Nozomi Networks 研究者ら、ブロックチェーンを通じて悪質なグルプテバの活動を追跡

ブロックチェーン技術を活用してサイバー攻撃を仕掛ける脅威者が増えている。ブロックチェーンの分散・非中央集権的な性質を利用することで、悪意のある行為者はその匿名性を悪用して、マルウェアの伝播からランサムウェアの配布に至るまで、さまざまな攻撃を行うことができます。

Gruptebaトロイの木馬は、悪意のある活動を実行するためにブロックチェーンベースの技術を活用する脅威アクターの一例です。このブログでは、Nozomi Networks Labが、Gruptebaに関する最新の調査結果と、セキュリティチームがブロックチェーンで悪意のある活動を検索する方法を紹介します。

グルプテバとは？

Gruptebaはバックドア型トロイの木馬で、Pay-Per-Installネットワーク(ソフトウェアやアプリケーションのダウンロードを促すオンライン広告キャンペーン)を介して、感染したインストーラーやソフトウェアのクラック内にダウンロードされます。一旦Gruptebaがシステム上でアクティブになると、ボットネットのオペレータは、ターゲットネットワーク上のデバイスを危険にさらすキットを悪用するために、認証情報ステイラーの追加モジュールを展開することができます。MikroTikやNetgearといったベンダーの様々なInternet of Things (IoT)アプライアンスの脆弱性を悪用することを目的としたGruptebaモジュールがいくつか存在する。

驚くべきことに、Gluptebaはビットコインのブロックチェーンを活用して、感染したシステムにコマンド・アンド・コントロール(C2)ドメインを配布する。これは珍しい手法であるという事実とは別に、有効なビットコイン・トランザクションを消去したり検閲したりする方法がないため、このメカニズムはテイクダウンに対して非常に強い。Gluptebaがブロックチェーン内にデータを隠すために使用しているのと同じアプローチを使用すると、研究者は悪意のあるトランザクションを探し出し、そのペイロードを回復することができます。当該ドメインが平文で保存されていない場合、Gruptebaのサンプルを反転させることで、セキュリティ研究者はペイロードを解読し、埋め込まれたドメインにアクセスすることができる。

ブロックチェーンによるデータ保存

ビットコインのブロックチェーンは、任意のデータを保存するために使用することができる。これは、署名スクリプト内に最大80バイトの任意のデータを保存できるOP_RETURNオペコードによって可能になる。この保存メカニズムにはいくつかの利点がある。第一に、テイクダウンに強い。これはブロックチェーンの性質である。C2ドメインを配布するためにこのメカニズムを使用することは、法執行官、ネットワーク防衛者、事件対応者がビットコインアドレスをダウンさせ、トランザクションを消去する方法がないことを意味する。ビットコインアドレスの秘密鍵がなければ、悪意のあるアドレスから発信されたデータペイロードのトランザクションを送信することはできないため、ボットネットを乗っ取ることは不可能です。さらに、脅威行為者はピアリングの目からペイロードを暗号化できるため、データ保存スキームを堅牢でコスト効率の高いものにできる。

この手法は、過去にCerberランサムウェアでも使用されている。特定のアドレスから発信されるビットコインのトランザクションが監視され、宛先アドレスの最初の6文字と.top TLDが付加されたドメインが使用された。

Gruptebaは、C2ドメインを配布するために、宛先アドレスの代わりにOP_RETURNに依存する同様のメカニズムを使用していることが知られている。C2ドメインがダウンした場合、ボットネット運営者はドメインを配布するビットコインアドレスから新しいトランザクションを送信するだけで、マルウェアは次にC2がリフレッシュされたときに設定を調整する。Gruptebaの最新のビットコイン取引は、2022年11月8日に行われたもので、ペイロード000c0b0006171c11064d150a0b16が埋め込まれています。

