標的

Attorのスパイ活動の対象は非常に限定されています。Attorの活動は、少なくとも2013年までさかのぼることができましたが、特定できた被害者は僅か数十人でしたが、マルウェア内のアーチファクトを分析することで、標的になった攻撃対象について詳細を把握できました。

たとえば、標的ユーザーの行動をレポートできるようにするため、Attorは実行されているプロセスを監視して、選択したアプリケーションのスクリーンショットを取得します。特定のアプリケーション（プロセス名またはウィンドウタイトルに特定の部分文字列が含まれるアプリケーション）のみが対象となります。

一般的なWebブラウザ、インスタントメッセージングアプリケーション、電子メールサービスなどの標準的なサービスに加えて、対象となったアプリケーションのリストには、ロシア語のいくつかのサービスが含まれています。表1に詳細を示します。

このリストには、ロシアで最も人気のある2つのソーシャルネットワーク（Odnoklassniki、VKontakte）と、ロシアの通信事業者（Multifon）が提供するVoIPサービスが含まれています。Attorは、ロシア語を使用するユーザーをターゲットにしているとESETは結論付けました。これは、図1に示すように、ほとんどの標的がロシアに存在しているという事実によってさらに裏付けられています。その他の標的は、東欧に存在しており、外交使節団や政府機関が含まれます。

図1 Attor による攻撃を受けた国

Attorの作成者は、特定の地理および言語を標的にしていますが、プライバシーに関心のあるユーザーを特に標的にしていると考えられます。

Attorは、暗号化/デジタル署名ユーティリティ、VPNサービスHMA、エンドツーエンドの暗号化電子メールサービスHushmailとThe Bat!、およびディスク暗号化ユーティリティTrueCryptのスクリーンショットをキャプチャするように構成されています。

ユーザーのTrueCryptの使用状況は、Attorの別のコンポーネントによってさらに詳細に検査されます。乗っ取ったコンピュータに接続されているハードディスクデバイスを監視し、TrueCryptが存在しているかどうかを検索します。TrueCryptが検出された場合、IOCTLをTrueCryptドライバー（0x222004（TC_IOCTL_GET_DRIVER_VERSION）および0x72018（TC_IOCTL_LEGACY_GET_DRIVER_VERSION））に送信することによって、そのバージョンが確認されます。これらは標準コードではなくTrueCrypt固有の制御コードであるため、マルウェアの作成者はTrueCryptインストーラのオープンソースコードを実際に把握する必要があります。この手法はこれまで使用されたことも、他のマルウェアの説明で確認されたこともありません。

図2 デバイスモニタープラグインは、TrueCryptのバージョンを判断するために、非標準のTrueCrypt固有の制御コードをTrueCryptドライバーに送信する

プラットフォームのアーキテクチャ

Attorはディスパッチャとロード可能なプラグインで構成されており、これらはすべてダイナミックリンクライブラリ（DLL）として実装されています。これらすべてのコンポーネントをディスクにドロップし、ディスパッチャのDLLをロードすることが、セキュリティ侵害の最初のステップになります。

ディスパッチャはプラットフォーム全体の中核であり、追加のプラグインを管理および同期するユニットとして機能します。システムが起動するたびに、実行中のほぼすべてのプロセスに自身を挿入し、これらの各プロセスで使用可能なすべてのプラグインをロードします。ただし、Attorは一部のシステムやセキュリティ製品関連のプロセスには自身を挿入しないようにしています。

すべてのプラグインは、基本機能の実装についてディスパッチャを利用しています。プラグインは、Windows API関数を直接呼び出すのではなく、ディスパッチャのDLLによって実装されたヘルパー関数（関数ディスパッチャ）への参照を使用します。関数ディスパッチャへの参照は、ロードされるときにプラグインに渡されます。プラグインはディスパッチャ自体と同じプロセスで挿入されるため、同じアドレス空間を共有し、この関数を直接呼び出すことができます。

関数ディスパッチャの呼び出しは、引数として関数のタイプとその数値の識別子を受け取ります。この設計により、指定された識別子が重要な関数に変換されて実行されるため、ディスパッチャにアクセスせずにAttorの個々のコンポーネントを分析することが困難になっています。

図3は、何度か関数ディスパッチャを呼び出しているあるプラグインの一部を示しています。右側の逆アセンブリでは、数値識別子（ディスパッチャをリバースエンジニアリングして判別した）をわかりやすい名前に置き換えました。ディスパッチャのインターフェイスの完全な分析については、ESETのホワイトペーパーを参照してください。

図3 追加のプラグインは、関数ディスパッチャ（ここではhelperFnc）を呼び出して、メインモジュールに実装された関数を使用する

さらに、ディスパッチャは、構成データにアクセスできるプラットフォームの唯一のコンポーネントです。前述のように、Attorのプラグインは、インターフェイスを介してディスパッチャから構成データを取得します。

