MS-SQL サーバーを攻撃する HiddenGh0st マルウェア

Gh0st RAT は中国の C. Rufus Security Team が開発した遠隔操作マルウェアである。ソースコードが公開されているため、マルウェアの開発者たちがこれを参考にして様々な変種を開発しており、最近までも攻撃に使用され続けている。ソースコードが公開されているといっても、Gh0st RAT は主に中国を拠点とする攻撃者たちが使用することが特徴である。過去のブログでもデータベースサーバー(MS-SQL、MySQL サーバー)を対象に Gh0st RAT の変種である Gh0stCringe RAT が配布された事例を公開したことがある。[1]

様々な Gh0st RAT の変種は MS-SQL サーバーを対象とする攻撃にもよく使用される。AhnLab Security Emergency response Center(ASEC)では、不適切に管理されている MS-SQL サーバーを対象とする攻撃をモニタリングしており、ASEC Report を通じて四半期別統計を公開している。統計では Backdoor、Trojan、HackTool、CoinMiner などの大分類に合わせてマルウェアを分類し、各分類内においても攻撃に使用された具体的なマルウェアを取り上げている。2023年第2四半期の統計によれば、29.0%を占めした Gh0st RAT の変種は Remcos RAT に次いで攻撃事例が多いことが確認された。[2] (英語にて提供)

ASEC では最近、不適切に管理されている MS-SQL サーバーを対象に Hidden ルートキットをインストールする Gh0st RAT が拡散されていることを確認した。Hidden は Github に公開されているオープンソースのルートキットであり、自分自身を含めてファイルおよびレジストリを隠蔽する機能やプロセスの保護機能をサポートしている。[3](外部サイト、英語にて提供)これらの機能は、攻撃者がマルウェア感染状況をユーザーに認知されないよう隠蔽、またはマルウェアの削除を妨害する目的で悪用されることがある。

本ブログでは、Hidden ルートキットをインストールする Gh0st RAT の変種を HiddenGh0st と分類する。HiddenGh0st は少なくとも2022年頃から確認され始め、最近でも拡散が続いている。攻撃者が追加した複数機能のうち、中国語圏のユーザーが主に使用する QQ メッセンジャーの情報窃取機能が含まれていることからして、中国語圏ユーザーを主な攻撃対象としているものと推定される。

1. HiddenGh0st 解析

1.1. 初期設定

HiddenGh0st はファイル検知を回避するため、パックされた状態で配布される。DATA セクションに暗号化されている実際の PE を復号化したあとメモリ上で実行するが、この時、0x848 サイズの設定データも同時に伝達する。

伝達される設定データは以下の通りであり、C&C アドレスだけでなくインストール方式、インストール先/ファイル名、ルートキット有効化の有無など、様々な設定がサポートされる。

設定データの中には無効化されているものも多い。代表的なものとしてはダウンローダースレッドで使用する URL アドレスがある。攻撃者がダウンロード URL アドレスを設定した場合、この HiddenGh0st 実行時に外部からさらなるマルウェアをインストールするプロセスも同時に実行されたものと思われる。

この他にも、無効化されている設定データの中には感染システムのパブリック IP アドレスを取得する機能を有効化する設定も存在する。もし有効化されている場合は、「http://www.taobao.com/help/getip.php」のアドレスからパブリック IP アドレスを取得して C&C サーバーに伝達するデータに含める。

1.2. インストールプロセス

1.2.1. インストールモード #1 – サービス

設定データに指定されたインストールモードがサービス方式である場合、まず HKLM\SYSTEM\Select キーの MarkTime の値に現在のマルウェアがインストールされた時間を保存する。その後、設定データを参考にしてマルウェアをコピーし、サービスに登録する。サービス登録時に「-auto」引数を指定するため、以降サービスとして動作するマルウェアは「-auto」引数と共に実行される。

設定データの中には追加するダミーデータのサイズも存在するが、設定値が 0x0008 の場合、マルウェアの末尾に 0x00800000 サイズのダミーデータを付け加える。ここまでのプロセスが完了するとサービスを実行し、以下のようなコマンドを利用してオリジナルファイルを削除する。サービスとして実行された後は「-acsi」引数と共に再び実行され、それ以降は実際のメインルーチンが実行される。

