GootkitはSEOポイズニングマルウェア、検索結果に注意を

• 脅威情報
• 2023.2.17

脅威者は、通常、新しい技術を利用する必要に迫られるまで、同じ手法を利用し続けることがよくあります。Microsoft Officeに含まれる悪意あるマクロは、デバイスを最初に危険にさらすための「業界標準」として長い間利用されてきました。そのため、Microsoftがインターネットを経由するマクロをデフォルトでブロックしたことにより、攻撃者は被害者を感染させる新たな手法を見つけ、検索エンジン最適化（SEO）ポイズニングの台頭を招いていいます。このブログでは、SEOポイズニングの増加傾向を調査し、感染後にどのような手順が考えられるかについて説明します。その後、Trellix Advanced Research Centerの追跡調査に基づいて、Gootkitローダーのトレンド概要を説明します。

検索エンジン最適化とは

攻撃者の行動の変化を完全に理解するには、おとり文書に埋め込まれた悪意のあるマクロが、過去数十年の間に大量に拡散したことを理解する必要があります。フィッシング詐欺では、悪意のあるマクロが何百万通も何千万通も送信されていたため、地域的にも分野的にも世界規模であったことが、行為者を成功に導いたのです。私たちのメール遠隔測定では、悪意のあるマクロの使用はまだ減少していませんが、Microsoftの対策により、将来的には減少する可能性が高いと考えられます。結局のところ、攻撃者たちはマルウェアを被害者のマシンに侵入させる新しい方法を見つけなければなりません。これが SEO ポイズニングの出番です。

SEO対策は、検索エンジンで特定のキーワードセットに対し上位に表示させるためのものです。当初は検索結果の上位に表示されるための補助的な手段として使われていましたが、現在ではユーザーの目に留まるよう上位表示されるためには、少なくとも何らかのSEO対策が必要となっています。

SEOポイズニングとは、攻撃者が広告やランキング上位のウェブサイトを経由して、検索結果の上位に表示されるようにする手法のことです。HPは、最近、攻撃者が複数の異なるマルウェアファミリーを被害者に広める方法について自社の脅威リサーチブログで詳しく説明しました。最近、TwitterユーザーのNFT_GODが、このような悪質なサイト経由でOpen Broadcaster Software（OBS）の悪質なバージョンを誤ってダウンロードしてしまい、デジタルライフを根底から覆し、暗号通貨やNFTといったデジタル資産のほとんどを盗まれてしまったことで、この手法が話題になりました。NFT_GODは、この攻撃の影響について非常に明瞭に説明しており、情報セキュリティ・コミュニティ内で、こうした戦術、技術、手順（TTP）に関する議論が巻き起こっています。

マルウェアを含むSEOの結果がさらに増加の兆し

SEOポイズニングを利用するこのようなマルウェアファミリーの1つに、Gootkit loader（Gootloaderとも呼ばれる）があります。このマルウェアは、任意のマルウェアを拡散・起動するために使用され、多くの場合、Cobalt Strikeビーコンに誘導されます。マルウェアは、侵害された良性ウェブサイトを経由して拡散されるため、拡散は加速されます。乗っ取られたウェブサイトの既存の良性の評判に便乗することで、スパムや不正利用のフィルターは、評判のない新規登録のドメインや、ネガティブな評判を持つ既知のドメインよりも、そのようなウェブサイトを厳しく判断しないようにします。このマルウェアが取る最も興味深い手順は、以下の分析に示されています。

マルウェアのエントリポイントは関数「modernkj」にあり、エンコードされた主な変数は「speedk」です。「btkmym」関数を使用して「speedk」を復号すると、下図に示すように、最初に復号されたペイロードを取得できます。

図 1 – 最初にデコードされたペイロード

次に「gmxes」関数が2番目のペイロードをデコードし、それが実行されます。2 番目のペイロードの内部構造は、「v」という名前の関数を使用して復元されるエンコードされた文字列に基づいています。この関数は、復元する文字列のインデックスを1つの引数として受け取り、その後、異なる文字列を分割するパイプに基づいて文字列配列に変換されます。必要な文字列は、指定された文字列を取得し、最初の文字をその文字列の末尾に移動することによって取得されます。これは、配列内の指定されたインデックスと同じ回数実行されます。例えば、下図のように、最初の文字列「sFileExist」は「FileExist」＋「s」となり、「FileExists」となります。4 番目の文字列は4文字なので、この手順を4回繰り返したときと同じ順番ですでに表示されていることになります。

図 2 – 2 番目にデコードされたペイロードの文字列復元関数

配列の元の値は、「index:value」の形式で以下に示されます。

次に、3 番目のステージでWScriptを呼び出して、次のステージを実行します。難読化によって、以下のようにコードが読みづらくなっています。

図 3 – 第 3 段階の難読化されたコマンド実行機能

しかし、(部分的に) 難読化が解除されると、コード自体がより明らかになります。次のステージは別のスクリプトで、この場合は PowerShell ベースですが、cscript を使用すると、他の言語も可能になり、ローダーの汎用性が示されます。

