• JP
  • magnifying glass search icon to open search field
  • お問い合わせ
  • リソースセンター
  • サポートを受ける
  • 現在、攻撃を受けていますか?
Palo Alto Networks logo
  • 製品
  • ソリューション
  • サービス
  • 業種
  • パートナー
  • パロアルトネットワークスをお勧めする理由
  • 会社案内
  • その他
  • JP
    Language
  • お問い合わせ
  • リソースセンター
  • サポートを受ける
  • 現在、攻撃を受けていますか?
  • スタート ガイド

DarkHydrusがPhisheryツールを使用して中東で資格情報を収集

Robert Falcone 8 13, 2018 at 02:00 午後

※ 本記事は2018年8月7日に米国で掲載されたブログ記事の抄訳版となります。

 

Unit 42は、2018年7月27日に米国で公開したブログ(リンクは日本語版)で、中東の政府機関を標的とした脅威グループを観測し、新しくDarkHydrusと命名しました。弊社の同ブログで議論した攻撃は、スピアフィッシングを利用し、RogueRobinと呼ぶPowerShellペイロードを配信していました。しかし、DarkHydrusは2018年6月に資格情報収集攻撃を実行していたことがわかりました。また、2017年秋に遡る、同じインフラストラクチャを使用した以前の資格情報収集の試みも判明しており、現在も継続中のキャンペーンのようです。これらの攻撃は中東の政府機関および教育機関を標的にしていました。

 

この資格情報収集攻撃は、悪意のあるMicrosoft Office文書が含まれたスピアフィッシング メールを使用しており、「attachedTemplate」テクニックを利用して、リモート サーバーからテンプレートをロードしようとします。このリモート テンプレートのロードを試みる際に、Microsoft Officeは認証ダイアログ ボックスを表示し、ユーザーにログイン資格情報を提供するように求めます。入力された資格情報は、C2サーバーに送信され、DarkHydrusはユーザー アカウントの資格情報を収集できます。

 

Unit 42の分析によれば、DarkHydrusは、オープンソースのPhisheryツールを使用して、これらの資格情報収集攻撃で使用される既知のWord文書の2つを作成していました。以前のブログで議論したとおり、これはDarkHydrusが攻撃ツールでオープンソースを使用する傾向が強まっていることを示しています。

 

このような資格情報を盗むフィッシング攻撃は新しくはありません。US-CERTは、2017年に別の脅威グループによる同じテクニックについて、警告していました。注目すべきは、中東のこれらの機関に対する標的型攻撃を実行するためにDarkHydrusがオープン ソース ツールを使用していることです。これは彼らがオープン ソースへの依存傾向を強めていることと合致します。また、これらの攻撃は標的の観点からも、先週弊社が報告した攻撃と一貫しています。これらの事実に基づき、このグループが近い将来にわたって中東のこれらの標的に対する攻撃を継続するだろうと推測されるのは当然です。

 

資格情報収集攻撃

2018年6月24日、Unit 42は、DarkHydrusによる中東の教育機関に対する資格情報収集攻撃の実行を観測しました。この攻撃では、スピアフィッシング メールが使用され、「Project Offer」という件名を用いて悪意のあるWord文書(SHA256: d393349a4ad00902e3d415b622cf27987a0170a786ca3a1f991a521bff645318)を添付していました。悪意のあるWord文書を開くと、ダイアログ ボックスが表示され、ユーザーに資格情報を入力するように求めてきます(図1参照)。

Hydrus_1

図1 文書を開いた際にユーザーに表示される認証ダイアログ ボックス

図1を見てわかるとおり、認証プロンプトには、「Connecting to <省略>.0utl00k[.]net」とあります。これは、DarkHydrusのC2サーバーです。このダイアログ ボックスでユーザーが資格情報を入力し、「OK」を押すと、資格情報は、URL https://<省略>.0utl00k[.]net/download/template.docxを介してC2サーバーに送信されます。認証ダイアログ ボックスが消えると、Wordは文書の内容を表示します。この場合は、空の文書です。文書が空であることで、認証プロンプトによって、標的のユーザーに資格情報を入力させやすくなります。ユーザーは、文書の内容を表示するには認証情報が必要と考えるためです。

また、DarkHydrusは、標的のユーザーをだまして資格情報を入力させるためにC2ドメインも注意深く作成しています。まず、図中で省略したサブドメインは、標的の教育機関のドメインです。また、0utl00k[.]netドメインは、フリー メール サービスを提供するMicrosoftの正規の「outlook.com」ドメインと似ており、ユーザーに疑念を持たせずに資格情報を入力させやすくしています。ダイアログに表示されている接続先のドメインに気付くことさえなく、Windows資格情報を習慣的に入力してしまうユーザーもいるでしょう。

表1のとおり、0utl00k[.]netドメインを使用して資格情報を収集するWord文書をさらに2つ発見しました。これらの関連したWord文書を最初に発見したのは2017年9月および11月なので、DarkHydrusは、約1年間、この資格情報収集キャンペーンを実行していることがわかります。

初回観測時期

SHA256

ファイル名

リモート テンプレート

2017/11/12

9eac37a5c6..

