有効な証明書を悪用した、韓国国内のゲーム会社を対象とするサプライチェーン攻撃

AhnLab SEcurity intelligence Center(ASEC)は最近、韓国国内の企業およびユーザーを対象とした脅威をモニタリングしていたところ、韓国のゲーム会社を対象にサプライチェーン攻撃を実行した状況を確認した。当社が Larva-24008 と区分する当該攻撃グループは、韓国国内のゲームセキュリティ企業を攻撃し、ゲームセキュリティモジュールに不正なルーチンを挿入した。これにより、当該企業のセキュリティモジュールを使用するゲームはマルウェアが含まれたまま配布されてしまい、これをインストールしたシステムには最終的に遠隔操作マルウェアがインストールされて攻撃者に操作権限が奪われた。攻撃者は、改ざんされたセキュリティモジュールを使用するゲームのユーザー全員を攻撃対象とはせず、主にゲーム会社と確認された企業を対象に遠隔操作マルウェアをインストールした。すなわち、これは韓国国内のゲーム会社を対象とした APT 攻撃と推定できる。

この攻撃は2024年4月、5月に行われたもので、攻撃者はゲームセキュリティ関連のプログラムモジュールにマルウェアを仕込み、当該プログラムメーカーの有効な証明書で署名および配布した。配布はサプライチェーン攻撃の型で行われ、韓国国内のゲーム会社の公式サイトを通じてゲームをインストールする過程でマルウェアが同時にインストールされた。攻撃者が仕込んだコードは、PowerShell コマンドを実行し、特定のアドレスから難読化されたスクリプトをダウンロードして実行するが、結果的に被害システムが攻撃者の指定する特定の IP アドレスである場合、Remcos RAT をダウンロードする機能を実行する。

攻撃事例において確認されたマルウェアは、韓国国内のゲームセキュリティ企業の有効な証明書で署名されていることが特徴である。攻撃者が悪用したゲームセキュリティ企業の証明書は、少なくとも2017年から継続的に奪取され攻撃に使用されており、ZxShell や Mimikatz、PrintSpoofer マルウェアの署名に使用されてきた。ZxShell は、過去から主に中国を拠点とする攻撃者が頻繁に使用するものとされてきたオープンソースのバックドアマルウェアである。一部のレポートによれば、中国を拠点とするものと知られている APT 27(BRONZE UNION、EMISSARY PANDA、Iron Tiger、Lucky Mouse など)攻撃グループが ZxShell マルウェアを中国のソフトウェア開発企業である Hangzhou Bianfeng Networking Technology 社の有効な証明書で署名して攻撃に利用していたが[1] [2]、ASEC が確認した結果、これは韓国国内ゲーム企業の証明書で署名された ZxShell と実質的に同じ型であった。 

しかし、これらの攻撃は長期間にわたって行われてきたものであり、韓国国内外の多くの企業の有効な証明書が攻撃に使われた。韓国国内では、ゲーム開発企業やゲームセキュリティ企業が確認されており、これ以外にも中国の SW 開発企業の証明書が悪用された。使用するマルウェアと C&C アドレスを見ると、攻撃は主に中国を拠点とする攻撃者により行われたものと思われるが、ここで取り上げるすべての攻撃およびマルウェアが同じ攻撃者によるものかどうか、または具体的な APT グループとの関連性は確認されていない。
 

[1] Emissary Panda APT: Recent infrastructure and RAT analysis (外部サイト、英語にて提供)

[2] BRONZE PRESIDENT Targets Government Officials (外部サイト)

最近発生した悪用事例の中には、2024年8月に韓国のゲーム開発企業の証明書が「OOO Arena」というゲームのランチャープログラムを署名するのに使用された事例も存在する。このランチャーは一般的なマルウェアではないが、様々なユーザー情報を窃取するという点や、アップデートプロセスにおいて改ざんモジュールの C&C アドレスと同じアドレスを使用するという点において、単純なゲームクライアントというには疑いの余地がある。すなわち、窃取された証明書が ZxShell を始めとする様々なマルウェアを署名するのに使用されてきたということであり、このほかにも海外のゲームクライアントを署名するための目的でも使用されているという点から、窃取された証明書が様々な攻撃者によって使われている可能性も無視できない。

