlc/untitled6

https://blogs.jpcert.or.jp/ja/2019/05/darkhotel̲lnk.html

3

標的型攻撃の実態と対策アプローチ 日本を狙うサイバーエスピオナージの動向 2019 年度上期

2019年5月 (研究関連、通信)

通信系の製造組織で、Tick攻撃グループによる添付ファ

リサーチ関連の組織で、BlackTech攻撃グループの利

イル付きのスピアフィッシュメールが観測されました。添

用するTsCookieローダーとPLEADマルウェアが観測さ付ファイルには、フォルダアイコンの実行ファイル

れています。TsCookieローダーは、別の暗号されたファ(EXE)

イルからTsCookieを復号して実行するタイプ のマル

で、Tickグループによる昨年5月の攻撃 8 で使われたダウウェアで、PLEADマルウェアのユーザーエージェント値

ンローダーの後継バージョンが実行される攻撃になっていには、以前から観測の多く見られる Mozilla/4.0 (com-

ました。

7

が含まれ（図３）、このファイルを実行する事

patible; MSIE 8.0; Win32) が利用されていました。

図 3. Tick 攻撃グループのスピアフィッシュに含まれた EXE ファイル2019年7月 (メディア、化学、半導体)

ント情報を既に把握した上で攻撃した可能性があると思わ

DarkHotel攻撃グループによるものと思われる不審なれます。このメールとは別に、Oﬃceのマクロを使った攻メールがメディア組織に配送されました。メール本文の撃も観測されました 9 。メール添付されたZipファイルにURLリンクからBox社のクラウドストレージを偽装した含まれる「北朝鮮非核化の行方と制裁の課題.docm」のページへアクセスすると、攻撃者が想定したユーザーアカ

マクロ実行によりhttp[:]//37.220.0[.]41/sd.ps1がダ

ウントの入力なしには先に進まないページになっていましウンロードされ、Powershellを使った攻撃が観測されてた（図４）。不審なメールにはアカウント情報は含まれないます。

かったため、攻撃者はメールを配送したユーザーのアカウ

7

https://blogs.jpcert.or.jp/ja/2019/09/tscookie̲loader.html

8

https://piyolog.hatenadiary.jp/entry/20180531/1527796712

9

http://www.rips.or.jp/archives/1955/

4

標的型攻撃の実態と対策アプローチ 日本を狙うサイバーエスピオナージの動向 2019 年度上期

図 4. DarkHotel 攻撃グループによる Box 社のクラウドストレージを偽装したサイト

化学系の製造組織で、Tick攻撃グループによる添付ファ

半導体系の組織で、BlackTech攻撃グループによるイル付きのスピアフィッシュメールが観測されました。添

PLEADマルウェアが観測されました。マルウェアは付ファイルは5月に観測されたものと同様にフォルダアイ

Windows2003/2008といった古めのサーバーOSに潜コンのEXEファイルで、実行すると次のマルウェアをダ伏して活動しており、遠隔操作を行う時間帯だけに通信先

ウンロードするダウンローダーがシステムに常駐して定期ドメインにIPアドレスを割り当てて短時間で実攻撃を行的にダウンロードを試みる攻撃になっていました。

う特徴が見られました。

2019年8月 (クリティカルインフラ)た。5月の観測と同様に暗号化された別のファイルから
TsCookieを復号するタイプのマルウェアが利用されましクリティカルインフラ関連の組織にて、BlackTech攻た。

撃グループによるTsCookieマルウェアが観測されまし5

標的型攻撃の実態と対策アプローチ 日本を狙うサイバーエスピオナージの動向 2019 年度上期

新しい TTPs や RAT など
ここでは、先に引用させて頂いた公開されている調査報

しく紹介します。

告ではまだ触れられていない観測や分析を中心に、少し詳

DarkHotel

このOﬃceファイルにはマクロが含まれ、マクロの実行によ2019年7月、メディア組織や防衛関連組織に配送されり、PowerShellのファイルhttp[:]//37.220.0[.]41/