1.2.2. インストールモード #2 – スタートアップフォルダ

マルウェアの実行時に渡される設定データにおいて、インストール方式がスタートアップフォルダに設定されている場合は、サービス登録の代わりにスタートアップフォルダにコピーする方式で持続性を維持させる。まず HKLM\SYSTEM\Select キーの MarkTime の値にインストール時間を保存する点は同様である。その後、現在実行中のマルウェアをスタートアップフォルダにコピーするが、DefineDosDeviceA() API を利用し、コピー先のパスのシンボリックリンクを作成、コピーするプロセスで使用することが特徴である。シンボリックリンクの名前には「\.\agmkis2」という文字列が使われる。

その後、コピーしたマルウェアに隠し属性を付与した後、設定に合わせてダミーデータを追加する。ここまでのプロセスが完了すると、コピーしたマルウェアを実行してオリジナルのマルウェアは自己削除する。

1.3. 感染システムの情報伝達

HiddenGh0st は一般的な Gh0st RAT と同様、C&C サーバーとの通信が確立した後で感染システムの基本的な情報を収集して転送する。

インストールされているセキュリティ製品情報は、現在実行中のプロセスの名前を取得して以下のようなキーワードを含んでいるかをスキャンする方式により求める。

HiddenGh0st が C&C サーバーに転送するデータには、この他にも現在実行中の QQ メッセンジャーの QQ 番号がある。QQ メッセンジャーのメインユーザー層は主に中国語を使用するユーザーであるため、攻撃者の主な攻撃対象が中国語圏のユーザーであるものと推定される。

HiddenGh0st はこのようにして求めた 0x3BC サイズのデータを圧縮し、その後 0x0F サイズのデータを前に追加する。追加するデータには、シグネチャ文字列「hx」、送信するデータのサイズ、オリジナルデータのサイズなどの情報がある。オリジナルの Gh0st RAT は、その名前のように C&C サーバーとの通信に「Gh0st」というシグネチャ文字列を使用していた。しかし、ソースコードが公開されている Gh0st RAT には複数の変種が存在しており、過去には Gh0stCringe RAT も「xy」をシグネチャ文字列として使用していた。

データは最終的に暗号化のプロセスを経て C&C サーバーに送られる。

1.4. コマンド実行

攻撃者は HiddenGh0st の制作時、従来の Gh0st RAT をベースに制作しているため、FileManager、ScreenManager、KeyboardManager、SystemManager、ShellManager など、従来の Gh0st RAT がサポートしている基本的なコマンドをサポートする。もちろん、HiddenGh0st のほうがサポートするコマンドが多い。以下は C&C サーバーから渡されて実行できるコマンドのリストであるが、大分類のみをリストアップしているため実際の各コマンドが担う機能はこれよりもはるかに多い。コマンドのうち、スレッドとして動作し C&C サーバーにデータを伝達し続けるコマンドは C&C サーバーの80番ポートを利用する。

HiddenGh0st は様々な機能を提供するため、オリジナルの Gh0st RAT がサポートしている、または基本的な RAT マルウェアがサポートしている機能の他にも複数の特徴が存在する。

最初の実行時点で引数として渡された設定データにエンコードされた文字列は二つだった。一つは「1.0」文字列で、マルウェアのバージョン情報と推定される。もう一つは「Default」文字列で、以降感染システムの情報を C&C サーバーに伝達する時に同時に渡されることからして、マルウェアの識別子と推定される。攻撃者がキーロガーコマンドを有効化すると、収集したキーロガーデータは %SystemDirectory% パスに保存される。この時、「Default」文字列を復号化する前の文字列である「6gkIBfkS+qY=.key」という名前がファイル名として使用される。

HiddenGh0st は Mimikatz をインストールして感染システムのアカウント情報を窃取できる機能を持っている。オリジナルの Gh0st RAT でリモートシェル機能を担う ShellManager クラスには、リモートシェルの他に「GetMP.exe」という名前で Mimikatz をインストールした後、以下のような命令を実行するコマンドが一緒に含まれている。マルウェアは、このようなプロセスによって収集した感染システムのアカウント情報を C&C サーバーに転送する。

