「BITTER」、南アジアの組織を標的に3つの感染経路で攻撃

「BITTER」、南アジアの組織を標的に3つの感染経路で攻撃

サイバー諜報活動を行う攻撃グループ「BITTER」が、ここ数カ月にわたり南アジアの組織を標的に、Windowsの標準ツールと独自のリモートアクセス型トロイの木馬「PapRAT」を組み合わせた攻撃を展開していたことが明らかになった。FortiGuard Labsは11月2日に公開した調査で、おとり文書のファイル名、コマンド＆コントロール（C2）サーバーとの通信、ファイルのメタデータ、マルウェアの特徴などを根拠に、今回の活動をBITTERによるものと高い確信度で評価した。TA397としても追跡されるBITTERは、これまでも政府機関やエネルギー、エンジニアリング関連の組織を標的にしてきた。

今回の攻撃では、3つの異なる感染経路が確認されており、スクリプトによるアクセスの維持やPapRATの導入に使われていた。最初の経路は、二国間首脳会談に関する要請書や軍の教育プログラムの文書を装ったLNKファイルを起点としていた。LNKファイルはWindows標準の「ftp.exe」を呼び出し、アイコンファイルに見せかけたファイルに含まれるコマンドを実行して、スケジュールタスクを作成していた。

作成されたスケジュールタスクは「curl」を使用して攻撃者のサーバーからコマンドを取得し、実行する仕組みだった。確認されたコマンドの一つは、ディレクトリ、実行中のタスク、ユーザーフォルダー、インストール済みのウイルス対策製品、ドライブの一覧などを収集し、外部サーバーに送信していた。別のコマンドは追加のスケジュールタスクを作成し、Base64でエンコードされたスクリプトをダウンロードして実行していた。

この経路では、PapRATを含む悪意のある実行ファイルは確認されていない。攻撃者はサーバー側で配信するコマンドを変更するだけで、侵入先で実行する処理を切り替えられる。そのため、PapRATの実行ファイルの検出だけに依存した場合、スクリプトを通じた不正なアクセスの継続を見逃す可能性がある。

この経路の調査では、スケジュールタスクがユーザーの共有フォルダーや「ProgramData」内に置かれたログファイルを装うファイルをコマンドの取得元として使用していないか、また「ftp.exe」「curl」「conhost.exe」が連続して実行されていないかが確認の手掛かりとなる。ただし、これらの標準ツールの使用だけで悪意のある活動と判断することはできず、実行元やコマンドライン、通信先との関連を調べる必要がある。

2つ目の感染経路では、大使からの書簡を装ったVHDX形式の仮想ディスクイメージが使用された。イメージ内のLNKファイルを実行すると、おとりのスプレッドシートが表示される一方、隠されたMSIインストーラーも起動する仕組みだった。このMSIには、通常のソフトウェアインストール処理とは別に、PapRATのバイナリを実行する「CustomAction」が組み込まれていた。

3つ目の経路では、ガラディナーへの招待状を装ったRARファイルが使われた。アーカイブ内のURLショートカットは、WebDAVサーバー上に配置されたLNKファイルを参照していた。このLNKファイルはスケジュールタスクを作成するとともに、リモートのMSIインストーラーを実行し、PapRATを配布していた。

C++で開発されたPapRATは、Microsoftの正規コンポーネントを装い、エンコードされたC2設定を保持していた。実行後はユーザー名とコンピューター名を組み合わせた識別子を使用してC2サーバーに接続し、約10秒間隔で新しいコマンドを確認する。確認された機能は、リモートコマンドの実行、ファイルのダウンロードやアップロード、ファイルの削除、ディレクトリやドライブの情報取得、スクリーンショットの撮影など、計8種類に及ぶ。

3つ目の感染経路では、PapRATを追加でダウンロードするためのコマンドを通じて、別のリモートアクセス型マルウェア「WmRAT」も配布されていた。FortiGuard Labsは、WmRATの使用を今回の活動とBITTERとの関連性を裏付ける追加の手掛かりとして挙げている。ただし、WmRATが3つの感染経路すべてで使用されていたわけではない。

また、最近確認されたRustベースのPapRATは、HTTPSを使用してC2サーバーと通信する。従来のC++版が備えていた8種類のコマンドに加え、PowerShellの実行、待機、終了に関するコマンドが追加され、計11種類のコマンドをサポートする。C2サーバーのアドレスなどの文字列もエンコードされた状態で保存されており、設定情報を容易に確認できないようになっている。

C++版に加えてRust版のPapRATが確認されたことや、マルウェアの実行ファイルを使用せずにスクリプトだけでアクセスを維持する経路が存在することは、BITTERが単一のマルウェアや配布手法に依存せず、複数の方法を組み合わせて活動していることを示している。

FortiGuard Labsが公開した侵害指標（IOC）には、3つのLNKファイルのSHA-256ハッシュ、PapRATとWmRATのファイルハッシュ、C2通信に関連する「netmansrvdns.com」「rappellingaart.com」などのドメインが含まれている。今回の調査で確認された標的は南アジアに集中していたが、関連する追加報道では、遠隔測定データのマップに東南アジアや韓国での活動も示されていたという。ただし、これらの地域で同じ感染経路やマルウェアが使用されたかどうかは、公開された情報だけでは判断できない。