ゲーム産業がサイバー攻撃のターゲットとなるのは、今回が初めてではない。その手口は、まずゲーム開発者の端末を感染させて、ゲームの開発環境にバックドアを設置するというものが一般的だ。そして次のステップで、正規のソフトウェアに偽装したマルウェアを配布する。2013年4月のカスペルスキー・ラボの報告によると、2011年にある人気のゲームタイトルにバックドアが仕掛けられていたようだ。この攻撃は、カスペルスキー社がWinntiグループと呼ぶ犯罪集団によるものであった。

ESETのリサーチャーは新たなサプライチェーン攻撃に再び注目している。今回、二つのゲームタイトルと、ひとつのゲームプラットフォームアプリにバックドアが仕掛けられていることが判明した。これら攻撃のほとんどがアジアおよびゲーム産業をターゲットにしていることを考慮すると、「Winntiはゲームだけではない」とカスペルスキー社が評するように、Winntiグループによる犯行だったことは特に意外性もなかったのではないだろうか。

3つの事例で同じバックドアを使用

これらマルウェアの構成はいずれも異なっている。しかし、被害を受けた3つのソフトウェア製品は同じバックドアコードが用いられ、同じメカニズムで起動されていた。感染した製品のうち2つはバックドアが排除されているが、被害を受けた開発者のうち残るひとつは今なおトロイの木馬と化したバージョンを拡散し続けている。 皮肉にも、そのゲームは「Infestation （感染という意味）」というタイトルで、タイの開発者であるエレクトロニクスエクストリーム社が作成したものである。ESETは2月初旬以来、同社に対してさまざまな方法で通知をおこなっているが、いまだに被害は収束していないようだ。

次に、悪意のあるペイロード^*1がどのように埋め込まれるのか。バックドアとはどのようなものなのかを詳しく見ていこう。

^*1 マルウェアの動作部分のコード自身を指す。

ペイロードの埋め込み

バックドアを含むファイルを実行するとすぐに、ペイロードのコードが開始される。PEエントリーポイントの直後に、Cランタイム初期化 （図1の__scrt_common_main_seh） の標準的な呼び出しがフックされ、真っ先に悪意のあるペイロードを起動する （図2）。つまり、攻撃者がソースコード自体ではなくビルド構成を変更している可能性を示唆している。

図1 感染していない実行ファイルのエントリーポイント

図2 感染した実行ファイルのエントリーポイント

実行ファイルに追加されたコードは、メモリー内のバックドアを復号化して起動する。その後、Cランタイムの初期化コードとホストアプリケーション^*2の次のコードから通常どおり実行を再開する。埋め込まれたペイロードデータは特殊な構造となっており （図3）、追加された「unpack（バイナリデータから元の値を取り出すこと）」によって解析される。

^*2 ペイロードが埋め込まれたアプリケーションのことを指す。

図3 埋め込まれたペイロード構造

これには、ファイル名と埋め込まれたDLLファイルを復号化する （「0x37」でXOR演算^*3を実行する） RC4キーが含まれている。

^*3 論理演算のうちのひとつで、「排他的論理和」のことを指す。

悪意のあるペイロード

実際の悪意のあるペイロードは非常に小さく、約17KBのコードとデータしか含まれていない。

構成

図4のとおり、構成データは単に空白文字で区切られた文字列のリストである。

図4 ペイロードの構成データ

構成は次の4つのフィールドから成る。

1. C&CサーバーのURL
2. 実行を継続する前に、スリープ状態になるまでの時間 （単位：ミリ秒） を決定するための変数 （t）待機時間は、「2/3 t」から「5/3 t」までの範囲で任意に選択
3. キャンペーンを識別する文字列
4. セミコロンで区切られた実行ファイル名のリスト。そのいずれかを実行すると、バックドアが実行を停止する

ESETの研究員が特定したペイロードのバージョンは、次の5つである。

^*4 PEとは「Portable Executable」の省略で、Windowsの実行ファイルフォーマットのことを指す。

最初の3つの変数において、コードは再コンパイルされていないが、構成データはDLLファイル内で編集されていた。残りのコンテンツはバイト単位でコピーされたものである。

C&Cインフラストラクチャー

ドメイン名は、ゲームやアプリケーション作成者かのようなものが選ばれている。Apexドメインは、リダイレクトサービス「Namecheap」を利用し正規のサイトにリダイレクトするように設定されていたが、サブドメインは悪意のあるC&Cサーバーを指定していた。

本稿執筆時点（編集部注：2019年2月末と思われる。）で、いずれのドメインも名前解決をおこなっておらず、C&Cサーバーは応答していない。

調査報告

ボット識別子は、端末のMACアドレスから生成される。バックドアは、ユーザー名、コンピューター名、Windowsのバージョンやシステム言語といったマシンに関する情報をC&Cサーバーに伝え、コマンドの要求まで待機する。データはキー「*&b0i0rong2Y7un1」でXOR暗号化され、「Base64^*5」でエンコードされている。C&Cサーバーから受信したデータは、同じキーで暗号化される。