新たに追加されたコマンドの中には、RDP を利用した遠隔操作に関連する機能が多い。感染システムにおいてリモートデスクトップやインターネット共有を有効化する、またはリモートデスクトップのポート番号を変更することができる。また、以下のようなコマンドを利用することでゲストアカウントを有効化し、管理者グループに登録する機能も存在する。

この他にも Internet Explorer のキャッシュを削除するコマンドやCD-ROM を開閉するコマンド、タスクバーを非表示にしてマウスの左右ボタンを入れ替えるなど、過去の RAT マルウェアがサポートするような機能も含まれている。

具体的な目的は確認されていないが、コマンドの中には以下のようなレジストリキーの値を設定する機能が存在する。もし攻撃者のコマンドによって「5750b8de793d50a8f9eaa777adbf58d4」の値が設定されている場合は、HiddenGh0st が C&C サーバーに伝達する基本情報に含まれて一緒に転送される。

• HKLM\SYSTEM\CurrentControlSet\Services\BITS / 5750b8de793d50a8f9eaa777adbf58d4
• HKLM\SYSTEM\Setup / Host

2. HiddenGh0st のルートキット解析

Hidden は Github に公開されているオープンソースのルートキットドライバーであり、最新の OS で提供するミニフィルタードライバーとカーネルコールバック関数を利用して、ファイルおよびレジストリを隠蔽し、プロセスを保護する。このような機能があるため、攻撃者はマルウェアを隠蔽し、不正なプロセスを終了できないように Hidden ドライバーを悪意を持った目的で使用することもある。実際にコインマイナーマルウェアである PurpleFox も Hidden をカスタマイズして攻撃に使用することにより、マルウェアを隠蔽して駆除を妨害していた。[4]

HiddenGh0st は内部に含まれた Hidden ルートキットを実行のプロセスでインストールし、バックドア機能を担うマルウェアを隠蔽して保護する目的で使用する。ここではまず Hidden ルートキットの基本的な機能を解析したあと、HiddenGh0st が Hidden を使用するプロセスを整理する。

2.1. Hidden ルートキットの解析

2.1.1. 基本動作

Hidden は、まずインストールレジストリに登録された Config を読み込む。当該レジストリの値はルートキットドライバーがロードされる時、自動で読み込み、適用する設定データである。例えば、以下のように設定されたレジストリの値は4つのコマンドを伝達するために作成された。

初期設定データを読み込んだ後は、プロセスモニター、ミニフィルター、レジストリフィルターなどの初期化プロセスを経る。それぞれの初期化プロセスが終了すると、読み込んだ設定データに従って保護および隠蔽機能を実行する。最後に隠蔽設定、すなわち上記のレジストリで設定可能な「Hid_StealthMode」の値を参照して Stealth Mode を実行できるが、これはドライバー自体に対する隠蔽を担う。Stealth Mode は Hidden のファイルおよびレジストリキーを隠蔽し、それによって当該サービスを停止させることも不可能である。代わりに HiddenCLI.exe というツールを利用してコマンドを伝達し、ドライバーを無効化したあと修復させることができる。

HiddenCLI.exe は Hidden ドライバーにコマンドを渡す際に以下のような IOCTL を使用する。

2.1.2. ファイル隠蔽

Hidden はファイルの隠蔽のためにファイルシステムミニフィルタードライバーを使用する。ファイルシステムフィルタードライバーは、Windows が提供するカーネルモードのコンポーネントであり、ファイルシステムのリクエストに対するモニタリングおよび修正のような制御を提供する。ファイルシステムのリクエストにはファイルおよびディレクトリに対するオープン、読み取り、変更のような振る舞いがある。ミニフィルタードライバーは Windows のフィルターマネージャーを利用してファイルシステムを制御できるモデルであり、これを利用して上記で述べたようにカーネルモードのフック方式を使用せずにファイルに関する振る舞いをモニタリングおよび制御できる。