図 4 – 半難読化解除された第3ステージのコマンド実行

それ以降のステージは、異なるステップを実行しますが、このブログで詳しく説明するほどの関連性はありません。このマルウェアは、オペレーティング システム、実行中のプロセスに関する情報を収集し、開いているウィンドウのタイトル、空きディスク ストレージの量、およびユーザーのデフォルト フォルダーとそのコンテンツ (つまり、ユーザーのデスクトップ フォルダ) に関する情報を取得します。Command & Control (C&C) サーバーへの最後の接続は、C&Cドメインに立て続けに接続することを回避するための組み込みのスリープ タイマーと共に冗長性チェックが組み込まれているため、興味深いものです。

図 5 – 文字列配列内の C&C ドメインへの呼び出し

C&C URLは、配列内に10個存在し、すべてマルウェアによって使用される可能性があります。URLを取得するために生成されるインデックスは、指定された配列からのランダムなエントリであるため、それらが使用される特定の順序はありません。乱数は、配列を入力とする Get-Random コマンドレットに基づいて生成されます。1が “true “になる “while(1) “ループは決して壊れないので、この処理は無限に続きます。このサンプルで使用されているC&CのURLは、Gootkitローダーがおとりドメインも含んでいるため、共有されるものではありません。私たちの追跡メカニズムでは、どのドメインがペイロードを返したかを検証していないため、すべてのドメインをリストアップすると、良性のドメインが悪質と判定される可能性があります。指定されたドメインの詳細については、当社のInsightsプレビューページまたはTrellix Insightsのインスタンスを参照してください。Gootkit loaderに関するMandiantの詳細なレポートでは、技術的な考察とともに、おとりドメインの使用についても言及しています。

Gootkit ローダーの追跡

Gootkitローダーは、拡散するマルウェアに基づいて、異なるセクターをターゲットにしたマルウェアとして使用されます。当社のAdvanced Research Centerの追跡調査によると、特定のキーワードに基づいてマルウェアが拡散されていることが明らかとなりました。最も注目すべきは、下の表でわかるように、「agreement」というキーワードです。

表 1 – 最も注目すべきキーワード

図中の名称は、Gootkitのローダーファイル名に基づいており、このマルウェアが、契約書や類似の文書に関する情報を探している被害者を標的にしていることを示しています。これは、必ずしも金融分野が狙われているということではなく、このような契約から得られる金銭的な利益が攻撃者の関心事であることを示しています。TrendMicroによる最近の調査では、オーストラリアの医療業界が標的にされたことが示されています。

すべてのサンプルが同じ数のC&Cドメインを利用しているわけではありませんが（おとりドメインの有無にかかわらず）、それに基づいて興味深い傾向を見ることができます。まず、ローダー内の全ドメインの使用トップレベルドメインですが、その上位20個は以下の図に示すとおりです。

図 6 – 分析されたサンプル内で使用された上位 20 のドメイン

最も頻繁に使用されているドメインは「.com」で、与えられたデータセット内で2615回出現しています。このピークは他の結果を引き離しており、最もよく使われるトップレベルドメインを除いたグラフで見ると、以下のようになります。

図 7 – 上位使用ドメインの 2 から 20 まで

国番号に縛られないトップレベルドメイン（非 ccTLD）が上位3つを占め、それ以降は一部の例外を除き、ほとんどのドメインがヨーロッパ系です。なお、米国にはccTLDがありますが、商用（.com）ドメインがよく使われています。このドメインは世界的に使用されているため、これらのドメインのどれがどの国に属しているかを、誤った結論を導き出さずに定義することは困難です。

下のグラフは、C&Cのドメインが再利用されているものと、そうでないものがあることを示しています。上位4つのドメインのうち3つは、”.com “TLDを使用しています。これは、上記の TLD 関連の結果を多少ゆがめる可能性がありますが、それらは多数のサンプルに存在するため、数字は依然としてサンプル自体に基づいています。

図 8 – 上位 20 の再利用されたドメイン

再利用されたドメインは、侵害の指標を探す際に有用ですが、これらのドメインは検証されていないため、良性の可能性があることに注意してください。サンプルにドメインが含まれているため、それらのドメインにたどり着く可能性があります。

最後に、持続性を実現するためのスケジュールされたタスクは、半ランダムに生成されているようです。それらの名前は、英数字からランダムに取られた文字ではなく、「Nuclear Pharmacy」や「Organic Geochemistry」といった単語を組み合わせたものです。特に技術的に未熟なユーザーにとっては、（一部の ITツールに奇妙な名前がついていることを考えると）ある程度は無害に見えるかもしれませんが、本質的に悪意があることは確かです。

まとめ

このマルウェア自体は、主に金銭的な利益を得ることに重点を置いて、数多くの方法で使用されています。定期的なアップデートは、開発者が顧客のためにマルウェアの保守とアップグレードに積極的に取り組んでいることを示しています。このような長期にわたる追跡作業により、マルウェアファミリーとその開発に関する独自の洞察が得られ、Trellixはこれを自社製品の改善と顧客の保護に役立てています。

攻撃者は、被害者を感染させるための技術を革新し続け、SEOポイズニングは最近のトレンドの1つとなっています。Trellix Advanced Research Centerでは、このことを認識し、新しい傾向、技術、およびその試みを注意深く追跡しています。

ハッシュ

以下、使用されたデータのハッシュを全て記載します。