Mirai、RAR1Ransom、GuardMiner：複数のマルウェアがVMwareの脆弱性を攻撃

米国時間2022年10月20日に掲載されたフォーティネットブログの抄訳です。

4月、VMwareはCVE-2022-22954の脆弱性にパッチを適用しました。この脆弱性は、パラメーター「deviceUdid」および「devicetype」のサニタイズが不十分であることから、サーバー側のテンプレートインジェクションの原因となっています。攻撃者はペイロードを注入し、VMware Workspace ONE AccessおよびIdentity Managerでリモートコードを実行することができます。FortiGuard Labsは、4月にこの脆弱性に関する脅威シグナルレポートを発表し、IPSシグネチャも作成しました。

FortiGuard Labsは、それ以降に実害が報告されている攻撃に注目しました。ほとんどのペイロードは、パスワードやホストファイルなど被害者の機密データを探すことに専念します。しかし、8月にいくつかの特殊なペイロードが見つかり、それが私たちの興味を引きました。これらのペイロードの狙いは、次のマルウェアを配信することでした。すなわち、Linuxが動作する公開済みネットワークデバイスを標的とするMirai、正規のWinRaRを利用して暗号化を行うRAR1ransom、そして、Moneroの「マイニング」に使用されるxmrigの亜種であるGuardMinerです。

このブログでは、これらのマルウェアがVMwareの脆弱性をどのように利用し、エクスプロイト後にどのような振る舞いをするかを詳しく解説します。

影響を受けるプラットフォーム：　VMware Workspace ONE AccessおよびIdentity Manager
影響を受けるユーザー：　　　　　Vmwareユーザー
影響：　　　　　　　　　　　　　攻撃者は脆弱性を利用して、不正なコマンドが含まれたメッセージを送信し、コマンドインジェクション攻撃を実行できる。
深刻度：　　　　　　　　　　　　クリティカル

Mirai亜種

図2にMiraiのペイロード全体を示します。このペイロードは一時ディレクトリに配置され、http[:]//107[.]189[.]8[.]21/pedalcheta/cutie[.]x86_64からMirai亜種をダウンロードし、パラメーター「VMware」を使って実行します。

大半のMiraiボットネットと同様に、この亜種の主な目的はDoSの配信とブルートフォース攻撃です。0x54でデータをXOR演算したのちに構成の一部をデコードし、C2サーバーが「cnc[.]goodpackets[.]cc」であることを突き止めました。デコードされた文字列は次のとおりです。

ブルートフォースの関数に、エンコードされたアカウントとパスワード文字列が使用されていることも確認しました。

デコードされたパスワードを以下に示します。これらはよく使用されるパスワードで、有名なIoTデバイスのデフォルトの認証情報も含まれています。

Mirai亜種が実行されると、ハードコードされた文字列「InfectedNight did its job」を表示し、パラメーター「VMware」とともにハートビートを送信します。そして、C2サーバーからの次のコマンドを待機します。ハートビートとブルートフォース攻撃からのトラフィックセッションを以下に示します。

RAR1RansomとGuardMinerの初期化スクリプト

67[.]205[.]145[.]142からのペイロードにも注目すべき点があります。このペイロードには2つのセッションが含まれ、それぞれが被害者のオペレーティングシステムに応じて異なるコマンドを使用します。一方はPowerShellを使用して「init.ps1」をダウンロードし、もう一方はPythonライブラリのcurl、wget、urlopenを使用して「init.sh」をダウンロードします。

PowerShellスクリプトファイル「init.ps1」から、cloudflare-ipfs[.]comへの複数のリンクが抽出され、攻撃をさらに進めるために使用されます。各ファイルには、それぞれに固有のcrustwebsites[.]netへのバックアップリンクが格納されています。

次の7ファイルは初期化に使用されます。

• phpupdate.exe：Xmrig Moneroマイニングソフトウェア
• config.json：マイニングプール用の構成ファイル
• networkmanager.exe：感染のスキャンと拡散に使用される実行ファイル
• phpguard.exe：ガーディアンXmrigマイナーが動作し続けるために使用される実行ファイル
• init.ps1：スケジュール済みタスクの作成によって永続性を維持するためのスクリプトファイル
• clean.bat：侵害されたホストから他のクリプトマイナーを削除するためのスクリプトファイル
• encrypt.exe：RAR1ランサムウェア

図11に示した「start encrypt」セクションでは、RAR1ransomを実行する前に、まず「flag_encrypt.flag」を確認します。このフラグファイルが存在し、「encrypt.exe」もすでにダウンロード済みであれば、「encrypt.exe」を削除して次の段階に進みます。それ以外の場合はファイルサイズを確認し、ファイルパスを更新するかどうかを判断します。最後にプロセスを確認したのち、ランサムウェアを実行します。RAR1ランサムウェアについては次のセクションで詳しく解説します。

