Realtekソフトウェアを装うバックドア攻撃、WMIと「desktop.ini」を悪用して検知を回避

Realtekを装うバックドア、WMIで永続化し「desktop.ini」にC2情報を隠蔽

Windows環境で、Realtek製ソフトウェアを装うカスタムバックドアが確認された。このバックドアはWMI（Windows Management Instrumentation）を利用して永続性を確保し、「desktop.ini」ファイルにC2（コマンド・アンド・コントロール）サーバーの情報を隠蔽する。ファイルサイズは12,288バイトと小さく、研究者は不特定多数を狙った大規模なキャンペーンではなく、特定の対象を狙った標的型攻撃に使用された可能性があると分析している。

バックドアはWindows 7 SP1環境で確認され、WMIの「Win32_LocalTime」を監視する「__EventFilter」を利用して毎日19時50分に実行される。この時間ベースのトリガーによって、一般的なスタートアップやブート時の自動実行とは異なる方法で永続性を維持する。また、「desktop.ini」のUTF-16LE形式のデータを利用してC2アドレスを生成し、「diagrtrack」という文字列を組み合わせて通信先となる.comドメインを構成する仕組みが確認されている。

バックドアは「RtkNGUI64.exe」というファイル名で実行される。この名称はRealtekのオーディオ関連ソフトウェアで使用される名称を模倣したもので、WMIの永続イベントサブスクリプションにも「Realtek」という名称が使用されている。複雑な暗号化や文字列エンコーディングに依存するのではなく、正規ソフトウェアに似せた名称やWMIによる永続化、独自のC2情報生成手法を組み合わせている点が特徴となる。

C2通信では、8桁の識別子を含むICMP Echo Requestを送信して感染端末を識別した後、HTTPを利用して通信する。また、基本的なシステムコマンドの実行や、Base64でエンコードしたファイルの転送機能も備えている。

調査によると、C2ドメインは2020年7月に登録され、ペイロードは同年12月にコンパイルされたとみられる。DNSレコードは2021年3月以降確認されていないものの、分析対象のシステムにはバックドアの永続化設定や関連ファイルが残されていた。検知にあたっては、「Win32_LocalTime」を利用した不審なWMIイベントサブスクリプションや「desktop.ini」の異常な変更、「RtkNGUI64.exe」の実行状況などが主要な確認ポイントとなる。また、過去のC2に関連するIPアドレスやドメインについても、現在の稼働状況を確認した上で侵害痕跡の調査に活用することが重要となる。