正常な証明書に隠れた Shadow Force、7年間の行跡が明らかに

このファイルは、従来の4N*証明書 (シリアルナンバー：483f0bf7a6d84c6cf429d4eb4988e686) で署名されたマルウェアとは証明書のシリアルナンバーが異なり、証明書情報も不明確で、正常な証明書ではなかった。

しかし、結果的に Shadow Force の発見は重要な手がかりであった。公開済みの情報があるかを確認するため、2015年にトレンドマイクロ社が公開した分析内容を確認した。  

偽造4N*証明書で Shadow Force の亜種を1つ、そしてアンラボが保有中のサンプルから関連する亜種を探し、計23個の Shadow Force 亜種を発見した。トレンドマイクロ社のレポートは2015年に韓国企業を攻撃した亜種に関する内容であったが、ハッシュ情報を公開していないため、正確にどのようなマルウェアなのかは確認できなかったものの、ファイル名などから2015年に報告されたサンプルと類似のサンプルであると推定できた。2014年9月に初めて亜種が発見されており、見つかったファイルは2019年3月に韓国の政治機構から届け出られたファイル (md5: fcd695fa1cd04b23697b2e4fdd2d557b) であることを確認した。顧客からの届け出はなかったが2019年以降も活動を続けており、2020年3月初めにも活動が確認されたファイル (md5: a952b2cd5661c94ed7f13a88f8c41ee7) もあった。

証明書の盗用および偽造

Operation Shadow Force の攻撃者は、正常な証明書を盗用および偽造して、マルウェアに署名した。つまり、攻撃者がハッキングによって取得した証明書キーをマルウェアに使用したものと推定される。

攻撃者は2012年に CyberLink 証明書、2012年～2013年に A’d*** 証明書、2014年に EZ***、2017年に 4N*、2018年～2020年には blue**** 証明書を使用した。 

[図 2] Operation Shadow Forceの主なマルウェア

攻撃者の攻撃段階の順序別に、1段階では Htran (aio.exe)、Pemodifier、Loader を使用した。2段階では DNsdoo、wgdrop、shadow force を、3段階では Recakey、Keylogger、SSHCMD を利用したものと分析された。これ以外にも、まだ確認されていない多数のハッキングツールが存在するものと予想される。 

相関分析

関連マルウェアを分析すると、作成者である Melody、Syrinx、WinEggDrop を何度も目にする。トレンドマイクロ社のレポートによると、「WinEggDrop」 は1982年生まれの中国人だという。これらの作成者が1人なのか複数人なのか、マルウェアのみを作成しているのか、ハッキングにも加担しているのかに関する情報は、確認することができない。特に、WinEggDrop が作成したツールのうち一部はインターネット上に公開されており、誰でも使用することができる。

マルウェア、証明書、作成者情報を通じた関連性を整理すると、[図3] のようになる。 

[図3] Operation Shadow Force のマルウェア、証明書、作成者の関係性

複数のマルウェアが、同じデジタル証明書で署名されている。しかし、単純に同じ証明書で署名されていても、同一グループの仕業と断定することは難しい。しかしながら、この攻撃者は aio.exe ファイルを利用してファイルをダウンロードした後、iatinfect.exe ファイルを利用してシステムのファイルにパッチを適用して DLL をロードし、類似したバックドアを使用している。感染したシステムにおけるこれらのファイルの痕跡は、重要な手がかりである。 

攻撃者は周期的にマルウェアを変更しているが、現在までに aio.exe ファイルとしてマルウェアをダウンロードし、iatinfect.exe ファイルを利用して正常なファイルを改ざんする攻撃方法は変わらない。 

感染が疑われる症状

攻撃者がシステムに存在するファイルをダウンロードする時、aio.exe を使用して改ざんする際に使用したツールは iatinfect.exe というファイル名である。したがって、aio.exeやiatinfect.exe ファイルが発見された場合、このグループの攻撃を受けた可能性が高い。

攻撃者は正常なプログラムにパッチを適用し、マルウェアをロードする手法を使用している。そのため、証明書で署名されたファイルは改ざんされ、証明書が無効となる。これまで頻繁に使用してきたプログラムのデジタル署名情報が有効でない場合、ファイルの改ざんを疑うことが可能である。 

特に exe ファイルに [Syrinx の被害者 (Syrinx's Victim)] という文字列が存在する場合、改ざんされたファイルである可能性が高い。また、Melody、Syrinx、WinEggDrop が作成したコマンドラインプログラムが存在する、あるいは RAR 3.80コンソールプログラムが存在している場合も Operation Shadow Force を遂行した脅威グループであることが疑われる。

結論

初めは日本の三菱電機へのハッキングを試みたグループの韓国での活動を追跡することが目的であった。

この過程において、7年間韓国で密かに活動していたグループの痕跡を発見することができた。これほど長期間にわたってあまり知られずに活動していたという点において、彼らの隠密性に驚きを隠せないこともあるが、認知されていない別のグループが確実に存在すると考えると、憂慮せずにはいられない。幸いにも、今回の攻撃者は類似した攻撃方法を使用しており、同じファイル名のツールを何年間も使用しているなど、習慣を大きくは変えていない。ここで明らかにしておく点は、この攻撃グループが密かに活動していたとしても、一部のマルウェアはすでに検知されたということである。これまでに検知されたマルウェアと攻撃手法の関連性を把握し、Operation Shadow Force という攻撃グループとしてグループ化することができ、追跡プロセスにおいてこれまでに未検知のマルウェアも追加で確認・対応することができた。そして、この攻撃グループが好んで使用しているツールが他国内のハッキング事件でも発見されたこともあり、これらとの関連性も引き続き把握していく必要がある。 

このグループは、依然としてさまざまな側面において疑問点が残る。このグループの攻撃手法やマルウェアは確認されたが、彼らが他のグループと相関関係があるのか、あるいは独自のグループなのかはまだ判明していない。Operation Shadow Force を実行したグループと Aurora Panda (APT17) が関連しているという明確な根拠はない。また、マルウェア ZoxPNG と Operation Shadow Force ではシリアルナンバーが異なる同じ証明書が1つだけであるため、関連していると判断するのは難しい。

初期段階の侵入方法、情報流出の方法などはいまだに明らかになっていない。それにもかかわらず、アンラボが Operation Shadow Force を紹介した理由は、ここに公開された IOC 情報をもとに不審な侵害行為を早期に検知し、関連業界と協力して残る疑問点を共に解決しようとするためである。