Hidden でモニタリングの対象となる I/O 動作は IRP_MJ_CREATE と IRP_MJ_DIRECTORY_CONTROL である。IRP_MJ_CREATE はファイルやデバイスオブジェクトのハンドルをオープンする際に発生し、Hidden はこのリクエストに対する Pre Operation コールバックを登録する。IRP_MJ_DIRECTORY_CONTROL はディレクトリを照会する際に発生し、Pre Operation および Post Operation のコールバックを登録する。

IRP_MJ_CREATE をモニタリングしながらハンドルオープン対象のファイルおよびディレクトリの名前が隠蔽対象リストに存在する場合は、STATUS_NO_SUCH_FILE を返す方式によりアクセスを妨害する。ディレクトリ照会の場合 IRP_MJ_DIRECTORY_CONTROL をモニタリングしながら隠蔽対象リストに該当する場合、リクエストの結果として受け取った情報から隠蔽対象ファイルおよびディレクトリを削除することにより、ユーザーが認知できないようにする。

フィルターマネージャーはミニフィルタードライバーを登録する際に各ミニフィルタードライバーごとに固有の高度(Altitude)にロードする。ミニフィルタードライバーは重複する値を持つ場合はロードすることができず、Microsoft はドライバーファイルに対しこれらの高度を管理している。参考に、Hidden は公式的に署名され登録されたドライバーではないが、オープンソースでは370030を高度として割り当てている。(passThrough.sys という Microsoft のサンプルミニフィルタードライバーの高度と同じ値)

2.1.3. プロセスの保護および隠蔽

Hidden はプロセスの保護機能を提供し、この動作のために ObRegisterCallbacks() 関数を利用する。この関数はプロセスおよびスレッドオブジェクトに対する特定の事前/事後動作に関する通知を受け取るコールバックルーチンを登録する。すなわち、各オブジェクトに対するハンドルの作成およびコピーなどの動作に対してコールバックルーチンを登録し、関連する動作が行われるたびに登録されたコールバックルーチンが先に呼び出される方式によって制御を提供する。ObRegisterCallbacks() 関数はミニフィルタードライバーと同じく Altitude を割り当てる必要があり、1000を指定することが特徴である。

ObRegisterCallbacks() 関数の呼び出し時に指定する OB_OPERATION_REGISTRATION の構造体を見ると、プロセスとスレッドに対するハンドルの作成およびコピーに関連する(OB_OPERATION_HANDLE_CREATE | OB_OPERATION_HANDLE_DUPLICATE)の事前動作に対する(ProcessPreCallback、ThreadPreCallback)コールバック関数を登録することが確認できる。このコールバック関数では、以下のように保護対象のプロセスのハンドルを取得する際に設定したアクセス権限を最小権限に変更することによって、メモリの読み取り/書き込みおよびプロセスの終了のようなタスクを実行できないようにする。

Hidden がサポートするコマンドの中には指定した特定のプロセスを隠蔽対象から除外する機能も存在するが、これらの例外プロセスを管理するために別途プロセステーブルを管理する。このテーブルは PsSetCreateProcessNotifyRoutineEx() 関数を利用してプロセスの作成と終了をモニタリングする方法により実装する。

HiddenGh0st が使用するルートキットには含まれていないが、ソースコードは DKOM(Direct Kernel Object Manipulation)を利用したプロセス隠蔽機能をサポートしている。Windows カーネルはプロセスを管理するために「EPROCESS」という構造体を使用する。EPROCESS は双方向リスト構造で、異なるプロセス同士が接続されているが、ルートキットは隠蔽対象のプロセス PID を引数として受け取り、そのプロセスの EPROCESS にアクセスして Flink と Blink に接続されたプロセスを確認する。続いて、自身に接続された前後のプロセスを互いにリンクさせ、自身の Flink と Blink は自身を指すようにし、EPROCESS の二重接続リストに含まれないようにする方式である。