PasswordHandoverForm.docx

https://0utl00k[.]net/docs

2017/09/18

0b1d5e1744..

استطلاع.docx

https://0utl00k[.]net/docs

表1 資格情報窃取に使用されたDarkHydrusの追加のWord文書

これら両方の関連文書は、attachedTemplateテクニックを使用して、資格情報をURL https://0utl00k[.]net/docsに送ることによって窃取します。2018年6月の文書では資格情報窃取後に内容が何も表示されませんが、これら両方の文書では標的の組織に関連すると思われる内容が表示されます。2017年9月の文書では、図2に示すような従業員調査が表示されています。

Hydrus_2

図2 資格情報窃取後に表示される従業員調査

2017年11月の文書では、図3に示すように、資格情報窃取後にパスワード引き継ぎ文書が表示されます。オープン ソースの調査ではこの表示文書を発見できなかったことから、攻撃者は以前のオペレーションからこのパスワード引き継ぎフォームを収集したと考えられます。

 

Hydrus_3

図3 資格情報窃取後に表示されるパスワード引き継ぎフォーム

これらの資格情報収集攻撃で使用されるインフラストラクチャでは、ドメイン0utl00k[.]netが使用され、これは攻撃時に107.175.150[.]113および195.154.41[.]150に解決されます。これと同じインフラストラクチャについては、以前のブログのキャンペーン分析でも議論しています。

 

Phisheryツール

3つの悪意のあるWord文書を分析した結果、そのうち2つがPhisheryという名前のオープンソース ツールを使用して作成されたという結論に達しました。Phisheryツールは、以下を行うことができます。

  1. リモート テンプレート URLを挿入することによって悪意のあるWord文書を作成する
  2. C2サーバーをホストし、リモート テンプレートの取得を試みるときに表示される認証ダイアログ ボックスに入力された資格情報を収集する

弊社は、このオープンソース ツールを使用して文書を作成し、C2を自社でホストすることによって、DarkHydrusがPhisheryを使用してこれらのWord文書を作成したことを確認できました。2018年6月の攻撃で使用されたDarkHydrus文書では、リモート テンプレートURLが追加されています(図4参照)。

 

Hydrus_4

図4 2018年6月のDarkHydrus文書におけるリモート テンプレートURL

弊社は、Phisheryを使用して、兵器化された配信文書を作成して、図4のリモート テンプレート パスを複製できました。図5には、URLを「good_test.docx」という名前のファイルに挿入するコマンドのPhishery出力が示されており、作成されたファイルは「bad_test.docx」に保存されます。

 

Hydrus_5

図5 DarkHydrusと同じリモート テンプレートURLを持つ文書を作成するために使用するPhisheryコマンド

確認のために、PhisheryのC2サーバーを使用し、2018年6月の攻撃におけるDarkHydrusのWord文書を開きました。認証ダイアログ ボックスが表示されると、図6のとおり、資格情報として「fakename」および「fakepass」を入力してEnterキーを押しました。

Hydrus_6

図6 偽の資格情報を入力した認証ダイアログ ボックス

C2サーバーでは、Phisheryがインバウンド リクエストを受け取り、資格情報を取得したことを観測しました(図7参照)。C2サーバーは、DarkHydrusのWord文書を開くときに表示される認証ダイアログ ボックスに入力された「fakename」および「fakepass」の資格情報を取得できます。

 

Hydrus_7

図7 収集した資格情報を示すPhishery C2の出力

結論

DarkHydrusは、中東の組織を標的とした攻撃キャンペーンを実行する脅威グループです。弊社は、DarkHydrusが資格情報収集攻撃を実行し、兵器化したWord文書を使用して、スピアフィッシング メールを介して文書を政府機関や教育機関に配信していることを観測しました。この脅威グループは、Phisheryツールを使用して悪意のあるWord文書を作成するだけでなく、C2サーバーをホストして資格情報を収集していました。さらにPhisheryの使用は、Dark Hydrusが活動を実行するうえでオープン ソース ツールへの依存を強めていることを示しています。