プラグイン

Attorのプラグインは、RSAで非対称暗号化され、DLLとして乗っ取られたコンピュータに配信されます。プラグインは、ディスパッチャに埋め込まれたRSA公開キーを使用して、メモリでのみ完全に復元されます。そのため、ディスパッチャにアクセスせずに、Attorのプラグインを取得して解読することは困難になっています。

ESETでは、複数のバージョンのAttorの8つのプラグインを復元できました。これらのプラグインを表2に示します。プラグインが連番になっており、Attorを操る攻撃者が攻撃対象のユーザーごとに異なるプラグインセットを使用していると仮定すると、まだ発見されていないさらに多くのプラグインがあると考えられます。

プラグインは、プラットフォームの常駐化（インストーラ/ウォッチドッグプラグイン）、機密情報の収集バイスモニター、スクリーンショット取得、オーディオレコーダー、キー/クリップボードロガー）、およびC&Cサーバーとのネットワーク通信（ファイルアップローダー、コマンドディスパッチャ/SOCKSプロキシ、Torクライアント）の処理を実行します。

Attorには、新しいプラグインを追加し、自身を更新し、収集したデータとログファイルを自動送信する仕組みが内蔵されています。これらの仕組みを図4に示します。

次のセクションでは、Attorの名前の由来となった2つの重要な機能である、ATコマンドを介したGSMフィンガープリンティング、およびTorを使用した精巧なネットワーク通信を実行するプラグインについて説明します。

図4 Attorのアーキテクチャ。 ID 0x06は1つのプラグインを示しますが、ここでは説明のために機能を2つの部分に分けています。

ネットワーク通信

Attorのスパイ機能のためのプラグインは、機密データ（ディスク上に存在するドキュメントのリストなど）を収集し、最終的にリモートサーバーに送信しますが、これらのプラグイン自体はネットワーク経由で通信しません。 AttorのC&Cサーバーと通信するのは、ファイルアップローダーとコマンドディスパッチャの2つだけです。

「スパイプラグイン」（デバイスモニター、スクリーンショット取得、オーディオレコーダー、キー/クリップボードロガー）によって収集されたファイルは、ファイルアップローダープラグインによってC&Cサーバーに自動的にアップロードされます。これらのプラグインは、収集されたデータを保存する中央フォルダーとして専用のアップロードフォルダーを使用し、他のプラグインはこのフォルダーを使用してログファイルを保存します。

コマンドディスパッチャプラグインは、C&Cサーバーからコマンドと別のツールをダウンロードして解釈します。繰り返しになりますが、データは専用フォルダーに保存されます。新しくダウンロードされたプラグインとプラットフォームアップデート、実行されたコマンドのステータス/結果を含む暗号化されたログデータがこのフォルダーに保存されます。

Attorのディスパッチャは共有フォルダーを監視し、乗っ取られたコンピュータにプッシュされた新しいプラグインと更新を読み込みます。

つまり、AttorのディスパッチャもスパイプラグインもC&Cサーバーとは通信していません。ローカルの共有フォルダーのみを使用して、データを抽出し、C&Cサーバーからの指示を読み取ります。

ファイルアップローダーとコマンドディスパッチャはどちらも同じインフラストラクチャを使用してリモートサーバーにアクセスします。ネットワーク通信機能は4つの異なるAttorコンポーネントに分散しており、それぞれが異なるレイヤーを実装しています。

AttorはTor（Onion Service Protocol）を使用し、C&Cサーバーのonionアドレスを使用します。C&Cサーバーと通信するために、プラグインは最初に、onionドメインの解決、サーキットの選択、データの暗号化を行うTorクライアントプラグイン（デフォルト以外の127.0.0.1:8045でデータを受信）との接続を確立する必要があります。TorクライアントプラグインはTorクライアントをベースにしており、このマルウェアの設計に合わせてカスタマイズされています（tor.exeとAttorのディスパッチャとの連係機能が追加されています）。

Torクライアントプラグインは、暗号化機能を実装するディスパッチャと通信する必要があります。さらに、Torクライアントとリモートサーバー間の通信を中継するSOCKSプロキシプラグイン（127.0.0.1:5153でデータを受信）と通信します。

ファイルアップローダーとコマンドディスパッチャの両方は、FTPを使用します。ファイルは、FTPサーバーにアップロードまたはダウンロードされます。このFTPサーバーは、構成にハードコードされた認証情報によって保護されています。

• C&Cサーバー: idayqh3zhj5j243t[.]onion
• ユーザー名: do
• パスワード: [省略]

プラグインはFTPサーバーにログインし、収集したデータをユーザー別のディレクトリにコピーしたり、サーバーからコマンドをダウンロードしたりします。

C&C通信のインフラストラクチャは、図5に示すように、暗号化機能を提供するディスパッチャ、FTPプロトコル、Tor機能、および実際のネットワーク通信を実装する3つのプラグインの合計4つのAttorコンポーネントにまたがります。パズルのすべてのピースが揃わない限り、Attorのネットワーク通信を分析することが不可能になっています。