たメールには、添付ファイルにOﬃceのファイル「北朝鮮非sd.ps1がダウンロードされて実行されます。続いて、核化の行方と制裁の課題.docm」が含まれていました。

sd.ps1は、http[:]//37.220.0[.]41/Doc1.binからファ

sha256:b63dbd4edc8ef0cb4f8fc92546130b6

イルをダウンロードし、%appdata%\Adobe\ﬂashlast-

8e5275e6fc5fdef93f1646cf65cab3977

est.exeとして保存、実行します。

図 5. sd.ps1 ファイルの PowerShell

ﬂashlastest.exe (sha256: 94c5a16cd1b6af3d

終了してしまう特徴があります。異常終了を回避した分析

545b1d60dﬀ38dc8ad683c6e122fb577d6282

では、最初にﬂashlastest.exeを起動すると、

23dd532ab5a) は、2019年7月8日 03:35:42UTC%appdata%\Adobe\ﬂashlatest.cnfファイルを作成にコンパイルされた32bitのプログラムで、デバッグ情報とし、"0"を書き込みます。続いてファイルサイズ -1バイトをして、「C:\Code\india̲source\80.83\c̲isyss\Re-

計算し、0であった場合は初回起動と判断して、10分に1回

lease\isyss.pdb」の文字列が含まれます。ﬂash-

起動するタスクスケジュールを作成します。

last.exeは、急いで開発されたためか、プログラムが異常
タスクスケジュール名: HIGI Connector
タスクスケジュールで起動する度に、%appdata%\Ado-と合わせてCOMのIWbemLoader経由でインストールされ

be\ﬂashlatest.cnfファイルに"0"を書き込みます。続いているアンチウイルス製品の情報を取得します。感染端末かて、ファイルサイズに対して6の余りを求めて1を加算しまら収 集した 情 報は、ht t p: //t hink- japan[.]ne t /SYS -す。その値が、6以外は Microsoft社の正規サイトにアクセ

TEM2/delSettingdsufytgdsuyf.phpへアップロードさスするだけでなにもしません。6の場合の時のみ別サーバー

れ、アップロードされた情報を元に追加のファイルがダウンに対してアクセスする処理になっています。つまり、6の倍数ロードされます。弊社の観測では続いてダウンロードされる

回目の起動時の1時間に1回メイン処理を行います。

ペイロードの入手には到っておりません。

メイン処理では、感染端末のユーザー名、コンピューター名6

標的型攻撃の実態と対策アプローチ 日本を狙うサイバーエスピオナージの動向 2019 年度上期

図 6. ﬂashtest.exe のダウンローダー部分のコード

北朝鮮非核化の行方と制裁の課題.docm

1.ダウンロード37.220.0.41

2.ダウンロードsd.ps1think-japan.net

3.別名保存・実行

Doc1.bin

4.ダウンロード
Flashlatest.exe

RAT?
図 7. 複数回のダウンロードを行う攻撃のフロー

7

C2

標的型攻撃の実態と対策アプローチ 日本を狙うサイバーエスピオナージの動向 2019 年度上期

この攻撃で観測されたBox社のクラウドストレージを偽レージを装ったページで攻撃者が想定したユーザーアカウ

装したページが設置されていたISPが過去にDarkHotelがントの入力なしには先に進まなかった事もあり、攻撃の成Shinjiru Technology であ

功率は高くないものと分析しています。一方で攻撃の最初ることや、PowerShellが設置されていた37.220.0の通信先までは動作するつくりになっており、今後の本格[.]41とひもづいたドメインと通信する過去のマルウェア的な攻撃に向けてユーザーが配送ファイルを開くかどうかがDarkHotelによるものと分析されていることなどかを試すなど偵察的な攻撃活動の可能性があったと思われまら、今回の攻撃もDarkHotel攻撃グループによるものとす。標的として確認されたメディア業種や防衛関連の組織

ある程度の確度で分析しています。

に加え、配送されたファイル名や国際情勢からは、外交関

DarkHotelと思われる一連の攻撃は、ﬂashlastest.exe

連の組織、朝鮮半島関連の研究組織でも注意が必要だと思が異常終了するプログラムであった事や、クラウドスト

われます。

BlackTech (最近のTTPsの変化)