パロアルトネットワークスのお客様は、以下によってDark Hydrusから保護されています。

  • C2サーバー、0utl00k[.]netはマルウェアとして分類されます。
  • DarkHydrusによって作成されたすべてのPhishery文書は、WildFireで悪意があると判定されます。
  • AutoFocusをご使用のお客様は、DarkHydrusタグで、このグループの活動を追跡できます。

 

IOC(侵害のインジケータ)

サンプル

d393349a4ad00902e3d415b622cf27987a0170a786ca3a1f991a521bff645318

9eac37a5c675cd1750cd50b01fc05085ce0092a19ba97026292a60b11b45bf49

0b1d5e17443f0896c959d22fa15dadcae5ab083a35b3ff6cb48c7f967649ec82

 

インフラストラクチャ

0utl00k[.]net

107.175.150[.]113

195.154.41[.]150

 

ニュース

Wireshark によるパケット解析講座 1

Wireshark は無料で利用できるプロトコル アナライザです。 Wireshark を使うとネットワーク トラフィックをキャプチャしたり、キャプチャしたパケットを表示させることができます。そこでパロアルトネットワークスの脅威インテリジェンス調査チーム Unit42 に所属するアナリストが、Wireshark を使ってマルウェア検体が生成したトラフィックをレビューするさいに利用している便利な使いかたをご紹介していきます。
January 17, 2019

ニュース

Wireshark によるパケット解析講座 3

前回までではWiresharkの列表示のカスタマイズ方法と表示フィルタの式について見ていきました。本稿ではトラフィックから感染ないし侵害を受けたホスト名やユーザーを特定する方法について説明します。
March 31, 2019

ニュース

Wireshark によるパケット解析講座 2

前回は Wiresharkの列表示のカスタマイズ方法について見ていきました。本稿では脅威インテリジェンスの調査上便利なフィルタリングの設定方法について説明します。
January 20, 2019

ニュース

DNSトンネリング: 攻撃者はDNSをどう悪用するのか

悪意のある攻撃者は、ドメインネームサービス(DNS)をコマンド&コントロール(C2)用通信チャネルとして悪用してきました。またこのプロトコルはこのほかに、データを漏出させる目的でも悪用されてきました。DNS の悪用はC2に「ハートビート」接続のために通信するという用途からさらに広がっており、攻撃者はここ数年、悪意のあるデータやペイロードをDNS経由で被害者のシステムに侵入させる用途にもDNSを使っています。本稿では、DNSを悪用したデータ侵入・漏出の種類、方法、使用方法を紹介し、その防御メカニズムへの指針を示します。
March 18, 2019

ニュース

Wireshark によるパケット解析講座 4

セキュリティ専門家は、不審なアクティビティのパケット キャプチャ(pcap)をレビューする際、より詳しく調べるために、オブジェクトをpcapからエクスポートしなければならない場合があります。
July 12, 2019

データシート

PA-400シリーズ

パロアルトネットワークスの機械学習を活用したNGFW「PA-400 Series (PA-460、PA-450、PA-440)」なら、分散した大企業の支社、小売店、中規模企業にも次世代ファイアウォール機能を導入できます。
August 3, 2022

最新ニュース、イベント情報、脅威アラートを配信

このフォームを送信すると、お客様は弊社の利用規約とプライバシー ポリシーに同意したものとみなされます。

black youtube icon black twitter icon black facebook icon black linkedin icon
  • USA (ENGLISH)
  • AUSTRALIA (ENGLISH)
  • BRAZIL (PORTUGUÉS)
  • CANADA (ENGLISH)
  • CHINA (简体中文)
  • FRANCE (FRANÇAIS)
  • GERMANY (DEUTSCH)
  • INDIA (ENGLISH)
  • ITALY (ITALIANO)
  • JAPAN (日本語)
  • KOREA (한국어)
  • LATIN AMERICA (ESPAÑOL)
  • MEXICO (ESPAÑOL)
  • SINGAPORE (ENGLISH)
  • SPAIN (ESPAÑOL)
  • TAIWAN (繁體中文)
  • UK (ENGLISH)

人気のあるリソース

  • 会社概要
  • イベント センター
  • イベント
  • リソースセンター
  • プレスリリース
  • Unit42 ブログ
  • 投資家の皆様へ
  • ブログ
  • Japan Live Community
  • Tech Docs
  • キャリア
  • お問い合わせ
  • サイトマップ

法定通知

  • プライバシー
  • 個人情報保護基本方針
  • 利用規約
  • トラスト センター
  • ドキュメント
  • 一般事業主行動計画

アカウント

  • 購読の管理
  • パートナーログイン
  • パートナーになる
脆弱性の報告

Copyright © 2023 Palo Alto Networks. All rights reserved