2.1.4. レジストリの隠蔽

Hidden はレジストリキーと値の隠蔽機能を提供し、この動作のために CmRegisterCallbackEx() 関数を利用する。この関数はレジストリコールバックルーチンを登録する関数であり、レジストリ関連の動作が行われるたびに登録されたコールバックルーチンが先に呼び出される方式によって制御を提供する。CmRegisterCallbackEx() 関数もミニフィルタードライバーのように Altitude を割り当てる必要があり、Hidden では任意の値である320000を指定する。

Hidden はコールバック関数の内部で以下のように10個のレジストリの動作をモニタリングする。各関数において、それぞれの動作の対象となるレジストリキーおよび値が隠蔽コマンドによって保護されているかどうか、呼び出す主体が例外プロセスかどうかによって STATUS_ACCESS_DENIED、STATUS_NOT_FOUND のような値を返して、照会時にエラーを発生させたり、変更を不可能にする。

2.2. HiddenGh0st の Hidden ルートキット

HiddenGh0st は DATA セクションに含まれるルートキットファイルを「%SystemDirectory%\drivers\QAssist.sys」パスに生成するが、x86、x64 アーキテクチャによって異なるルートキットをインストールする。その後、生成したルートキットを QAssist サービスに登録して NtLoadDriver() 関数を利用してドライバーをロードする。

HiddenGh0st が生成した Hidden ルートキットとオリジナルのソースコードとの違いは二つある。一つは「Hid_StealthMode」を読み込んで隠蔽モードを設定するルーチンが変更され、当該値が設定されていなくともデフォルトでドライバーをロードする時に隠蔽機能を有効化するという点である。もう一つはプロセス隠蔽機能、すなわち「Hid_HideImages」設定が無効化されているという点である。これは Github にアップロードされた Hidden バイナリと同様だが、開発者がビルドしたバイナリをアップロードした後にプロセス隠蔽機能を追加したためである。

HiddenGh0st が設定するデータは IgnoredImages であり、サービスとして動作するため、例外プロセスとしてサービスプロセスを指定している。

デフォルトの設定は Hid_IgnoredImages だけであるが、以降は IOCTL コマンドを利用して隠蔽および例外対象を指定する。まず HiddenGh0st マルウェアファイルとレジストリに登録された HiddenGh0st サービスを隠蔽対象に追加する。そして HiddenGh0st プロセスとシステムプロセス「lsass.exe」、「lsm.exe」、「audiodg.exe」を例外プロセスに追加する。

3. 結論

MS-SQL サーバーをターゲットとする攻撃の代表例としては、不適切にアカウント情報を管理しているシステムに対する総当たり攻撃(Brute Forcing)と辞書攻撃(Dictionary Attack)がある。管理者は、アカウントのパスワードを推測が困難な形式で設定し、定期的にパスワードを変更することで、総当たり攻撃や辞書攻撃からデータベースサーバーを保護する必要がある。

そして、V3 を最新バージョンにアップデートしてマルウェアへの感染を事前に遮断できるように注意しなければならない。また、外部に開放されていてアクセスが可能なデータベースサーバーに関してはファイアウォールのようなセキュリティ製品を利用し、外部の攻撃者からのアクセスを統制する必要がある。上記のような措置が先行しない場合、攻撃者やマルウェアによって感染が続く可能性がある。

ファイル検知
– Malware/Win32.RL_Generic.R356012 (2020.11.22.01)
– Trojan/Win.Generic.C4446276 (2021.04.30.03)
– Malware/Gen.Generic.C3228648 (2019.05.09.04)

振る舞い検知
– Malware/MDP.Behavior.M29
– DefenseEvasion/MDP.Event.M1423

IOC
MD5
– 69cafef1e25734dea3ade462fead3cc9 : HiddenGh0st
– 0d92b5f7a0f338472d59c5f2208475a3 : Hidden x86 Rootkit (QAssist.sys)
– 4e34c068e764ad0ff0cb58bc4f143197 : Hidden x64 Rootkit (QAssist.sys)

C&C
– leifenghackyuankong.e3.luyouxia[.]net:14688

関連 IOC および詳細な解析情報は、AhnLab の次世代脅威インテリジェンスプラットフォーム「AhnLab TIP」サブスクリプションサービスを通して確認できる。