ルウェアの変更を継続的に行っています。ここでは、2019

攻撃で利用したISPと同じ

年上期に弊社で観測した変更点について解説します。

BlackTech攻撃グループが主に使用するマルウェアは、
TSCookieとPLEADがあります。BlackTechはこれらマ

TSCookie ‒ FrontShell

測では、2018年後半から、RC4で暗号化された別のファ

TSCookieは、RC4で暗号化されたコードを実行時にイルを復号してメモリ上に得られるDLLファイルをロードし復号してメモリ上にDLL形式のファイルを展開します。国内て動作するタイプを多く観測するようになりました。別ファで観測された2018年当初は、ファイル内部にDLLファイ

イルから読み込むタイプは、TSCookie Loaderと呼称さルを含み単体ファイルで動作するタイプでした。弊社の観れJPCERT/CCが解析レポートを公開しています。7

DLL

DLL

TSCookie

TSCookie
Loader2018 年前半

RC4
Encrypted

2018 年後半〜 2019 年
図 8. TSCookie の DLL ロード処理の変化

2019年9月、TSCookie Loader(SHA256:d66cb

TSCookie Loaderのコードは、意味をなさない処理を行

043a9f3b4186ce5a1824d9a6071ee2956ccb

う関数 (dummy) が多く呼ばれており解析を阻害してい0c9744387e5baaf0ac88d76) と暗号化ファイルます。このような意味をなさない関数やジャンクコードの(SHA256: 5cdcc1ee36deb09d1ca52f6b7ced4

挿入箇所は亜種ごとに異なっておりバイナリパターンによﬀ1ccb9cfdb589d46d12b79e6f9599ec014) がる検出回避も目的であると考えています。

オープンマルウェアリポジトリにアップロードされました。

8標的型攻撃の実態と対策アプローチ 日本を狙うサイバーエスピオナージの動向 2019 年度上期

図 9. ダミー関数を挿入しコードを複雑化している箇所

RC4で暗号化されたファイルの鍵は、ファイルの最後と置き換えられます。以下は、暗号ファイルを復号する

128バイトが使われています。その内最後の4バイト

Pythonスクリプトになります。

は、TSCookie Loaderに埋め込まれている4バイトの値

9標的型攻撃の実態と対策アプローチ 日本を狙うサイバーエスピオナージの動向 2019 年度上期

# coding: UTF-8
import sys
RC4_KEY_LENGTH = 0x80
def rc4(data, key):x=0
box = range(256)for i in range(256):x = (x + box[i] + ord(key[i % len(key)])) % 256
box[i], box[x] = box[x], box[i]x=0y=0out = []
for char in data:x = (x + 1) % 256
y = (y + box[x]) % 256
box[x], box[y] = box[y], box[x]out.append(chr(ord(char) ^ box[(box[x] + box[y]) % 256]))
return ''.join(out)def main():argvs = sys.argv
argc = len(argvs)
if (argc != 2):
print "python ./rc4-decrypt.py <encrypted file>"quit()
enc_data = open(argvs[1], 'rb').read()
enc_data2 = enc_data[:-RC4_KEY_LENGTH]
embedded_key = "\x92\x5A\x76\x5D"
rc4key = enc_data[-RC4_KEY_LENGTH:-4] + embedded_key
dec_data = rc4(enc_data2, rc4key)
with open('rc4_decrypted', 'wb') as decrypt:
decrypt.write(dec_data)
if __name__ == "__main__":main()
図 10. 暗号化ファイルを復号する Python スクリプト

復号したファイルの中身は、オフセット0xA06からがロードされるDLLファイルになります。

10

標的型攻撃の実態と対策アプローチ 日本を狙うサイバーエスピオナージの動向 2019 年度上期

図 11. 復号したファイルの中身

11

標的型攻撃の実態と対策アプローチ 日本を狙うサイバーエスピオナージの動向 2019 年度上期

tis̲[Mark].dll という名称のDLLを観測しています。こメモリ上にロードされるDLLの名称は、 FrontShell.dll 、 MyNewInjector̲Avria.dll や正規のDLLフのDLLの場合は、エクスポート関数 PrintF でDLL内部