このあと、スクリプトはGuardMiner攻撃を実行します。GuardMinerはクロスプラットフォームのマイニング型トロイの木馬で、2020年から活動しています。FortiGuard LabsはGuardMinerに関する詳細なレポートを発表しています。今回のバージョンでは、Linuxシステム用のスクリプトファイル「init.sh」もドロップされています。

私たちは、GuardMinerがさらに新しい脆弱性で「networkmanager.exe」を更新していることも発見しました。GuardMinerは各エクスプロイトモジュールの名前から、セキュリティテストを目的としたChaitin Tech Githubエクスプロイトリストを収集している可能性があります。

FortiGuard Labsが抽出した脆弱性の完全なリストを以下に示します。

RAR1Ransom

RAR1RansomはC:/Windows/Tempフォルダに「rar.exe」をドロップします。これは正当なWinRaRソフトウェアで、パスワードを設定して被害者のファイルを圧縮します。RAR1Ransomは、WinRaRの複数のデフォルトオプションを使ってファイルを暗号化し、効率化を図っています。図14のProcess Explorerでこれらのプロセスを確認できます。

完全なコマンドを以下に示します。オプションの「df」と「m0」は、ファイルを圧縮せずにアーカイブに追加したあと、ファイルを削除することを意味します。「mt10」は10個のスレッドを使用すること、「ep」は名前からパスを除外することを示しています。「hp」は、ファイルデータとヘッダーの両方をパスワードで暗号化することを意味します。

C:/Windows/Temp/rar.exe a -df -m0 -mt10 -ep -hpVbDsLHSfbomQiQ6YuP7m1ZaNP0LQqYpzrkjwvuNSjsnQlicOxNPi0iKzKeQO1Besbpbx1iKWNeOfFQDEw8qaoAGmN1Nx9i0vbUcr "C:/Python27/Lib/json/MVXGG33EMVZC44DZ.rar1" "C:/Python27/Lib/json/MVXGG33EMVZC44DZ"

RAR1Ransomは侵害された被害者のファイルのうち、図15に示す特定の拡張子を持つファイルを標的にします。

暗号化されたすべてのファイルには固有のファイル名と拡張子「.rar1」が付けられます。そして、そのファイルと同じフォルダ内に、図17のメッセージとともにテキストファイル「READ_TO_DECRYPT.txt」がドロップされます。

このランサムノートのウォレットの文字列は、図18に示したマイナーの構成にある文字列と同じです。攻撃者の意図は、被害者のリソースをできる限り多く利用することにあると見られ、それはRAR1Ransomをインストールして恐喝するだけでなく、GuardMinerを拡散させて暗号通貨を集めるためでもあります。

結論

クリティカルな脆弱性CVE-2022-22954は4月にパッチの適用が済んでいますが、依然としてそれを悪用しようとするマルウェアが複数存在します。ユーザーはシステムを常に最新の状態に保ち、パッチを適用し、環境内での疑わしいプロセスに注意する必要があります。上記のMirai亜種、RAR1Ransom、GuardMinerはそれほど複雑なサンプルではありませんが、その手法は絶えず変化し進化しています。FortiGuard Labsは今後も監視を続け、最新の情報を提供します。

フォーティネットのソリューション

フォーティネットではお客様をプロアクティブに保護するため、CVE-2022-22954に対するIPSシグネチャVMware.Workspace.ONE.Access.Catalog.Remote.Code.Executionを公開しました。このシグネチャは、IPS定義バージョン20.297で正式発表されています。

以下のスクリプトおよびマルウェアは、FortiGuardアンチウイルスとFortiEDRサービスによって検知されブロックされます。

Adware/Miner
W32/PossibleThreat
Riskware/Agent
BASH/CoinMiner.RZ!tr
PowerShell/CoinMiner.BW!tr
ELF/GuardMiner.A!tr
W64/GuardMiner.A!tr
BAT/Cleaner.CC41!tr

IOC（Indicators of Compromise：侵害指標）

SHA256:

66db83136c463441ea56fb1b5901c505bcd1ed52a73e23d7298f7055db2108d1
4761e5d9bd3ebe647fbd7840b7d2d9c1334bde63d5f6b05a4ed89af7aa3a6eab
9c00823295f393358762542418bb767b44cfe285c4ab33e7e57902c6e1c2dacb
23270d23f8485e3060f6ea8c9879177781098b1ed1b5117579d2f4d309aeffd2
4b3578ee9e81f356a89ff2e1aff6bbee8441472869b0c6c4792fc9fd486a0df5
0212b447c25e9db55f7270e1e2a45846e2261445474845997a314cb1ddeea4f7
a372e07a691f8759e482615fd7624bfca2a2bc2cd8652a47ff9951ff035759a5
f2a6827ea5f60cefc2f6528269b2d1557a7cc1e68f84edca4029e819dd0509cb
4b4c0d3cb708612b1fdb0394e029e507e4c0f6136fc44e415200694624ed5b68
7fc7c242ad1fa439e515725561a9e304b3d94e40ba91f61df77471a4c2ff2b39