政府関係者を標的にして活動するBRONZE PRESIDENT

2022年9月8日（木）
著者：カウンター・スレット・ユニット（CTU™）リサーチチーム

※本記事は、https://www.secureworks.com/ で公開されている BRONZE PRESIDENT Targets Government Officials を翻訳したもので、 2022年9月8日執筆時点の見解となります。

Secureworks® カウンター・スレット・ユニット™（CTU）のリサーチャーは、2022年6月から7月にかけて欧州、中東および南米における複数国の政府関係者が所有するコンピューターを狙ったマルウェアPlugXによる攻撃キャンペーンが発生していたことを確認しました。PlugXは、コマンド＆コントロール（C2）サーバーと通信してタスクを実行するモジュール形式のマルウェアであり、他のプラグインをダウンロードすることで基本的な情報収集以外の機能も追加できます。PlugXが使用されていること、同グループが過去に使用した命名パターンおよびファイルパスが用いられていること、実行ファイルのヘッダーにシェルコードが存在すること、および中国政府が関心を持つ地域に合わせた政治的テーマを掲げたおとり文書の存在などの特性を勘案すると、当該キャンペーンは中国政府が支援していると見られる攻撃グループBRONZE PRESIDENTによる攻撃であると示唆されます。

マルウェアPlugXはRARアーカイブファイルに埋め込まれています。デフォルト設定のWindowsコンピューターでこのアーカイブを開くと、文書を装ったWindows ショートカット（LNK）ファイルが表示されます（図1）。

図1：RARアーカイブ内にあるコンテンツ（出典：Secureworks）

ショートカットと並んでマルウェアを含む隠しフォルダが存在しています。このフォルダは、特殊文字で名付けられた一連の隠しフォルダの上から8階層目に格納されています（図2）。階層化することで、すべてのパスを網羅できないメールスキャン製品によるコンテンツスキャンを回避することが目的と見られます。このようなフォルダ構造を作成するメリットは他にないため、このマルウェアはフィッシングメールによって配信されていたと考えられます。

図2：隠しフォルダ内の悪性ファイル（出典：Secureworks）

マルウェアを実行するには、メール受信者にWindowsショートカットファイルをクリックさせる必要があります。ショートカットファイルをクリックすると、隠しフォルダの8階層目に格納されている名前が変更された正規のファイルが実行されます。この正規ファイルの隣には、悪性DLLファイルおよび暗号化されたペイロードファイルが配置されています。表1に示すように、CTU™リサーチャーはフォルダ名とファイル名が異なるペイロードを複数確認しています。

表1：PlugXの攻撃キャンペーンに使用されたファイル名

使用されている正規ファイルはDLLサイドローディングに対して脆弱です。このファイルが実行されると、ペイロードを復号して実行する悪性DLLファイルが読み込まれます。CTUリサーチャーが分析した各検体のショートカットファイルのメタデータは、これらのファイルがホスト名「desktop-n2v1smh」または「desktop-cb248vr」のWindowsシステムで作成されたことを示していました。

一度実行されると、ペイロードがログインユーザーの%Temp%ディレクトリにおとり文書を作成し、<アプリケーション名><3文字>という命名パターン（例：Operavng）を使って3つのファイルをProgramDataのサブディレクトリにコピーします（図3）。この命名パターンはBRONZE PRESIDENTが過去に実行したPlugX攻撃キャンペーンでも使われています。ペイロードがコピー操作を実行すると、正規の実行ファイルにごく当たり前のファイル名（Opera.exe, AdobePlugin.exe, AvastBrowser.exeなど）が設定されることがCTUリサーチャーの調べで確認されています。

図3：ProgramDataのサブディレクトリにコピーされたPlugXファイル（出典：Secureworks）

おとり文書が政治的な性質をもつことから、BRONZE PRESIDENTによる情報収集活動の対象は様々な国の政府関係者であると考えられます（図4、5、6）。同グループは一貫して、ミャンマーやベトナムをはじめとする中国の近隣諸国を標的にしています。 しかし、ウクライナ戦争などの地政学的な事象によって情報収集の対象が突然変わることも珍しくありません。