ァイルと同じ kernel32.dll や gdiplus.dll 名称のものに埋め込まれている設定情報を復号します。

が存在しますが、最近では、 FrontShell̲Atlan-

図 12. DLL ファイルの名称

図 13. 暗号化されている設定情報を関数に渡す箇所

DLLに埋め込まれている設定情報 (サイズ:2936バイ

埋め込まれている設定情報はJPCERT/CCが公開していト) もRC4で暗号化されていますが、ここでは暗号化コーるツール10で抽出する事ができます。

ドの先頭128バイトが鍵として使われています。 DLLに

10 https://github.com/JPCERTCC/aa-tools/blob/master/tscookie̲data̲decode.py

12

標的型攻撃の実態と対策アプローチ 日本を狙うサイバーエスピオナージの動向 2019 年度上期

PLEAD Loader

XOR+RC4で復号したシェルコードをメモリ上に展開する

PLEADは、暗号化コードを内部に埋め込んでおり、処理を行います。

図 14. PLEAD 暗号化コード復号処理

13

標的型攻撃の実態と対策アプローチ 日本を狙うサイバーエスピオナージの動向 2019 年度上期

2019上期にTSCookieと同様に、別のファイルから暗ファイルが存在するかを確認します。
ファイル探索の条件は、TSCookie Loaderとは異なり、号化コードを読み込むタイプの存在を確認しました。

ファイルサイズとファイルのROL5ベースのハッシュ値でPLEAD Loader

す（図１5）。暗号化ファイルが見つかった場合は、従来

SHA256: 39d69518c17e03eb0908321b9b49

観測されているPLEADと同様にXOR+RC4で復号しま

32a8bbb0fe8b6e89c81422adade5cbb0efda

す。弊社で観測した条件は、ファイルサイズが28,504

暗号化ファイル

バイトで、ハッシュ値が0x6AC1360Fでした。

SHA256: da6813f0ef85b0abc8df4df72ded432

弊社が調査したケースでは、暗号化ファイルが desk-

25704b179b575e210319e55f0432ec171

top.ini という名称で、PLEAD Loaderと同じフォルダ

PLEAD Loaderは、同じフォルダに対象の暗号化されたに設置されていました。

図 15. PLEAD Loader ファイル探索処理

メモリ上に展開されたシェルコードは、外部サイトから

PLEADは、感染端末のレジストリに設定されているユー

ファイルをHTTPでダウンロードします。従来のPLEAD

ザーエージェントを使うように変更されていました。

は、固定のユーザーエージェントを使っていましたが、本

14

標的型攻撃の実態と対策アプローチ 日本を狙うサイバーエスピオナージの動向 2019 年度上期

参照レジストリ)

このレジストリが見つからない場合は、 Mozilla/4.0

HKEY̲CURRENT̲USER\Software\Microsoft\Win-(compatible; MSIE 8.0; Win32) をユーザーエージェ

dows\CurrentVersion\Internet Settings\User

ントに使います。

Agent

図 16. 2018 年 PLEAD

図 17. 2019 年 PLEAD User Agent レジストリを読み込む箇所

15

標的型攻撃の実態と対策アプローチ 日本を狙うサイバーエスピオナージの動向 2019 年度上期

最後に、主ツールであるTSCookieとPLEADは精力的思われる事案がありました。また、Windowsの業務端末に改良を重ねられており、ファイル単体での検出がより困だけでなく、サーバーファームでの感染も確認されていま難になっています。攻撃の配送はメールでクラウドストレ

