３つの脅威グループを繋げる黒幕、初期アクセスブローカー（IAB）を発見：マルウェアの群れをかくまう Zebra2104

図 8： StrongPity の標的国

そして 2020 年 6 月、Cisco 社の Talos Intelligence が mentiononecommon[.]com を StrongPity の C2 サーバーとして報告していました。また、このドメインは StrongPity 関連の 3 つのファイルを提供しており、その 1 つは前述の Internet Download Manager ユーティリティをトロイの木馬化したものでした。

表 4：mentiononecommon[.]com の StrongPity サンプル

さらに、mentiononecommon[.]com は timofei66[at]protonmail[.]com というメールアドレスを用いて登録されており、WHOIS 登録者情報がまたしてもロシアを指していました。

これは証拠としてはまったく不十分ですが、注目すべき共通点であることは確かです。

表 5：mentiononecommon[.]com の WHOIS 登録者情報

図 9：mentiononecommon[.]com による StrongPity バイナリの提供

この時点で、MountLocker と StrongPity が何らかの形で連携しているのではないかという疑いが生じていました。両者の動機に一致が見られないため、この見解には無理があるようにも思われました。しかし、それでもなおこの仮説を検証できないかと試みていると、さらに興味深い新事実に遭遇することになりました。

3 つのグループ — 他には ?

The DFIR Report の Twitter 投稿を通じて、supercombinating[.]com からさらなるランサムウェアが展開されていることがわかりました。しかし以前と異なり、それは MountLocker ではありませんでした。投稿にリンクされた Any.Run のサンドボックスレポートから、ここでは Phobos ランサムウェアが代わりに展開されていることが確認できました。

これにより、次々と疑問が生じてきます。MountLocker と Phobos には関係があったのでしょうか ? この 2 つの異なるランサムウェアグループは、同じインフラストラクチャを用いていたのでしょうか ? これは配信システムなのでしょうか ? これらすべてに、IAB の関与があったのでしょうか ?

図 11：The DFIR Report による Twitter 投稿（supercombinating[.]com 経由で Phobos を展開する Cobalt Strike に言及）

Phobos は 2019 年初頭に初めて確認されたランサムウェア亜種であり、Dharma ランサムウェアファミリーが基になっていると考えられています。いわば「大物」の組織を狙う他のランサムウェアオペレーターとは異なり、Phobos はさまざまな業界の中小規模の組織を狙っていることが確認されており、身代金の平均支払額は 2021 年 7 月時点で約 54,000 ドルとなっています。

ランサムウェアの作成者が Phobos という名前を選んだ理由は、これが古代ギリシャ神話に登場する恐怖の神の名前だからではないかと考えられます。被害者に与えたいであろう印象をこれほど直接的に示しているマルウェアグループは、そう多くありません。

謎の第 4 グループの出現

先の新情報はちょっとした難問でした。もし MountLocker がインフラストラクチャを所有しているなら、他のランサムウェアオペレーターがそれを用いて活動する可能性は低いと思われますが、過去にはそのようなことが起きていました。

2020 年 6 月、脅威アクターグループ Maze が窃取済みのファイルをリークサイトに掲載していました。しかし、リークサイトにアクセスしてみると、その窃取済みファイルは実際には脅威アクターグループ LockBit から提供されていました。Bleeping Computer が Maze に連絡を試み、Maze と LockBit の間に暗示される協力体制についての詳細情報を求めたときには、Maze グループは次のように答えていました。

「数日のうちに別のグループがこのニュースサイトに現れる予定です。我々は皆、この協力体制がアクターグループと企業の双方にとって有益な結果につながると考えています。また、このプラットフォームは企業のデータを掲載するためだけに使われるわけではありません。我々が持つ経験と知名度を活かし、有益かつ堅実な未来を築くためにも使われるのです。我々は他のグループを競合相手ではなくパートナーとして扱います。成功を収めるビジネスの裏には、常に組織に関する謎があるものです。」

ただ、今回調査したいくつかの事例では、Cobalt Strike による初期侵害後にさらなるランサムウェアが展開されるまでの間に遅れがあることが確認されています。このことから、問題のインフラストラクチャは StrongPity、MountLocker、Phobos のいずれでもなく第 4 のグループのものであり、これが上記 3 グループの活動を支援しているものと推察されます。その実現手段となるのは、初期アクセスを提供するか、あるいは IaaS（Infrastructure-as-a-Service）のサービスを提供するかのどちらかです。

すべての真相、IAB

IAB とは、多くの攻撃のキルチェーンにおける第 1 段階を担う存在です。つまり、エクスプロイトやフィッシングなどの手段で被害者のネットワークへの侵入経路を確保します。

図 12：IAB の運用ワークフロー

足場の確保（被害者のネットワークへの確実なバックドアの設置）に成功すると、IAB はそのアクセス権をダークウェブの地下フォーラムに商品として掲載し、買い手を求めて宣伝を出します。

