Dalbit、m00nlight: 中国ハッカーグループの APT 攻撃キャンペーン

0. 概要

この内容は2022年8月31日に掲載した「韓国国内の企業をターゲットにした FRP(Fast Reverse Proxy)を使用する攻撃グループ」ブログの延長線上に位置し、このグループの行動を追跡した内容になっている。

このグループは以前から今まで、オープンソースツールを主に使用しており、PDB などの情報がないため、プロファイリングの明確な特報が不足している状態であった。また、C2(Command&Control)サーバーの韓国国内企業サーバーを悪用し、被害を受けた企業が調査を別途で要請しないと収集できる情報が限定的である。しかし、ブログが公開されて攻撃者が使用していた韓国国内のサーバーが一部遮断されると、攻撃者は「*.m00nlight.top」という名前のホストサーバーを C2 およびダウンロードサーバーに使用し始めた。そのため、ASEC ではこのグループを「Moonlight」の韓国語訳を変形させて Dalbit、m00nlight.top と命名する。

このグループは2022年から今までに韓国企業の50か所以上に攻撃を試みていたことが確認されている。現在までに攻撃された企業は主に中小企業ではあるが、大企業も一部含まれており、特に感染企業の30%が韓国国内の特定グループウェアソリューションを使用していることが確認された。現在このグループウェア製品の脆弱性の有無を明確に知ることは難しいが、このように外部に露出したサーバーが脆弱性の場合、社内の機密流出とランサムウェアの振る舞いまでが流れで行われ、企業に致命的な影響を与えることができる。また、この Dalbit グループは、感染した企業の一部をプロキシ(Proxy)およびダウンロード(Download)サーバーとして、他の企業に侵入する際に攻撃者によって使用されていた。

そのため、今回の Dalbit グループの攻撃の疑いがある場合、社内のセキュリティメンテナンスを行う必要があると見られ、潜在的な2次被害と他の企業の被害を予防する先制的な対応ができるよう AhnLab に状況を提供してほしい。

1. 韓国国内の被害を受けた企業(商業分類)

2022年から現在までに確認された被害企業は50社あり、その内訳は以下の通りである。明確に確認されていない企業はリストから除外してあり、被害を受けた企業は記載されている以外にもあると推定される。

各分類についての説明は以下の通りである。

• Technology : ソフトウェアやハードウェアを扱う企業
• Industrial : 機械や塗料、鉄鋼や金属を扱う製造業
• Chemical : 化粧品、製薬、プラスチックなどの企業
• Construction : 建設業者や建設に関連した協会や団体
• Automobile : 自動車関連の製造業
• Semiconductor : 半導体関連の製造業
• Education : 教育関連の企業
• Wholesale: 卸売業
• Media : 印刷およびメディア企業
• Food : 飲食企業
• Shipping : 貨物企業
• Hospitality : レジャー企業や観光宿泊業
• Energy : エネルギー企業
• Shipbuilding : 造船業
• Consulting : 経営コンサルタント企業

2. フローと特徴

2.1. 要約図

上記の図は攻撃者が B 企業(Company B)を侵害したプロセスである。このフローを簡単に紹介すると以下の通りになる。

以下は Dalbit グループの主要な特徴である。

2.2. Dalbit の特徴

3. 使用したツールおよび侵入プロセス

3.1. 使用ツールおよびマルウェア

攻撃者が直接製作したツールは、メールを流出するツール1件のみであると見られ、残りは Windows の正常なプログラムを使用したり、検索すると簡単に手に入れられるツールを使用していた。

3.2. 侵入プロセス

3.2.1. 初期侵入

攻撃対象は主に特定のグループウェアがインストールされているサーバーや、脆弱な Web サーバー、メールサーバー(Exchange Server)、そして SQL サーバーであると推定される。攻撃者は CVE-2017-10271 のような WebLogic 脆弱性やファイルアップロード脆弱性を悪用して WebShell をアップロードし、一部は SQL Server のコマンドプロンプト(xp_cmdshell)を利用したとみられる。

攻撃者が主に使用していた Web シェルは Godzilla、ASPXSpy、AntSword、China Chopper の順で、Godzilla を最も多く使用しており、一部他の Web シェルが確認された。

インストールされた Web シェルのパスは以下の通りであった。

3.2.2. ダウンロード

攻撃者は基本的にインストールされた Windows の正常なプログラムを通して他のハッキングツールをダウンロードする。普通は侵入時に Web シェルを使用するため、cmd のようなコマンドプロセスを除外すると、親プロセスは w3wp.exe、java.exe、sqlserver.exe、tomcat*.exe のような Web サーバープロキシによって実行される。ダウンロードされるファイルは権限昇格ツールとプロキシツール、そしてネットワークスキャンツールなどの攻撃者が必要としているファイルをダウンロードする。ダウンロードコマンドは以下の通りである。

(悪用された韓国国内企業サーバーの場合、アドレス全体は公開していない)