す。インターネットから直接アクセスできない社内サーバ

ージのリンクを送付11し、マルウェアを配送する事で知らーは、OSのアップデートやパッチ適用、セキュリティ製

れますが、その他にも社内の通信機器を乗っ取ってマルウ品の導入が見落とされがちですが、通信機器のファームウ

ェアを配送する事が最近報告されています 。弊社のイン

ェアのアップデートや、サーバーファームの侵害痕跡の確

シデント対応においても、通信機器が侵入経路となったと認などにも注意して頂ければと思います。

12

図 18. BlackTech 攻撃グループの侵入経路と潜伏先

11 https://piyolog.hatenadiary.jp/entry/20180119/1516391079
12 https://www.welivesecurity.com/2019/05/14/plead-malware-mitm-asus-webstorage/16

標的型攻撃の実態と対策アプローチ 日本を狙うサイバーエスピオナージの動向 2019 年度上期

Tick

書き込まれたファイルは、〜dm.tmpのファイル名のまま実行され、自身をavirra.exeの名前に変更して、自動起動エ

2019年7月に化学系組織に配送されたメールの添付に含まれるWindowsフォルダのアイコンを持つファイル

ントリーをSOFTWARE\\Microsoft\\Windows\\Cur-(sha256: 32db-

rentVersion\\RunにRavirraの名前で作成します。続い

fc069a6871b2f6cc54484c86b21e2f13956e3て、起動中のプロセスに、PccNT.exe (トレンドマイクロ

666d08077afa97d410185d2) は、実行されると、社のアンチウィルスソフトウェアを意識したと思われる) がリソースセクションに含まれる実行ファイルを〜dmの名前検出されるとこれの停止を試み、感染環境から次の情報をを先頭につけて、%temp%フォルダに作成します

取得します。

(〜dmXXXX.tmp XXXXはランダム) 。

● ホスト名● NICアダプターの情報● インストールされているアンチウィルスソフト製品の情報● OSのバージョン● CPU情報

取得した情報は、通信先URIの ?UID= と ?ws= の値の送信された情報に基づいて次のマルウェアがダウンロード

後ろにエンコードされた文字列として付加して送信されまされて、実行されるダウンローダーです。ユーザーエージ

す。 ?UID= の値には、ホスト名とNICアダプターの情

ェントの値 Mozilla/4.0(compatible;MSIE8.0;Win-

報を、12345の繰り返しでXOR+Base64エンコード

dowsNT6.0;Trident/4.0) にも特徴があり、通常はユした値が付加されます。 ?ws= の値には、アンチウィル

ーザーエージェント値のセミコロン;の後ろにあるはずのスソフトの利用状況と、OSのバージョン、CPU情報の組

スペースがありません。

み合わせが、Base64エンコードされて送信されます。

図 19. ダウンローダーの URI で環境情報を送信する通信とユーザーエージェント値

17

標的型攻撃の実態と対策アプローチ 日本を狙うサイバーエスピオナージの動向 2019 年度上期

図 20 UID と ws 値の Python デコード例

Tickグループによる昨年5月の攻撃8で観測されたダウ

ロセスを停止する箇所が類似しています。

ンローダーと今回のダウンローダーでは、PccNT.exeプ

図 21. トレンドマイクロ社のプロセスを停止するコード18

標的型攻撃の実態と対策アプローチ 日本を狙うサイバーエスピオナージの動向 2019 年度上期

同様のダウンローダーを使った攻撃は、昨年より継続してデントでの観測からは、Tickグループの攻撃の現在の主観測されています。配送ファイルは、EXEではなく脆弱

流は、配送ファイルやダウンローダーに変更を加えつつ攻性を攻撃するOﬃceファイルが使われるケースもありま撃を行い、侵入に成功した場合は、ダウンローダーの後にす。ダウンローダーは、ユーザーエージェントの値、収集

初期RAT、2次RATとRATを変更しながら攻撃を行ってする情報、ファイルサイズのパディング、ジャンクコードいると考えています。侵入後に観測されたRATについてなど、コードを少しずつ変更して使われています。インシは、弊社の以前のレポート4に記載しています。

初期侵入

足場固め

内部活動

メールの添付形態を変更

ppsx(Exploit)
DOC(Exploit)
EXE(Dropper)?

