日本の政党に対するMirrorFace APTの攻撃キャンペーン

カテゴリ

記事一覧  サイバーセキュリティニュース  脅威インテリジェンス  セキュリティ対策 

タグ

脅威インテリジェンス  サイバー犯罪  Cognyte  セキュリティ対策  注意喚起  サイバー安全保障  サイバー攻撃・ハッキング  APT 

感染経路

攻撃者は、スピアフィッシング・メールを通じて、標的システムへのイニシャル・アクセスを行っていました。特定政党の広報部門になりすまし、参議院選挙に言及するメールを通じて、標的となった職員が悪性の添付ファイル（自己解凍Win-RARアーカイブファイル）をクリックするよう仕向けています。

フィッシングメールのスクリーンショット　出典：ESET

フィッシングメールに添付されたアーカイブファイルを実行すると、次のファイルが展開されます。

• K7SysMon.exe：DLLサーチオーダーハイジャッキングに対して脆弱な、無害なアプリケーション
• K7SysMn1.dll：悪性ローダー
• K7SysMon.Exe.db：暗号化されたLODEINFOバックドアマルウェア
• おとりのドキュメントファイル

続いて、K7SysMon.exe ファイルが実行されると、K7SysMn1.dll ローダーが読み込まれます。このローダーがLODEINFO バックドアを復号化して実行します。

LODEINFOバックドア

LODEINFOは、2019年12月頃から観測されているカスタム・バックドアであり、MirrorFace APTのみが利用しています。
バックドアを実行することにより、攻撃者はスクリーンショットの撮影、キーロギング、プロセスの強制終了、ファイルの抽出などを行うほか、追加のファイルとコマンドを実行することも可能になります。
LODEINFOの新しいバージョンには、ファイルとフォルダーを暗号化するように設計された「身代金（Ransom）」コマンドと、レジストリに保存されている構成を変更する「config」コマンドが含まれていました。

Operation LiberalFaceにおいては、LODEINFOを展開した後、侵害したコンピュータのスクリーンショットおよびネットワーク情報を取得するコマンドの利用が観測されました。
さらに、このマルウェアはファイルの抽出にも使用されています。
まず、攻撃者は WinRAR アーカイバを配布し、このアーカイバを使用して、2020年1月1日以降に変更された対象ファイルを収集し、アーカイブしました。
特に重点的に収集されたのが、.doc, .ppt, .xls, .eml, .xps, .pdfの拡張子を持つファイルです。
日本語ワープロソフト「一太郎」の拡張子.jtdも対象になっていたことが、攻撃者が特に日本にフォーカスして攻撃を行っていることを示唆しています。

ファイルアーカイブを作成した後、攻撃者はPuTTYスイート（pscp.exe）からSCPクライアントを呼び出し、C2サーバーに向けたファイルの抽出転送に利用しました。

LODEINFOバックドアは、侵害したコンピュータのメモリに対し直接MirrorStealerマルウェアをインストールし実行する用途でも用いられています。

MirrorStealerインフォスティーラー

MirrorStealerは新たに発見されたマルウェアであり、ブラウザおよびメールクライアントから資格情報を収集する目的で利用されました。
このマルウェアは収集した資格情報を%temp%フォルダーに格納し、LODEINFOバックドアを通じてデータを抽出させます。
またこのマルウェアにはブラウザCookieを収集する機能がないため、代わりにLODEINFOに実行させています。

なおMirrorStealerが対象とするメールクライアントの1つBecky!は日本でのみ利用されているものです。

MirrorFace概要とアトリビューション

MirrorFaceは中国語話者によって構成されたAPTであり、データの抽出とエスピオナージ活動を目的に、日本の企業および組織を狙っています。
これまでにマスメディア、防衛産業、シンクタンク、外交機関、学術機関がターゲットになっています。

研究者の中にはMirrorFaceを中国系のAPT10と関連付ける意見もありますが、本キャンペーンを発見したESETの研究者は、MirrorFaceを、既知のAPTとは関連付けられない独自の脅威アクターとして追跡しています。

最後に

MirrorFaceは日本の政党だけでなく他の業界や組織も狙うことで知られています。また、本記事が示すように、このグループが持つマルウェアは日本に特化したソフトウェアやアプリケーションを狙っているため、より幅広いセクターに対するキャンペーンが行われる可能性も想定されます。

Cognyteは、次項に示すIoCをセキュリティシステムに取り込み反映させることを推奨します。

記事に関するご意見・お問い合わせはこちらへお寄せください。
(ＳＯＭＰＯホールディングス、損害保険ジャパンなどグループ各社へのお問い合わせはご遠慮下さい)

IoC

情報ソース

ESET/ Welivesecurity（英語）
ESET/ プレスリリース（日本語）