Mexals キャンペーンの復活に関する調査

このキャンペーンには、難読化の改善、より目立ちにくいファイル名、カスタム・マイニング・プール・プロキシ が含まれています。これらは以前のバージョンにはなかったものです。攻撃チェーンは、SSH 認証情報による総当たり攻撃から始まります。その後、難読化されたペイロードの長いチェーンが続き、最終的に XMRig クリプトマイナーをドロップします。ドロップされたペイロードの 1 つは、今回の復活でアクティブになったと思われるワーム可能な（wormable）モジュールです。

攻撃者 自身の攻撃サーバー はオランダベースの VPS にホストされ、被害者は世界中に分散していると Akamai は考えています。攻撃者は 1 万米ドル相当の XMR コインを採掘したと Akamai は推定しています。

図 2：攻撃者が用いるさまざまなペイロードの概要

glibc のソースコードを使って、エントリーポイントの状態を把握できます。実際の主な機能は、 rdiにロードされる機能です。これを調べると、非常に具体的なエラー文字列、 E: neither argv[0] nor $_ works.が見つかり、これを Web 上で検索できます。このようにして shcにたどり着きます。 残念ながら、簡単に利用できる逆コンパイラーはありません。リバースエンジニアリングによって復号ツールを作成するのは非常に手間がかかるため、その代わりにペイロードをデバッグして 1 秒後に実行を一時停止することができます。復号化されたシェルスクリプトはマルウェアのメモリに格納されるため、それをダンプして分析できます。

各ペイロードは比較的簡単にチェーンになり、さまざまな方法で次のリンクを設定できます。たとえば、競合他社のマイナープロセスや CPU 負荷の高いプロセスを強制終了したり、bash 履歴を消去したり、永続性をインストールしたりした後に、次のペイロードをダウンロードして実行します（図 5）。

1 つ目の webhook は、 toDiscordという関数から作成されたもので、ターゲットマシンで実行されるさまざまなプロファイリングコマンドの結果を退けます。次の 2 つは、関数 toAPIlogs と toDiscから呼び出されます。両方とも同じ情報（ターゲットの IP と、ターゲットの IP に対する認証を可能にするユーザー名とパスワード）を退けます。

最後に、被害者が OpenWrtを実行していた場合は、 toMiraiという別の関数が呼び出され、同じ情報を別の webhook に送信します。ここにはいくらかの冗長性があり、攻撃者がさまざまな指標を追跡しやすくするためだと思われます。または、攻撃キャンペーンのさまざまな部分の分離として機能している可能性があります（Mirai がボットネット／IAB である場合と、Mirai をクリプトマイナーとして通常使用する場合）。

これは単なるコンパイルされた bash スクリプトですが、 payload にはコメントや進捗メッセージが含まれていて、マルウェアの演算子の思考プロセスを教えてくれるため、興味深いです。

コメントと進捗メッセージはルーマニア語で書かれており、 攻撃者がルーマニア人であるという推測が強まります （マルウェアのコマンドおよびコントロール／ダウンロードドメインは、文字どおり「ハッカーのアーカイブ」として解釈されます）。

このスクリプトは、他の既知のクリプトマイナーの存在をチェックし、その中でそのプロセスである dhpcd および ksmdxを強制終了します。 これが示しているのは、攻撃者がエコシステムを把握しており、 クリプトマイニングの世界で運試しをしているだけではないということです。

競合他社やその他の CPU 負荷の高いプロセスを強制終了させた後、スクリプトはマシンに搭載されている CPU コアの数を確認します。4 つ未満の場合は、 History および Update と、その cron ジョブをインストールします（この 2 つの実行可能ファイルは aliases ペイロードをダウンロードして、標的のマシンの再起動時に実行するようにスケジュールされています）。4 つ以上のコアがある場合、このスクリプトは、スクリプト XMRig クリプトマイナーをダウンロードして実行するコンパイルされた bash スクリプトである .diicotもダウンロードして実行します。

最後に、8 つ以上の CPU コアがある場合、このスクリプトは、LAN スプレッダーである reteaをダウンロードして実行します。

LAN スプレッダーモジュールは、攻撃者のチェーンに新しい機能を提示します。これもコンパイルされたシェルスクリプトで、システムに設定されているすべてのユーザーを抽出し、.usrsというファイルを作成します。このファイルは SSH 辞書攻撃に使用され、抽出されたユーザーとハードコードされたデフォルトのパスワードリストを使用して入力されます。次に、LAN ネットワーク上でネットワークスキャナーをダウンロードして実行し、SSH ポートが開いているマシンを検出して、出力をファイルに書き込みます。次に Networkをダウンロードして実行します。これは aliasesより下位のバージョンで、機能が少なくなっています。悪性ペイロードをインストールしたり、Discord Webhook に報告したりせずに、侵害されたマシンの出力をファイルに保存するだけで、攻撃者は後でそれを入手できます。