アクセス権の価格はわずか 25 ドルから数千ドルまでと幅がありますが、通常、標的組織の年間収益が高いほどアクセス権の設定価格も高くなります。

販売契約が成立すると、ほとんどの場合は落札者が自らの必要に応じたマルウェアを展開します。これにはランサムウェアから情報窃取型マルウェア（インフォスティーラ）まで、あらゆる種類のマルウェアが含まれます。

今回調査してきた 3 つの脅威アクター、すなわち MountLocker、Phobos、StrongPity は、このような手段によってアクセス権を確保していたものと考えられます。

さらなる IAB インフラストラクチャの可能性

さらに調査を進めると、2 つの新たなドメインが見つかりました。これらは 2021 年 7 月 21 日に登録され、いずれも IP アドレス 87.120.37[.]120 へと解決されていました。

• ticket-one-two[.]com
• booking-sales[.]com

図 13：IP アドレスの解決

これは trashborting[.]com と lionarivv[.]us が解決されていた IP アドレスに他なりません。

図 14：87.120.37[.]120 の逆引き結果

この記事の執筆時点では ticket-one-two[.]com は使用されていませんが、一方の booking-sales[.]com は注目すべきある 1 つのファイルを提供していました。それは 13 KB と小さな Portable Executable（PE）ファイルで、解析の結果シェルコードローダーであることがわかりました。

そして、このローダーは Cobalt Strike の DNS ステージャをシェルコードとしてロードしていることが判明しました。DNS ステージャとは、DNS の TXT レコードを介して Cobalt Strike Beacon をダウンロードするものです。

ローダーと DNS ステージャの詳細調査

このシェルコードローダーを正常に実行するためには、特定のコマンドライン引数を与える必要があります。その引数はハッシュ化され、値 0xB6E35C と照合されます。幸い、比較処理にパッチを適用することでこの照合は迂回できます。

続いて、ローダーは VirtualAlloc 関数によって読み出し・書き込み・実行（RWX）の権限を付与したメモリを割り当て、バイナリ内に格納されているデータをメモリ上にデコードします。このデコードは減算と除算を組み合わせて行われ、特定の暗号方式は用いられません。

図 15：減算と除算の繰り返しによるデコード

デコード結果のデータはシェルコードの BLOB です。このことは、先頭バイトがシェルコードによく見られる命令列「FC E8 89 00 00 00」であることから判断できます。

図 16：デコード結果のシェルコード

逆アセンブラ IDA でシェルコードを逆アセンブルすると、DNS のネームサーバーを装っていると思われる新たなドメインがすぐに見つかります。

図 17：ネームサーバーを装う新たな URL

また、関数呼び出しの前に 4 バイトの 16 進数がスタックにプッシュされている様子も確認できます。これは Windows API のインポート名をハッシュ化していることを示しており、API 関数をロードしていることを解析で特定されないようにするための一般的な手法です。図 18 に示すように、ebp レジスタに対する呼び出しの前に C99CC96A がスタックにプッシュされています。

この結果 DnsQuery_A 関数が呼び出され、上記 URL に対する DNS クエリが実行されます。

図 18：DnsQuery_A 関数でウェブサイトの DNS レコードを照会するコード

DNS 応答が得られると、図 19 に示すように、その応答から TXT レコードが抽出されてレコード長が検査されます。

図 19：DnsQuery_A 関数の結果から TXT レコードの長さとデータを抽出するコード

これは DNS ステージャの典型的な挙動です。つまり、ステルス性を確保するために DNS プロトコルを悪用し、DNS の TXT レコードを介して後続段階のペイロードをダウンロードするのです。また、これは前述のドメイン名が DNS のネームサーバーを装って名付けられていた理由でもあります。

Cobalt Strike の Malleable C2 に関するドキュメントを見ると、図 17 に示した URL のドメインがドキュメント内の例と非常によく似ていることがわかります。このことから、このシェルコードは Cobalt Strike の DNS ステージャであり、実行が成功した場合は Cobalt Strike Beacon がダウンロードされるものと考えられます。

図 20：Cobalt Strike の開発者向けドキュメントに例示された DNS サーバーとの大きな類似性

最後にもうひとつ

ここまで、IAB グループのインフラストラクチャと考えられる存在の全貌をご紹介してきました。今回見てきた IP アドレスについて何かお気づきでしょうか ?

