今回は、マルウェアを使った攻撃者による情報持ち出しが生じたセキュリティインシデントを紹介しよう。これは、第3回記事のような、技術的に見るべきものがある攻撃ではない。攻撃者は、組織間の商取引関係を理解するだけではなく、日本の組織の特徴などを非常によく理解しており、マルウェアなどの技術的な側面よりも、「情報収集と分析能力が真の脅威だ」といえる事例だ。残念なことに、攻撃者による情報の持ち出しも確認されている。
使用された攻撃ツールや手法
この事例では、Remote Access Trojan（以下RAT）としてDaserfの亜種、ツールとしてはMimikatzやrar.exeなど、マルウェア感染インシデントの現場でよく目にするものが利用されていた。RATの起動方法も、第3回で紹介したようなsvchostにロードさせる標準のDLLの設定を差し替えたり、マルウェアローダーから暗号化したRATを起動したりするような手の込んだ手法ではなく、RUNキー、スケジューラータスクやサービスとしてRATを起動する方法だった。技術的に目新しいものはない。
Daserfおよびその亜種
ラックの分析によると、Daserfは2013年から日本のさまざまな企業を狙った攻撃に利用されてきたRATであり、複数の亜種が存在している。少なくとも、われわれIBM X-Force IRISチームは、2018年時点でもDaserfの亜種が利用されていることを確認している。Daserf自体の詳細は同社のレポートを参照されたい。
また、Daserfとその亜種には、JPCERT コーディネーションセンター（JPCERT/CC）も注目している。JPCERT/CCのウェブサイトには、Datperと呼ばれるDaserfの亜種を発見するための情報が記載されている（参照先1、参照先2）。
Daserfとその亜種群自体は典型的なRATであり、さまざまな機能を有する。攻撃者が主に利用する機能は次のようなもので、いわゆる踏み台サーバーと同じように利用される。
- Command ＆ Control（C2）サーバーから与えられた（攻撃者が入力した）コマンドを実行
- 特定フォルダ配下のファイルをC2サーバーにHTTP POSTで送信
もちろんよく解説されるC2通信の符号化、暗号化なども注目すべき機能だが、発見を困難にするための機能であり、情報の持ち出し行為そのものに直接関係するものではない。また、RAT自体が自動的かつ能動的攻撃活動は行わない。よってRAT自体をリバースエンジニアリングなどで深く調査しても、「何をされたのか？」という、被害に係わる疑問には答えることができない。せいぜい分かるのは、RATが持つ機能一覧、C2通信の符号化方法、C2サーバーのIPアドレスやホスト名程度だ。
もちろんリバースエンジニアリングに意味がないわけではない。第3回で紹介した事例では、リバースエンジニアリングにより、マルウェアがQuasar RATであること、C2サーバーのIPアドレスと合致したことが重要なポイントだった。被害を明らかにするため、RATやツールだけでなく、RAT活動時のメモリダンプ、感染ホストのファイルシステムのコピーだけではなく、プロキシーなどのネットワーク経路上の装置のログ、ファイルサーバー、Active Directoryサーバーなどの周辺機器のログを取得し、横断的かつ総合的に分析を行うことになる。
複数の組織に対する攻撃
本稿で紹介するのは2つの事例だ。結論からいえば、インシデントの現場となった組織同士に何ら関係はないが、それぞれの組織がある別の組織と商取引をしており、実際にはその取引先の情報が持ち出された事例だった。本稿では、われわれが対応した組織をA、B、そしてAおよびBがそれぞれ商取引をしていた相手先の組織をZと表記する。攻撃者はZの情報を盗むために、AおよびBを攻撃したと強く推測された。