ダウンローダ―を少しずつ更新

ダウンローダー＋
自動起動（常駐）

標的の見極め（Source IP,CPU,etc.）

メモリ

1st RAT

Recon（Datper）

図 22. Tick グループの攻撃フロー19

2nd RAT
Loader

3rd RAT

目的達成

標的型攻撃の実態と対策アプローチ 日本を狙うサイバーエスピオナージの動向 2019 年度上期

攻撃グループごとの TTPs ( 戦術、技術、手順 )2019年上半期という観測期間での攻撃グループごとのTTPsと標的組織を表で大まかに整理します。

攻撃グループTick(Bronze Butler)

攻撃の TTPs
マルウェアの配送の特徴：

標的組織
化学、通信

メール添付ファイルに含まれる (EXE)
エクスプロイト：N/A
利用するツール・マルウェア：
ダウンローダーDatper
ローダー RAT1 等
C2 通信の特徴：
ダウンローダーのユーザーエージェントに特徴がある( 検知のインディケータ参照 )、バージョンによって異なる

BlackTech

マルウェアの配送の特徴：N/A

リサーチ、半導体、

エクスプロイト：クリティカルインフラ

通信機器の脆弱性を悪用利用するツール・マルウェア：
PLEAD、TsCookie
C2 通信の特徴：
ユーザーエージェントに特徴がある( 検知のインディケータ参照 )、最近は異なるケースもある

DarkHotel

マルウェアの配送の特徴：

メディア、防衛

メール本文の URL リンク
メール添付ファイル (Oﬃce マクロ )エクスプロイト：N/A
利用するツール・マルウェア：
PowerShell
ダウンローダーC2 通信の特徴：N/A

20

標的型攻撃の実態と対策アプローチ 日本を狙うサイバーエスピオナージの動向 2019 年度上期

TTPs より考察する脅威の検出と緩和策
マルウェアの配送について事で攻撃が開始されるような攻撃も行っています。メール

標的型攻撃の主な起点であるマルウェアの配送では、添付のケースでは、メールサンドボックスで添付ファイル

Tick攻撃グループはメールの添付で実行ファイルを配送の安全性を確認するような対策が有効と思われます。一し、DarkHotel攻撃グループはメールの添付でマクロ付方、URLリンクからダウンロードするようなケースできOﬃceのファイルを配送しています。一方で、Dark-

は、Web分離・無害化といった対策も有効だと思われまHotel攻撃グループは、メールの本文にURLのリンクをす。

つけURLのリンクからダウンロードしたファイルを開く

攻撃について

標的型攻撃グループによる悪用の報告はまだありません

Oﬃceの脆弱性を攻撃するファイルが配送されるケース

が、SSL-VPN装置が外部からの侵入経路となり得るようがありますが、ゼロデイを攻撃するようなケースは観測さな脆弱性が発表されています 13 。パッチマネージメント

れておらず、パッチマネージメントは有効な緩和策と思わは、端末やサーバーのOSとソフトウェアだけでなく、通れます。また、BlackTech攻撃グループは企業の通信機

信機器も対象にするよう注意頂ければと思います。

器を攻撃して侵入してくる可能性が指摘されています12。

インストールされるRAT、遠隔操作 (C&Cについて)ないよう注意してください。

BlackTech攻撃グループは、マルウェアのペイロード

Tickグループのダウンローダーは、細かな変更が多くエ部分を暗号された別のファイルとして用意したり、ユー

ンドポイント、ネットワークともに検出が容易ではないと

ザーエージェント値を感染端末由来のものに変更したり、思われます (最新の観測ではユーザーエージェントに特徴

感染端末でのファイルスキャンによる検出、ネットワークがある) 。また、DarkHotel攻撃グループも攻撃の手口を監視による検出への対策を強化していると思われます。一