1) Certutil

2) Bitsadmin

攻撃者がダウンロードするハッキングツールおよびマルウェアは、主に以下のパスで確認された。

よって侵入が疑われる場合、このパスのファイルを点検する必要がある。

3.2.3. 権限昇格およびアカウントの追加

攻撃者は権限昇格のために Potato(BadPotato、JuicyPotato、SweetPotato、RottenPotato、EFSPotato)と GitHub に公開された POC (CVE-2018-8639、CVE-2019-1458)を主に使用する。権限昇格後は以下のようなアカウントを追加することが特徴である。

以下の sp.exe は SweetPotato ツールである。

特に注目すべき部分は攻撃者が追加したアカウントの名前である。他の侵入企業でも「main」という攻撃者のアカウントが確認されている。

攻撃者はアカウントを追加する方法以外に窃取した管理者アカウントを使用したりもする。

3.2.4. プロキシの設定

攻撃者はサーバーに侵入後、RDP 通信を使用するため、プロキシを使用して接続する。プロキシツールは主に FRP と LCX が使用されており、一部の企業では ReGeorg や NPS または RSOCKS なども確認された。また特定の侵入企業には FRP と LCX などの様々なプロキシツールが一か所に確認されており、内部の伝播まで続く場合、多数の FRP 設定ファイル(.ini)が発見された。これは接続できる PC のうちに餌食となる物が多い場合、攻撃者が FRP を追加でインストールして多数の設定ファイルを使用したとみられる。また、このグループが使用する LCX はオープンソースと機能は同じだが、GitHub に公開されたバージョンではなく、中国人がコンパイルしたバイナリが使用されていた。

このような FRP と LCX などのプロキシツールにはフォワード方式やサポートするプロトコルに差が存在する。しかし、TI レポート「様々な遠隔操作ツールを悪用する攻撃事例の分析レポート(日本語なし)」でその差についての説明、実際の感染事例、そして再現とネットワークパケットまですべてを扱っているため、このブログではこれらを取り扱わない。

1) FRP(FAST REVERSE PROXY)

このグループに侵入された場合、サーバーと PC デバイスすべてに FRP 設定ファイル(.ini)が確認できる。以下は実際に侵入された企業の事例である。

特に Dalbit グループは主に Socks5 プロトコルを利用して通信していた。Socks5 プロトコルは OSI 7階層のうち5階層プロトコルであり、4階層と7階層の間にあり、HTTP、FTP、RDP などの様々なリクエストを処理することができる。それによって、攻撃者は攻撃サーバーに Socks5 を扱うことのできる Proxifier のようなプロキシ接続ツールを利用すると RDP を通して遠隔操作が可能になり、内部 PC に接続できる場合はラテラルムーブメント(Lateral Movement)を実行することもできる。すなわち、設定ファイルを Socks5 プロトコルにすると、これ以上修正することなく様々なリクエストを処理でき、自由性が増す。

以下は攻撃者が使用した FRP ファイル名とコマンドである。以下は最も多く使用された順に整理してある。

• FRP ファイル名

• FRP コマンド

また特定の企業では FRP を「debug」という名前でタスクスケジューラ(schtasks)に登録し、維持されている。以下のように登録されたスケジューラが実行されることが確認された。

2) LCX(HTRAN)

Dalbit は特定の中国人がコンパイルした LCX(Htran)バイナリを使用していた。これは従来のバイナリと機能は同じであるが、バイナリ製作者のニックネームが明示されている。

このバイナリを製作した人のニックネームが「折羽鸿鹄」(QQ:56345566)であることが分かる。この製作者が攻撃者である可能性は非常に低いが、このバイナリは単純に検索してダウンロードできる物ではないため、攻撃者は中国と関連のあるものと推定される。

インストールされたファイル名および実行は以下の通りになる。

• LCX ファイル名

• LCX コマンド

上記の LCX C2 は韓国国内企業サーバーであるため、一部隠して表示してある。

3.2.5. 内部偵察

ネットワークスキャンでは主に Fscan と NBTScan ツールが使用され、一部の事例では TCP Scan および Goon が確認された。

Goon は Golang として作られたネットワークスキャンツールで、基本的なポートスキャンだけでなく、Tomcat、MSSQL、MYSQL のアカウントなどもスキャンできるツールである。このツールもまた中国語で作られたことが確認された。

3.2.6. 情報の窃取

主な窃取情報は LSASS Dump 情報、特定アカウントの EML ファイルであり、企業によって WMIC コマンドでインストールされたプログラムを確認したり、特定の被害者 PC からは一定時間ごとに攻撃者サーバーに画面の画像を送信することが確認された。

1) 資格証明情報の抽出(LSASS DUMP)

攻撃者はターゲットに応じて Mimikatz をインストールせずに資格証明情報の抽出を試みていた。これは Lsass.exe プロセスをダンプする方法であり、このダンプファイル内部にはクレデンシャル情報が含まれているため、Mimikatz や Pypykatz のようなツールがこの PC の資格証明情報を得ることができる。参考に Mimikatz についての詳しい内容は TI レポート「Mimikatz を利用した内部イントラネットの伝播技法の分析(日本語なし)」で確認できる。