攻撃に使用された ZxShell は、ドロッパーによりサービス形式でインストールされる。最終的にインストールされた ZxShell は、すべて同じものではないが、オリジナルの ZxShell と比較して多くの機能が排除された形式で、リモートシェルおよびファイル管理のような基本的機能のみを提供することが特徴である。攻撃者はキーロガーや情報収集、リモートデスクトップのような機能は使用できないが、以下のように対応している機能だけでも感染システムを操作するのには充分である。そして、攻撃者は韓国国内のゲーム会社の有効な証明書で ZxShell バックドアだけでなく、Mimikatz、PrintSpoofer、Nirsoft の Dialupass のような権限昇格および資格証明の奪取に使用されるツールにも署名し、攻撃に悪用した。

2024年8月に確認された最近の攻撃事例では、上記で取り上げたゲーム会社の有効な証明書がマルウェアを署名する目的で使用されただけでなく、ゲームランチャーを署名するためにも使用された。以下は「OOO Arena」というゲームのホームページで、会員登録だけでなくゲームクライアントのダウンロードが可能である。「OOO Arena」のゲームランチャーを調査した結果、複数の韓国国内ゲーム会社の有効な証明書を利用して署名され、配布されていたことを確認した。

「OOO Arena」ゲームランチャーはユーザー名、コンピューター名、MAC アドレス、IP アドレス、CPU、GPU、RAM、メインボードなどのハードウェアおよび Windows のバージョン情報を攻撃者サーバーに転送する。

参考に、バイナリにはダウンロードアドレスや上記のコマンドを含む様々な文字列が暗号化されて存在する。これらの文字列は実行中に復号化されるが、その中には以下のように猥雑な言葉が含まれた文字列が確認できることが特徴である。

最近になって、SW サプライチェーン攻撃の事例が際立って増加している。SW サプライチェーン攻撃は国の支援を受けている APT 攻撃者だけでなく、金銭的収益を目的とする攻撃者の攻撃事例においても確認されている。サプライチェーン攻撃は、成功するとプログラムを使用するすべての組織と個人に影響を及ぼし得るほど波及力が大きい。実際に AhnLab でも様々な SW サプライチェーン攻撃を確認して対応にあたっており、その頻度が次第に増加している。 

サプライチェーン攻撃はすべての SW インフラがその対象とし、インフラのすべての段階が保護されていないと攻撃される可能性があるため、これを認知して防御するには困難がある。実際、脆弱性が公開された後、そして管理者や開発企業がサプライチェーン攻撃を認知した後も、長期間にわたって適切な措置が講じられていない事例が少なくない。今後 SBOM が導入され、政府と企業が協力して実践していくことで、サプライチェーンのセキュリティを強化し、安全なデジタル環境を構築する第一歩となると期待できる。

IOC 関連情報

MD5

00eb89ba2b658f90f8749cf7b955b97b

088d9d15874c1b3d31b1fd620667c38c

0c0f927daf7c20a2cc8c70bf654e15d5

0da494197014edc66c64bb24a7f42d59

1207ca1d7402a397daa971f2e4bef505

追加 IoC は ATIP で提供しています。

URL

http[:]//cloud[.]xt[.]to/uploads/09/30/xs[.]bin

http[:]//minecraft[.]cdn[.]fbi[.]to/launcher/cache/new/ipchecker[.]bin

http[:]//minecraft[.]cdn[.]fbi[.]to/launcher/cache/new/xs[.]bin

http[:]//minecraft[.]cdn[.]fbi[.]to/launcher/files/hashfiles[.]bin

https[:]//cdn[.]xt[.]to/components/extension[.]jpg

追加 IoC は ATIP で提供しています。

FQDN

awvsf7esh[.]dellrescue[.]com

cdn[.]anydeskdns[.]com

cdn[.]chromeupdate[.]me

cdn[.]kavantivirus[.]xyz

cdn[.]office365excel[.]xyz

追加 IoC は ATIP で提供しています。

IP

104[.]199[.]173[.]2

185[.]158[.]113[.]101

92[.]223[.]106[.]203