^*5 データのエンコード方式の一つで、64種類の英数字に限定して通信を行う。

コマンド

このシンプルなバックドアにおいて攻撃者が使用できるコマンドは次の4つのみである。

・DownUrlFile
・DownRunUrlFile
・RunUrlBinInMem
・UnInstall

これらのコマンドは、ほぼその名の通りである。これらのコマンドを使えば、攻撃者は特定のURLから別の実行ファイルを実行することができる。

最後のコマンドは、分かりにくいかもしれない。「UnInstall」コマンドを実行しても、マルウェアはシステムから削除されない。実行が必要な正規のファイル内に埋め込まれているからだ。何も削除せず、次のレジストリー値を1に設定することで、マルウェアのコードを無効化するのだ。

HKCU¥SOFTWARE¥Microsoft¥Windows¥CurrentVersion¥ImageFlag

ペイロードが開始されると、レジストリーの値が照会され、実行は中止される （ただし、設定している場合に限る）。攻撃者は興味のない被害者からのコールバックを回避し、C&Cサーバーの負荷を減らそうとするだろう。

第二段階

ESETのテレメトリデータによると、被害者に配信される第二段階のペイロードのひとつは「Win64/Winnti.BN」である。恐らく、そのドロッパーはHTTPSを介して「api.goallbandungtravel[.]com」からダウンロードされたようである。Windowsのサービスや次のファイル名を用いる「C:¥Windows¥System32」のDLLとしてインストールされたと考えられる。

・cscsrv.dll
・dwmsvc.dll
・iassrv.dll
・mprsvc.dll
・nlasrv.dll
・powfsvc.dll
・racsvc.dll
・slcsvc.dll
・snmpsvc.dll
・sspisvc.dll

実際にESETで分析したサンプルは非常に大きく、それぞれ約60MBの容量であった。しかし、これは表向きそのように見せかけているだけで、実際のPEファイルのサイズは、バージョンによって63 KBから72 KBの間である。マルウェアファイルには感染していないファイルが多く追加されている。これは、感染ファイルを多くのファイル群の中に紛れ込ませることで、判別を免れてようとする意図だと思われる。

このサービスが実行されると、拡張子「.mui」をそのDLLパスに追加し、該当のファイルを読み出し、RC5を用いて復号化する。このMUIファイルには、オフセット^*6が0の位置に存在しないはずのコードが含まれている。RC5キーは、ハードドライブのシリアル番号と文字列「f@Ukd!rCto R$」から作成されている。ESETではMUIファイルも、これらを最初にインストールするコードも入手できなかったため、この悪意のあるサービスの正確な目的は不明のままとなっている。

^*6 配列または他のデータ構造オブジェクトの中の、所定の要素または位置までの、先頭からの距離を示す整数（Wikipediaより引用）

このマルウェアの最新バージョンには、C&Cサーバーである「http://checkin.travelsanignacio[.]com」を用いた「自動アップデート」機能が採用されている。このC&Cサーバーは、静的なRC5キーで暗号化されたMUIファイルの最新バージョンに対応していた。ESETの分析時点では、C&Cサーバーは応答していなかった。

攻撃のターゲット

攻撃のターゲットについて検討してみよう。ペイロードの初期段階で、マルウェアはシステム言語がロシア語や中国語ではないかをチェックする（図5）。いずれの場合も、マルウェアは実行を中止する。攻撃者はこれらの言語で構成されたコンピューターを狙っていないものと推測される。

図5 ペイロードを実行する前の言語チェック

分布統計

ESETのテレメトリデータによると、被害者はほとんどアジアに分布しており、最大の割合を占めているのはタイである。感染したゲームタイトルは人気が高く、開発者が今でも配布し続けていることを考えると、被害者が何万人や何十万人に達する可能性すら考えられる。

結論

ユーザーの立場からすれば、こうしたサプライチェーン攻撃を検出することは極めて難しいといわざるをえない。普段利用しているソフトウェアをくまなく分析するのは不可能に近いからだ。中には定期的なアップデートを推奨するものやインストールまで要求するソフトウェアもある。そのため、私たちはソフトウェア会社が提供するものにマルウェアが侵入していないことを信じるしかない。そしてこのことこそが、いくつもの攻撃グループがソフトウェア開発者をターゲットにする理由となってしまっている。ゲーム提供者を感染させれば、ボットネットはハッキングしたソフトウェアと同じように拡散できてしまう。しかし、このような方法でも攻撃者の狙いが明らかにった時点で効力は失われる。ユーザーは端末を定期的にアップデートすることで、コンピューターをクリーンな状態に保つことができる。

この記事の執筆時点で、攻撃者の動機ははっきりしていない。金銭の窃取を目的としているのだろうか。ターゲットにされた3つの製品がアジアの開発者による、アジア市場向けのものであった理由とはなんだろう。そして、攻撃者は、より大規模なスパイ活動の一環としてボットネットを使用しているのか。真相はまだわかっていない。

ESET製品では、この脅威を「Win32/HackedApp.Winnti.A」、「Win32/HackedApp.Winnti.B」として、ペイロードを「Win32/Winnti.AG」として、第二段階を「Win64/Winnti.BN」として検出する。

感染の疑いを確認するための指標 = （危殆化指標、IoC）

感染したファイルの例 （「Win32/HackedApp.Winnti.A」と「Win32/HackedApp.Winnti.B」）

一部のハッシュ値はベンダーからの依頼に応じて編集済みである。

ペイロードの例 （「Win32/Winnti.AG」）

第二段階の例 （「Win64/Winnti.BN」）

「api.goallbandungtravel[.]com」で提供しているドロッパー

サイバー攻撃の行動を体系化した「MITRE ATT&CKマトリックス」