CNCMachineRMS、IBM署名ファイルを悪用して検知を回避 RATによるリモート制御を実行
CNCMachineRMS、IBM SPSSの署名済みファイルを悪用して検知を回避
「One ClickFix」と呼ばれる誘導手法を利用し、新たなリモートアクセス型トロイの木馬（RAT）「CNCMachineRMS」を配布する攻撃が確認されている。攻撃では、IBM SPSSに関連する正規の署名済み実行ファイル「WinWrapIDE.exe」を悪用し、セキュリティ製品による検知を回避しながらRATを実行する。
攻撃チェーンでは、正規のWinWrapIDE.exeを起点としてCOM対応のスクリプティングエンジンを利用し、悪意のあるDLLを読み込む。悪性DLLはImport Address Table（IAT）のリダイレクトなどを利用して通常のインポート解決処理を回避し、解析や検知を困難にする。正規の署名済みファイルを攻撃チェーンに組み込むことで、悪意のある処理を正規プロセスの動作に見せかける点も特徴となっている。
CNCMachineRMSはこれまで広く文書化されていなかったx64 RATで、情報収集だけでなく、感染した端末を遠隔操作するための機能を備えている。複数の難読化レイヤーや暗号化されたblobを使用して解析環境やセキュリティ製品による検知を回避し、主要なコンポーネントをディスク上に保存せずメモリ内で展開する。さらに、感染端末のドメイン参加状況やSID、権限レベルなどのシステム情報を収集し、C2サーバーと定期的に通信する。
C2通信では「notepadreleased.com」などのドメインへの接続が確認されており、名前解決にはDNS over HTTPS（DoH）も利用される。組織では、WinWrapIDE.exeの通常とは異なる実行経路や不審なDLLの読み込み、関連ドメインへの通信などを監視することが重要となる。また、正規に署名された実行ファイルであっても、その実行元や子プロセス、DLL読み込みなどの挙動を組み合わせて分析し、正規ソフトウェアを悪用した攻撃を検知できる体制が求められる。