攻撃者はワーム可能な（wormable）ペイロードを持っているため、脅威センサーで捉えたどの送信元 IP が攻撃者のインフラで、どれが被害者なのかを見分けにくくなっています。このセクションでは、攻撃者のインフラを分析し、実際の被害者を見つけてみたいと思います。 

検知した攻撃 IP（50 個の一意の IP アドレス）をすべて取り出して、それを世界中の地理的位置にマッピングしました。攻撃 IP に加えて、Akamai の一部のお客様でも感染の証拠が見つかったため、これも被害者リストに加えました。図 7 に、被害者／インフラの地理的分布が示されています。

図 9：被害者であるだけでなく、攻撃者のインフラと思われる上位の攻撃 IP

このブログ投稿を公開する前に、攻撃に関する情報を持つ、影響を受けた Akamai のお客様と、各攻撃 IP アドレスに登録されている悪用された電子メールに連絡しました。

まとめ

攻撃者が用いているペイロードチェーンは非常に優れており、極めて高度な攻撃者であることを示しています。また、通常はそれほど長いペイロードチェーンは見られません。攻撃者がこれほど多くのペイロードを使用することを選択した理由はいくつかあると考えられます。

• 難読化 - システム内の可変要素が多いほど、分析や追跡が難しくなります。バイナリが難読化されているという事実は、この仮説を裏付けています。

• 脅威グループの背後には複数の人がいる。キャンペーンの背後には攻撃者に関する実際の情報はありませんが、同じスクリプトの異なるサンプル間でコードの顕著な違いが見られました。これは、それがさまざまな人によって開発されたためであると考えられます。

• このマルウェアキャンペーンは、徐々に進化するように構築されている。その証拠は、新しい機能や、追加された難読化だけでなく、今後の使用のための基礎として作成されたコード内の一部の重複部分にも見られます。

以前の運用からの改良と追加

• UPX 圧縮と UPX ヘッダーの削除。

• 自動更新機能がペイロード内から外部スクリプト（History および Update）に移動。

• より目立ちにくいファイル名（Chrome、 Opera など、ブラウザーを模したファイル名）

• Discord に関する追加のマルウェアレポート

• OpenWRT 固有の動作 （おそらく今後も追加）

• パブリックプールに代わる カスタム・マイニング・プール・プロキシ の使用

防御者のアーカイブ

マルウェアは、自身を配布する斬新な技法や高度な技法を備えていません。SSH に対して辞書攻撃を使用するだけです。そのため、インターネットから SSH にアクセスできるマシンだけが危険にさらされます。ネットワークの境界で SSH をブロックしたり、SSH を VPN の背後に移動させたりすることで、そうした攻撃がもたらすリスクを大幅に軽減できます。

また、デフォルトでない認証情報や複雑なパスワードを使用することで、このマルウェアに用いられるような辞書攻撃のリスクを大幅に軽減できます。また、認証にはパスワードよりもさらに安全な SSH キーを使用することもお勧めします（推測することは不可能で、「秘密」が接続経由で送信されることはありません）。

最後に、LAN スプレッダーモジュールについても検討する必要があります。LAN スプレッダーモジュールは、ラテラルムーブメントにも SSH を使用しているため、 ネットワークをセグメント化する ことで、そうしたリスクを安全に緩和できます。インターネットに接続されているサーバーを非武装地帯（DMZ）として検討する場合、SSH トラフィック（および一般的に RDP、MS-RPC、WinRM などのラテラルムーブメントに使用できるその他のトラフィック）が DMZ からネットワークのその他の部分に行かないようにすることは、理にかなっています。何らかの理由で、そうしたサーバーの 1 つに内部ネットワークへの SSH アクセスを許可する必要がある場合は（たとえば、ジャンプボックスとして機能させるためなど）、DMZ の外部および VPN の下にサーバーを移動させた方がいいでしょう。サーバーをインターネットに公開して攻撃者がそこから内部に飛び込めるようにしてはなりません。爆風半径を縮小し、伝播パスを削減する必要があります。

この悪性のキャンペーンによる感染の検知をサポートするツール用に Github リポジトリ を作成しました。ここに、Akamai Guardicore Segmentation のお客様が使用できる bash スクリプト、IOC および osquery クエリーの完全なリストがあります。この投稿の最後にも、検出スクリプトと IOC のリストの一部 を掲載しています。

こうしたツールに加えて、このような場合に適用される可能性のあるクリプトマイナーを検出する一般的な方法、つまり宛先ポートを調べて、マイニングプールへの発信トラフィックを検出する方法も推奨したいと思います。マイニングプールのデフォルトポートは、かなり独特な場合があるため、注意を払うと有益な可能性があります。例：

• TCP ポート 4242 が、この プール実装のデフォルトポート

• TCP ポート 3333、5555、7777、9000 が、 nodejs プール実装のデフォルトポート

もちろん、マイナーは HTTP および HTTPS を介してそのプールと通信することもできます。その場合、検出は非常に困難になります。しかし、こうしたポートを探す価値はあります。

セキュリティ侵害インジケーター（IoC）

以下は、IOC のリストの一部です。完全なリストは、 Github リポジトリにあります。