攻撃者が Mimikatz なしに実行した資格証明情報を窃取する方法は以下の通りである。

1-1) Dumpert

オープンソース Dumpert は API フックの回避および OS バージョンに合わせて実行するツールで MiniDumpWriteDump() API を使用して lsass.exe プロセスをダンプする。 攻撃者はコードを修正し、ダンプファイルのパス変更およびログ出力機能などを除外している。

上記の図を見ると、右の場合はパスおよび出力される文字列が除去されており、それ以外は同じであることが分かる。

現在までに確認されたダンプファイルのパスはすべて「%SystemRoot%\temp」であり、以下の通りになる。

1-2 ) Procdump

Procdump ツールは Microsoft が提供する正常なユーティリティプログラムであり、プロセスのダンプ機能をサポートしている。攻撃者はこのツールを通して、以下のようにダンプを行っていた。

この攻撃者は Rsync(Remote Sync)というツールを通してダンプファイルを攻撃者のサーバーに送信していた。以下は攻撃者が情報流出を試みた実際の事例である。

2) メールの抽出

このサンプルは Golang で作られたメール抽出ツールで、現在のところ唯一攻撃者が作ったツールであると推定される。これは企業の Exchange メールサーバーを対象に EWS(Exchange Web Service)を通して特定のアカウントのメールを EML ファイルで抽出する機能を持っている。引数として Exchange サーバーアドレスと、アカウント名、このアカウントの NTLM パスワードのハッシュ、日付および時間などが存在する。実行すると、そのアカウントのすべてのメールボックスから引数として受信時間を基準にすべてのメールを抽出し、EML ファイルで保存する。

このバイナリの PDB 情報は「fffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffff」であり意味がない。

3) 画面の流出

攻撃者は特定 PC の画面を攻撃者のサーバーに送信していた。現在、画面をキャプチャするバイナリが確認されていないが、感染した PC の画面を送信する攻撃者サーバーが確認された。5～10秒間隔で特定の企業の侵入 PC の画面が送信されていた。

これは完全な画像のみが送信され、遠隔で操作することができず、オーディオなどが出力されない。

また、画面が送信されている攻撃者サーバー(91.217.139[.]117)は他の企業ではダウンロードサーバーとして使用されていた。

4) インストールされたプログラムの照会およびログイン情報

攻撃者は WMIC コマンドを通してインストールされたプログラムを確認していた。

また、イベントログのうち、特定イベントの ID を発生したドメインアカウント情報について収集していた。生成されたファイルは c:\temp\EvtLogon.dat に存在する。

3.2.7. ファイルの暗号化

この内容は過去のブログを通して詳細に紹介している。攻撃者は Windows ユーティリティである BitLocker を通して特定のドライブを暗号化し、金銭を要求していた。現在はさらに被害企業が確認されている。

• BitLocker コマンド

以下は攻撃者が使用するランサムノートである。攻撃者は startmail.com、onionmail.com のような匿名のメールサービスを利用していた。

ランサムノートのダウンロードと推定できるコマンドは以下の通りである。

3.2.8. 回避

1) VMPROTECT PACKING

攻撃者はバイナリのアップロード後、検知が行われる際に VMProtect でパックされ、検知の回避を試みていた。

2) WEVTUTIL を利用した Windows イベントログの削除

3) ファイアウォール OFF

4. 結論

Dalbit ハッキンググループは、韓国国内企業の脆弱なサーバーを対象に攻撃を試みており、これは中小企業だけでなく、一部の大企業でもログが確認されている。特に被害を受けた企業のうち30%が、韓国国内の特定グループウェア製品を使用していることが確認された。またこのグループは侵入初期に使用した Web シェルと最終段階のランサムウェアまで、誰もが簡単に手に入れることのできるツールを使用しており、このうち、中国コミュニティーで手に入れたと推定できるプロキシツールや中国語で説明されたツール、そしてこの記事では取り上げなかった中国語のツールも存在する。したがって攻撃者は、中国語で紹介されたツールを主に使用しているものと見られ、中国と一部関連があるものと推定できる。

サーバー管理者は感染の疑いがある場合、この記事で紹介した攻撃者の主なダウンロードパス、およびアカウント名(「main」)、そして IOC などを確認しなければならず、もし疑われるような状況が確認できた場合、AhnLab に情報を提供して二次被害を防がなければならない。また、管理者はサーバー構成環境が脆弱な場合、最新バージョンをパッチして従来の脆弱性を事前に防ぎ、外部に公開されたサーバーのうち、管理できていないサーバーがある場合は点検しなければならない。

5. IOC

ASEC ブログでは攻撃者が悪用した韓国国内企業のサーバーの IP を公開していない。

• Mitre Attack

• 検知名

[IOC]

• MD5 (正常なファイルを除く)

• C2 および URL (悪用された韓国国内企業サーバーの場合は表記なし)

関連 IOC および詳細な解析情報は、AhnLab の次世代脅威インテリジェンスプラットフォーム「AhnLab TIP」サブスクリプションサービスを通して確認できる。