研究者がエンドポイント保護を無効にするクリプトジャッキング攻撃を発見

研究者らは火曜日、最近発見されたマルウェアは、高度な手段を使ってウイルス対策保護を無効にし、感染の証拠を破壊し、仮想通貨マイニングソフトウェアでマシンを永久に感染させる、と述べた。

異常に複雑なマルウェア システムを動作させる鍵となるのは、GhostEngine と呼ばれるメイン ペイロード内の機能であり、これは、ターゲット コンピュータ上で実行されている可能性のある Microsoft Defender やその他のウイルス対策ソフトウェアやエンドポイント保護ソフトウェアを無効にします。 また、侵害の証拠も隠蔽します。 「GhostEngine マルウェアの最初の目的は、エンドポイント セキュリティ ソリューションを無力化し、プロセス作成やサービス登録を記録するセキュリティ ログやシステム ログなどの特定の Windows イベント ログを無効にすることです」と攻撃を発見した Elastic Security Labs の研究者は述べています。

GhostEngine は、最初の実行時にマシンをスキャンして、実行されている可能性のある EDR (エンドポイントの保護と応答) ソフトウェアを探します。 ドライバーが見つかった場合、脆弱性が含まれていることが知られているドライバーが読み込まれ、攻撃者がカーネル（改ざんを防ぐために厳しく制限されているすべてのオペレーティング システムの中核）にアクセスできるようになります。 脆弱なドライバーの 1 つは、aswArPots.sys という名前のアバストのアンチルートキット ファイルです。 GhostEngine はこれを使用して EDR セキュリティ エージェントを終了します。 次に、smartscreen.exe という名前の悪意のあるファイルが、iobitunlockers.sys という名前の IObit のドライバを使用して、セキュリティ エージェントのバイナリを削除します。

「脆弱なドライバーが読み込まれると、検出の機会が大幅に減少するため、組織は SIEM へのログの送信を停止する侵害されたエンドポイントを見つけなければなりません」と研究者らはセキュリティ情報およびイベント管理の略語を使用して書いています。 彼らの研究は、Antiy の最近の発見と重なっています。

EDR が終了すると、smartscreen.exe は XMRig のダウンロードとインストールを開始します。XMRig は、脅威アクターによって頻繁に悪用される暗号通貨 Monero をマイニングするための正規のアプリケーションです。 含まれている構成ファイルにより、作成されたすべてのコインが攻撃者が制御するウォレットに入金されます。

感染チェーンは、正規の Windows ファイル TiWorker.exe を装った悪意のあるバイナリの実行から始まります。 このファイルは、攻撃者が制御するサーバーから追加のツール、モジュール、構成をダウンロードする get.png という難読化されたスクリプトを取得する PowerShell スクリプトを実行します。 Elastic Security Labs は、実行フロー全体を示す次の図を提供しました。

GhostEngine は、マルウェアの永続化を可能にするいくつかのファイルも実行します。つまり、感染したマシンが再起動されるたびにファイルが読み込まれます。 これを行うために、get.png という名前のファイルが、Windows の最高のシステム権限である SYSTEM を使用して次のスケジュールされたタスクを作成します。

• OneDriveクラウドシンク msdtc を使用して、悪意のあるサービス DLL C:WindowsSystem32oci.dll を 20 分ごとに実行します (後述)
• デフォルトブラウザ更新 C:UsersPublicrun.bat を実行すると、get.png スクリプトがダウンロードされ、60 分ごとに実行されます。
• OneDriveクラウドバックアップ C:WindowsFontssmartsscreen.exe を 40 分ごとに実行します。

別のコンポーネントがバックドアとして機能し、攻撃者が感染したマシン上でマルウェアをさらにダウンロードして実行できるようにする可能性があります。 「backup.png」という名前のPowerShellスクリプトは「バックドアのように機能し、システム上でのリモートコマンド実行を可能にする」と研究者らは書いている。 「Base64 でエンコードされたコマンドを待機している間、現在時刻とコンピューター名から導出された一意の ID を含む Base64 でエンコードされた JSON オブジェクトを継続的に送信します。 これらのコマンドの結果が送り返されます。」

研究者らは、マルウェアが XMRig の構成に使用したファイルを抽出しました。 次の支払い ID が確立されました。

468ED2Qcchk4shLbD8bhbC3qz2GFXqjAUWPY3VGbmSM2jfJw8JpSDDXP5xpkMAHG98FHLmgvSM6ZfUqa9gvArUWP59tEd3f

研究者は、この ID を使用して、構成にリストされている Monero Mining Pool サイトの 1 つでワーカーとプールの統計を表示できるようになりました。

支払い ID は、XMRig が攻撃者から得た利益が 60 ドル強に過ぎないことを示していました。 ただし研究者らは、同じキャンペーンで感染した他のマシンには異なる ID が与えられ、より大量のモネロが生成された可能性があると指摘しました。

このキャンペーンは一連の EDR 保護を無効にすることに成功したため、管理者はネットワーク内の感染を発見するために他の手段に頼る必要があります。 研究者らは、感染を警告する一連の YARA ルールを発表した。 これらは主に、GhostEngine マルウェアの存在と、Avast および IOBit ドライバーのインストールを検出することによって機能します。 火曜日の投稿には、標的化や感染を示すファイルハッシュ、IPアドレス、ドメイン名のリストも掲載されている。