上記の16進数ペイロードはドメイン名に近いものを表しているようには見えないが、これはGluptebaが最新の亜種ではXOR暗号化スキームを使ってデータを保護しているためだ。いったんキーが分かれば、通常はc6d4ce67dd25764f571a84caa19fa6c2b067cae6のようなサンプルをリバースエンジニアリングすることで、データの復号化は簡単になる。

グルプテバの進化

Gluptebaは少なくとも2019年以降、C2サーバーの配布にビットコイン・ブロックチェーンを使用していることが知られている。ビットコインのトランザクションを取得するために、通常blockchain.comと blockstream.infoの複数のプロバイダが使用される。取引データを取得するためにblockchain.comへのクエリーを担当するGruptebaの関数を図1に示す。

トランザクション内でドメインが保護される方法は、時間の経過とともに少しずつ進化してきた。2019年、GruptebaはAES-GCMを使用してビットコイントランザクション内のデータを保護し、埋め込んだ。各サンプルは、サンプルがビットコイントランザクションからペイロードを復号化することを可能にするハードコードされたキーと初期化ベクトルで出荷された。図2はGluptebaの最も古いバージョンにおける復号化ルーチンを示している。

マルウェアの新しいバージョンでは、このスキームは単純なXOR暗号に変更され、現在使用されている。私たちが発見したサンプルはすべて同じキー「cheesauce」を使用していました。図3は、暗号文の復号化を担当する関数内で、この鍵がメモリ上を移動している様子を示しています。

年表  

これらの情報をもとに、私たちはブロックチェーン・ハーベスティング・ツアーに出かけ、ビットコインのブロックチェーン全体をスキャンし、隠されたC2ドメインを探しました。Gluptebaに関連することがわかっているすべてのアルゴリズムとキーを使用して、すべてのブロックの各トランザクションに存在するOP_RETURNスクリプトのデータペイロードの解読を試みました。さらに、VirusTotalから1500を超えるGluptebaのサンプルをダウンロードし、彼らが使用したウォレット・アドレスを調べて、見落としがないことを確認しました。しかし、それだけではありません。Gluptebaが使用している最新のTLS証明書セットも、サブジェクト代替名に正確なパターンを示しており、証明書の透明性のおかげで、これを探し出すことができます。最後に、関連する可能性のあるドメインとホストを見つけるために、自由に使えるパッシブDNSレコードも精査した。

この調査から、グルプテバのオペレーターがいつ行動を起こしたかを示す、一連の膨大な出来事を以下の年表にまとめることにした。

グルプテバの4つのキャンペーン

我々は、4年以上にわたって15個のGluptebaビットコインアドレスを特定することができた。

キャンペーン1

最も古い波は2019年6月に始まったようだ。当時、悪意のあるドメインを配布するために使用されたビットコインアドレスは1つだけだった。これは、グーグルがGluptebaの運営者2人に対する訴訟で判明したことも裏付けている。

図4はアドレス取引のグラフである。3Jt2UのようなOP_RETURN取引で、資金が15y7dアドレスにバウンスバックしているのがわかる。興味深いことに、15y7dアドレスに残っていた36.18ドルはすべて、2020年2月に3Jwj7アドレスに送られた。それ以来、そのアドレスでの活動は確認されていない。

キャンペーン2

第2波は2020年4月に始まったようで、今回は悪意のあるC2ドメインを配布するために2つのビットコインアドレスが使用された。興味深いことに、2つ目のアドレスを使用したサンプルは見つからなかった。これは、Glupteba亜種が期待通りに動作していることを確認するためのテスト用アドレスである可能性がある。さらに、テスト用と思われるアドレスdeepsound[.]liveを介して配布されたドメインは、両方のアドレスで見つけることができた他のトランザクションでは確認されていません。また、単にいくつかのサンプルを見逃しているだけかもしれない。