図5 4つのAttorコンポーネントが連携してC&Cサーバーと通信する

Attorは、ユーザーとセキュリティ製品に通信を検知されないようにするために、いくつかの追加の手法を実行していることに注意が必要です。

まず、C&CサーバーはTorサービスであり、匿名性を維持し、追跡を困難にしています。

第二に、すべてのネットワーク通信関連のプラグインは、Webブラウザまたはインスタントメッセージアプリケーションまたは他のネットワークアプリケーションのプロセスで実行されている場合にのみ有効になります（これは、プロセス名がハードコードされたリストと照合して決定されます）。この手法は、アプリケーションによって実行された正規の通信ストリームに盗み出したデータ通信を隠蔽し、検出されるリスクを低減しています。

GSMフィンガープリンティング

Attorの攻撃ツールの中でも最も興味深いプラグインは、接続されたモデム/電話デバイスと接続されたストレージドライブの両方、およびこれらのドライブに存在するファイルに関する情報を収集するものです。ファイル自体を収集するではなく、メタデータを収集していることから、デバイスフィンガープリンティングに使用されるプラグインであり、追加のデータを盗み出すための基盤として悪用されている可能性が高いと考えられます。

ストレージドライブをフィンガープリンティングするAttorの機能は標準的なものですが、GSMデバイスのフィンガープリンティング機能は独自です。

モデムまたは電話デバイスがCOMポートに接続されるたびに、デバイスモニターはATコマンドを使用して、関連するシリアルポートを介してデバイスと通信します。

ATコマンドは、Hayesコマンドセットとも呼ばれ、1980年代にモデムに対して電話を掛ける、電話を切る、または接続設定を変更するように命令するために最初に開発されました。その後、ATコマンドセットは、標準およびベンダー固有の追加機能をサポートするように拡張されました。

最近の論文で、ATコマンドがほぼすべての最新のスマートフォンで未だに使用されていることが発見されました。研究者は、セキュリティ対策のメカニズムを迂回し、USBインターフェイスを介してATコマンドを使用してスマートフォンと通信することを実証しています。SMSメッセージを送信したり、画面上でタッチ操作をエミュレートしたり、機密情報を外部に漏洩させるコマンドを含む、数千のコマンドが見つかり、テストされました。この研究は、古いATコマンドが悪用されると深刻なリスクをもたらすことを示しています。

しかし、Attorのプラグインに関しては、ATコマンドが使用されている理由しか推測できません。2019年にこのプラグインの64ビットバージョンを検出しましたが、それが未だに最新のAttorバージョン（2018年に最初に確認された）の一部であることを確認できます。一方、最新のスマートフォンを対象にしている可能性は低いと考えられます。このプラグインは、USBポートから接続されたデバイスを無視し、シリアルポートを介して接続されたデバイス（正確には、フレンドリ名が「COM*」に一致するデバイス）のみと通信します。

このプラグインが使用されている主な理由としてより説得力のある説明は、モデムと古い携帯電話をターゲットにしているということです。または、USB-シリアル変換アダプタを使用してCOMポートまたはUSBポートに接続されている特定のデバイス（攻撃の対象となった織が使用）と通信するために使用される場合があります。このシナリオでは、攻撃者が他のスパイ技術を使用して、標的の組織がこれらのデバイスを使用していることを確認している可能性があります。 いずれの場合であっても、このプラグインは、表3に示すATコマンドを使用して、接続されたデバイスから次の情報を取得します。

• 携帯電話またはGSM/GPRSモデムに関する基本情報：メーカー名、モデル番号、IMEI番号、およびソフトウェアバージョン
• 加入者に関する基本情報：MSISDNおよびIMSI番号

このプラグインでは使用されていない、多くの（ベンダー固有の）ATコマンドが存在しています。このマルウェアの運用者は、リストしたコマンドを使用して接続されたデバイスのフィンガープリントを作成し、デバイスから情報を抽出する具体的なコマンドを実行する別のプラグインを展開している恐れがあります。

結論

Attorはスパイ活動のためのプラットフォームであり、東ヨーロッパの特定のユーザー、そして、ロシア語を使用しセキュリティに関心のあるユーザーに対する標的型攻撃に使用されています。

このマルウェアは2013年から検出されることなく使用されてきましたが、特定の標的に対して機能をカスタマイズするために使用できるプラグインをロードできるアーキテクチャを備えています。ほぼ使用されていないATコマンドのセットを利用するGSMフィンガープリンティングのための希少なプラグインが使用されており、匿名性を維持し追跡を困難にするためにTorが組み込まれています。

ESETの調査からマルウェアの詳細が明らかになり、このマルウェアを操る組織の活動をさらに追跡する価値があることがわかりました。

これらのキャンペーンのESETの検出名およびその他のセキュリティ侵害の指標情報は、ホワイトペーパー『AT commands, TOR-based communications: Meet Attor, a fantasy creature and also a spy platform（ATコマンドとTORベースの通信を使用するスパイプラットフォームAttor）』に記載されています。

この調査に協力いただいたAnton Cherepanov、Peter Košinár、およびZoltán Rusnákに感謝します。

MITREのATT&CK手法