この記事で言及したすべてのドメインは、いずれもある時点では、ブルガリアの Neterra 社が所有する 1 つの自律システム（AS）番号に紐づいた IP アドレスへと解決されていました。

ここで言いたいのは、脅威アクターの帰属がブルガリアにあるということではなく、すべてのインフラストラクチャがある特定の企業によってホストされているということです。さらに、Neterra 社は防弾ホスティングプロバイダとしては知られていません。つまり、悪意のある活動を支えるために悪用されている可能性が高いと考えられます。

これらすべての IP アドレスが同じ AS 番号に紐づいているという事実は、今回の一連の出来事が実は 1 つの脅威グループの仕業であり、アクセス権を購入したグループの活動を下支えしているという見解をより強固にします。

図 21：ブルガリアの同じ AS 番号に紐づいた IP アドレス

暗闇に光るビーコンの見つけ方

ご興味のある方のために、この場を借りて BlackBerry の新著「Finding Beacons in the Dark: A Guide to Cyber Threat Intelligence（暗闇に光るビーコンの見つけ方：サイバー脅威インテリジェンスのためのガイド）」をご紹介します。これは BlackBerry の Research & Threat Intelligence Team がこの 1 年を通して丹念に作り上げてきたものです。

この本では、BlackBerry におけるサイバー脅威インテリジェンス（CTI）のライフサイクルを紹介し、読者が自動化システムを独自に構築して脅威ハンティングを行う方法を説明しています。その脅威としては、Cobalt Strike の Team Server を取り扱っています。

また、Beacon の構成と Malleable C2 プロファイルについても詳しく説明した上で、48,000 を超える Beacon と 6,000 を超える固有の Team Server から得られる洞察、トレンド、発見を明らかにします。

さらに、このようなデータセットによって可能となるインテリジェンスの相関分析が持つ力について、以下のような目的にそれをどう活用するのかも含めてご紹介します。

• 脅威アクターのプロファイルを構築する
• 既存の脅威グループに関する知識を拡充する
• 脅威アクターによる継続中および新規のキャンペーンを追跡する

最終的に、読者は以下のような項目を実施できるようになります。

• SOC アナリスト、IR チーム、調査担当者に実用的なインテリジェンスを提供する
• 「アラート疲れ」を低減する
• 脅威検知を改善する
• セキュリティソリューションとサービスを微調整する

まとめ

今日の脅威環境における多くのサイバー捜査と同じく、今回の調査は Cobalt Strike Beacon とその構成に含まれるデータを解析することから始まりました。その中で、trashborting[.]com という 1 つのドメインの存在と、その現在と過去のドメイン解決情報が糸口となり、複数の異なるキャンペーンと 1 つの新たなグループへのつながりが明らかになりました。このグループは BlackBerry の Research & Intelligence Team が Zebra2104 と名付け、現在も追跡を続けているものです。この名前は、初期アクセスサービスを利用することの副次的効果として、脅威アクターが「群れの中に隠れる」ことが可能になっている点に由来しています。

つながりが判明したキャンペーンの中には、過去に Microsoft 社によって報告されていたマルスパムインフラストラクチャも見られました。ここではランサムウェアから情報窃取型マルウェア（インフォスティーラ）まで、さまざまな種類のマルウェアが提供されていました。また、このインフラストラクチャは 2020 年 9 月にオーストラリアの政府機関や民間企業を標的としたフィッシングキャンペーンを展開していたことも確認されています。

さらに調査を進めると 2 つの姉妹ドメインが見つかり、さまざまなインテリジェンスを活用した結果、最終的に MountLocker と Phobos がそのドメインから展開されていることがわかりました。

続いて、過去の IP 解決結果が一致する別のドメインが特定され、これが 2020 年 6 月に Talos Intelligence によって報告されていた APT グループ StrongPity へとつながりました。

一見無関係な 3 つの脅威グループが重複するインフラストラクチャを使用し、共有している状況を前に、これらの特殊なつながりをどう解釈するのが最も妥当かを考える必要がありました（特に、各グループの動機が一致していないように思われたため）。

結果として、これは 3 つのグループが結託しているのではなく、第 4 の存在の仕業であるとの見解に至りました。つまり、BlackBerry が Zebra2104 と呼んでいる初期アクセスブローカーによって、被害者の環境への初期アクセスが提供されているということです。

今回の調査の至るところで悪意のあるインフラストラクチャが相互に関連していたことは、合法的なビジネスの世界と同様に、サイバー犯罪グループが多国籍企業のような形態で運営されている場合があることを示しています。複数のグループが協力体制を構築して同盟を結び、目標達成に役立てているのです。このような脅威グループの「協業」は、今後さらに増えていくと考えた方が良いでしょう。

これに打ち勝つためには、こうしたグループ（およびその他多くのグループ）に関するインテリジェンスを追跡し、文書化し、共有することが欠かせません。セキュリティコミュニティが広大になることで、共謀する脅威グループに対する監視と防御が可能になるためです。これはまた、私たち全員がサイバー犯罪者の手口をさらに深く理解することにもつながります。

犯罪者が手を結ぶのであれば、私たちもそうするしかないでしょう。