よく変更してきていると思われます。これらへの1つのア方で、過去に利用したドメイン名の利用や、つい最近まで

プローチは、攻撃の後半のフェーズで最終的に動作する

同じユーザーエージェント値を使っている事などから、既RATが動き始めた後のリモートコマンドを監視・検出す

出のインディケータを使って、ネットワークログを過去にる事があります。また、より前半のフェーズでは、Oﬃce

さかのぼって検索する事は脅威を検出する有効な方法と思のファイルからPowerShellが実行されるなど今回観測さわれます。また、インシデント対応での観測では、サーれたパターンをEDRなどで監視・検知する事も有効と思

バーファームでの感染も念頭に、対策や検出範囲に漏れがわれます。

13 https://i.blackhat.com/USA-19/Wednesday/us-19-Tsai-Inﬁltrating-Corporate-Intranet-Like-NSA.pdf

21

標的型攻撃の実態と対策アプローチ 日本を狙うサイバーエスピオナージの動向 2019 年度上期

検知のインディケータ
攻撃グループTick(Bronze Butler)

攻撃の TTPs
検体 (SHA256)
911fbd95e39db95dbfa36ﬀ05d7f55fc84686bbe05373fc2f351eb76a15d9d74
337d610ebcc9c0834124f3215e0fe3da6d7efe5b14fa4d829d5fc698deca227d
706a6833b4204a89455f14387dbfc4903d18134c4e37c184644df48009bc5419
58b06982c19f595e51f0dc5531f6d60e6b55f775fa0e1b12ﬀd89d71ce896688
04fec91f13ea96bc9a4446895d870a31991abd623288504b8c707d97905eaa8d
fb0d86dd4ed621b67dced1665b5db576247a10d43b40752c1236be783ac11049
d1307937bd2397d92bb200b29eeaace562b10474ﬀ19f0013335e37a80265be6
32dbfc069a6871b2f6cc54484c86b21e2f13956e3666d08077afa97d410185d2
その他 :User-Agent 値
Mozilla/4.0(compatible;MSIE8.0;WindowsNT6.0;Trident/4.0)

BlackTech

検体 (SHA256):
TSCookie Loader
d66cb043a9f3b4186ce5a1824d9a6071ee2956ccb0c9744387e5baaf0ac88d76
暗号化ファイル
5cdcc1ee36deb09d1ca52f6b7ced4ﬀ1ccb9cfdb589d46d12b79e6f9599ec014
PLEAD Loader
39d69518c17e03eb0908321b9b4932a8bbb0fe8b6e89c81422adade5cbb0efda
暗号化ファイル
da6813f0ef85b0abc8df4df72ded43225704b179b575e210319e55f0432ec171
窃取された電子署名が付与されたスキャンツール
f451c943be3ae1ac9c773484449696ea5629777b19b1ad66d334e0d5b8e8330a
f30b8f26ea4ee498b5e10471a0ba720e2c21210bc57440409533d6b072d95153
C2:
appstore.androiddatacenter[.]com
http[:]//ddc.phonewebex[.]com:443/index.php
その他 :User-Agent 値 ( 感染端末の User Agent レジストリ値 )Mozilla/4.0 (compatible; MSIE 8.0; Win32)

DarkHotel

検体 (SHA256):b63dbd4edc8ef0cb4f8fc92546130b68e5275e6fc5fdef93f1646cf65cab3977
94c5a16cd1b6af3d545b1d60dﬀ38dc8ad683c6e122fb577d628223dd532ab5aC2:
http[:]//37.220.0[.]41/sd.ps1
http[:]//37.220.0[.]41/Doc1.bin
http[:]//think-japan[.]net/SYSTEM2/delSettingdsufytgdsuyf.php

22

第3版
本社

〒222-8562 横浜市港北区新横浜1-5-5
TEL.045-476-2010 FAX.045-476-2060

西日本営業所〒530-0005 大阪市北区中之島2-3-33 大阪三井物産ビル 14階
TEL.06-6227-6916 FAX.06-6227-6917

2019年10月 © Macnica Networks Corp.
● 本ホワイトペーパーに掲載されております社名および製品名は、各社の商標および登録商標です。

（※）本ホワイトペーパーはマクニカネットワークス株式会社の著作権物で、同社の承諾を得ずに、文章や図表などをコピー、転載、インターネット送信等の方法で利用することはできません。