同じパターンがメインアドレス1CgPCで観察され、一定期間の活動の後、28.45ドルの残りの資金が2021年11月にどこかのベンダーまたはマーチャントに送金された。テスト用のビットコインアドレスでは、資金は送金されず、今日まで76.80ドルの残高が口座に残っている。図5は、両アドレスとの間のトランザクションを示している。

キャンペーン3

第3のキャンペーンは2021年11月に開始。悪意のあるドメインの配信に使用されたビットコインアドレスの数は、2020年の2個から2021年には4個へと倍増した。このキャンペーンは最も短く、寿命はわずか約2カ月だった。これは、約1年前にGoogleがGluptebaの2つの運営者を提訴し、ボットネットの運営を妨害するためにいくつかの措置が取られた際に、Googleがボットネットを停止させようと努力したためであると考えられます。また、Gluptebaによるコマンド・アンド・コントロール・サーバーとしてTORの隠しサービスが使用されたのは今回が初めてである。

Gruptebaのオペレーターは4つのウォレットを使用しており、図6に示すように最もアクティブなウォレットは1CUhaであった。ここでもビットコインアドレスには残金がなかった。これはまた、このキャンペーンで最も古いアドレスであり、トランザクション数が最も多いアドレスでもある。興味深いことに、2020年と同様にマルウェアのテストに使用されたと考えられるアドレス1GLjCを参照するサンプルを1件も見つけることができなかった。また、newcc[.]comというドメインも当時登録されておらず、テスト環境で使用されていた可能性があります。

キャンペーン4

最新の進行中のキャンペーンは、グーグル訴訟から6ヶ月後の2022年6月に始まり、今回、悪意のあるビットコインアドレスの数が大幅に増加した。これはいくつかの要因によるものと考えられる。第一に、より多くのビットコインアドレスが存在することは、セキュリティ研究者の仕事をより複雑にする。第二に、グーグル訴訟がグルプテバの運営に大きな影響を与えなかったことを示すためである。このキャンペーンでは、集めたアドレスのうち3つについてはサンプルを見つけることができなかった。これらのアドレスは、私たちがサンプルを見つけた他のビットコインアドレスで見つかったいくつかのドメインを配布しているため、テスト用に作られたものではないと考えている。さらに、2021年のキャンペーン以降、C2サーバーとして使用されるTOR隠しサービスが10倍に増加していた。

2022年のキャンペーンで使用されたアドレスを含む図7に示す取引グラフは、2019年以降のオペレーションの大規模化を示している。最後に、これらの取引をさらにさかのぼったところ、2019年以降、少なくとも5つの異なる加盟店や取引所がGluptebaアドレスの資金調達に使用されたと考えられる。

結論

このブログでは、ブロックチェーントランザクション、TLS証明書登録、およびリバースエンジニアリングサンプルを追跡することにより、Gluptebaをどのように狩ることができるかを示しました。また、ブロックチェーンがどのように任意のデータを保存するために使用されるのか、そして脅威アクターがどのようにこれを利用するのかについても見てきました。さらに、長年にわたるGluptebaのキャンペーンにも光を当ててみました。回復力という点では、GoogleがGruptebaボットネットを破壊するために取った行動が、突然終了したと思われる2021年のキャンペーンにどのような影響を与えたかを見てきました。最近グーグルが有利な判決を勝ち取ったとしても、私たちはそれがGruptebaの運営に深刻な打撃を与えることを望んでいたが、ほぼ1年経った今、そうならなかった可能性が高いと言える。実際、グルプテバは新たなキャンペーンをゼロから構築し、野放図に、しかも今度ははるかに大規模に配布するのに約半年を要した。

防御側と対応側には、blockchain.infoのようなブロックチェーン関連ドメインだけでなく、Glupteba既知のC2ドメインも環境内でブロックすることを強くお勧めします。また、DNSログを監視し、Glupteba感染の可能性を防ぐためにウイルス対策ソフトウェアを最新の状態に保つことをお勧めします。