図4：BRONZE PRESIDENTが用いたおとり文書（出典：Secureworks）

図5：BRONZE PRESIDENTが用いたおとり文書（出典：Secureworks）

図6：BRONZE PRESIDENTが用いたおとり文書（出典：Secureworks）

PlugXはレジストリのRunキーの設定により、ホスト上での永続性を確保します（図7）。

図7：PlugXのレジストリ設定（出典：Secureworks）

稼働中のPlugXペイロードは、コピーしたProgramData内の正規ファイルを実行し、コマンドライン引数を渡した後に終了します（図8）。引数を使う理由は、実行場所に応じてマルウェアの動作を調整できるためです。BRONZE PRESIDENTによる過去のPlugX攻撃キャンペーンでも同じ戦術が用いられていたことが、CTUリサーチャーの調べで確認されています。コピー実行されると、先ほどと同様に正規ファイルによって同一フォルダ内の悪性DLLがインポートされます。その後、ロード・復号を経て悪性ペイロードが処理を引き継ぎます。

図8：コマンドライン引数を使ったPlugXの実行処理（出典：Secureworks） 

ペイロードがGetCommandLineWを呼び出して引数の数をチェックします。ファイルパスの後にさらなる引数が存在する場合は、ユーザーの%Temp%フォルダにドロップ済のおとり文書を開き、C2処理に従って動作を続けます。

解析作業を妨害し、ホストベースのセキュリティ製品に検知されにくくするために、悪性DLLおよびペイロードには複雑な難読化が施されています。このDLLは珍しい手法でペイロードを実行します。callやjmpなどの命令を使う代わりに、最初にDLLがペイロードを復号し、新たに割り当てられたメモリにコピーした後に、EnumThreadWindowsを呼び出し、悪性ペイロードファイルの先頭に制御を渡します（図9）。

図9：悪性DLLによるEnumThreadWindowsの呼び出し（出典：Secureworks）

ペイロードファイルの先頭は、Cobalt Strikeのステージレスペイロードアーティファクトと同様に実行コードとして扱われます。これは、自らのマルウェアを有名なCobalt Strikeに偽装しやすくするために、BRONZE PRESIDENTが考案した戦術の可能性があります。

このペイロードは必要とする様々なWindows APIの名前解決を行います。その後、CheckRemoteDebuggerPresentを反復的に呼び出す新たなスレッドを開始し、デバッガが検知された場合は終了します。

図10は、設定情報のデコードを準備中のペイロードです。スタックにプッシュされる値はキー長、キー、データ長、データアドレスです。キーはマルチバイトXOR値として使用されます。確認されたキー長はすべて9バイトであり、値はサンプルごとに異なっています。

図10：PlugXによる設定情報デコード関数の呼び出し（出典：Secureworks） 

図11は、デコードされた設定情報の先頭部分です。この中にはインストール先ディレクトリ、Mutex名および、検体に紐づけられたおとり文書ファイル名などの情報が含まれています。

図11：PlugXの設定情報（出典：Secureworks）

BRONZE PRESIDENTは、新たな情報収集機会を見つけると素早く標的をシフトすることができます。中国政府の関心対象地域に拠点を構える組織（とくに政府機関、またはその関連団体）の皆様は、同グループの活動を注意深く監視してください。

今回確認された脅威へのリスクを軽減するためにCTUリサーチャーは、使用可能なセキュリティ機能を活用し、表2のインディケータ情報に沿ってアクセス状況のレビュー/アクセス制限を実施することを推奨します。IPアドレスは割り当てが変更される場合もありますので、ご注意ください。また、IPアドレスには悪性コンテンツが含まれる可能性があるため、ブラウザ上で開く際には充分ご注意ください。

表2：今回判明した脅威に関する指標

インシデントの緊急サポートが必要な場合は、Secureworks インシデント対応チームまでご連絡ください。