よってフラグが立てられました。帰属するとされていました。通信を確立し、追加のペイロードをロードしました。サンプルと類似しています。暗号化されていることが明らかになりました。通信を実行する「Start」エクスポートを呼び出します。サンプルをリバースエンジニアリングして得られたコードブロック。ペイロードの復号とロード、および「Start」エクスポートの呼び出しを示しています。サイドローディングで使用される可能性があるという特徴を持っています。ディレクトリに移動したため、サイドロードに苦心しました。サイドロードするのに成功しました。接続しているのを確認しました。サイドローディングを試みていることが確認されました。アカウントから再起動された際に悪意のあるコードが呼び出されました。通信を確立したことも確認しています。マルウェアの攻撃者に利用されたものと同じです。短時間の接続を確立しました。バックドアの展開に使用されるさまざまな手法を示す図。実行するのが確認されました。時間継続して行います。接続を確認しようとしているのを観測しました。スクリプトのローダーとして使用しました。コンパイル、送信ドメインを示していました。コンパイルを実行しました。いう検出を実装しました。いう検出により、ソフォスのエージェントによってブロックされました。新しい亜種に関するものでした。サンプルの洗練度が低いことを指摘していましたが、ソフォスが観測した亜種は、このマルウェアが大幅にアップグレードされたことを示しています。ネットワークパケットを変更し、侵害されたシステムとマルウェア保護ポリシーサーバーやクラウドベースの検出機能との通信を妨害するという新しい機能を有していました。よって確認されました。ローダーを使用することで、解析を妨げようとしました。用の強力なユーザーモードパッケージです。元のソースコードとは異なる、追加の修正が加えられていました。送信トラフィックを監視します。トラフィックをフィルタリングするために、その後に「3」が追加されています。関連するドメインなど、指定されたマルウェア保護ベンダー関連のサブ文字列のリストを監視します。解決を効果的に防止し、これらのサーバーとの通信を無効化します。パケットを転送前に読み取り、変更し、システムがマルウェア保護ベンダーのサーバーと通信するのを妨げます。マルウェアが以下のアンチウイルスベンダードメインへのネットワーク通信の妨害を目的としていたことに一定の確信を持っています。サンプルには機能が追加されていました。サーバーアドレスが確認されました。ページでご確認いただけます。セッションをクリーンアップするのを継続的に確認しました。組の関連する政府機関への接続を確認していました。か年計画および国際的に認められた国境の外での南シナ海の天然資源に対する権利の主張とも合致しているため、中国政府にとって関心の高い対象として位置付けられています。さまざまな探索コマンドを実行しました。実行することも確認されています。実行により、圧縮されたサンプルに対するソフォスの検出「‘Xsh/dnObfus-A’」がトリガーされ、スクリプトの実行がブロックされました。1」が実行されました。セッションを生成してデプロイメントを自動化し、他のリモートサーバーにラテラルムーブメントを行いました。通信の両方を行いました。上図は、シングルセッションで実行するためのバックドア展開に使用された手法を示しています。予期されるディレクトリから「C:\ProgramData」にコピーし、名前を変更しました。別のマシンにサイドロードしました。スケジュールタスクは、「1回」の実行スケジュールで設定されるか、作成後に手動で実行された後、直ちに削除されました。インプラントの実行方法が複数通りあることを確認しており、この攻撃者が難読化された方法でペイロードを実行するために、少しずつ異なる方法を使用していたことを示しています。以下のような方法が用いられました。「C:\Users\Administrator\Appdata\Roaming」にコピーしました。通信実行用のスケジュールタスクをシステムとして作成することを確認しました。シングルセッションでの実行を開始しました。セッション終了後に直接削除されました。通信に使用された事例では、タスクは実行されたままになっていました。メモリダンプを実行するために使用される単純なバックドアです。件のスレッドが特定されました。ミリ秒ごとにすべてのウィンドウを高速で列挙し、自分自身に属するものを隠すことで、バックドアの活動を確実に隠匿することを目的としています。されるアクティビティが観測されました。エンドポイント保護エージェントプロセスをカーネルからアンフックするために使用されます。正規のバージョンをコピー元として使用することで、この手法はメモリ上のバージョンが破損してシステムがクラッシュするのを防ぎます。ページでご確認いただけます。月のある休日の朝でした。送信するなど、最も人目を引く活動が確認されました。人以上のドメインユーザーに対して特定の探索活動を行うのを観測しました。コマンドを、今度は別の管理者認証情報を用いて実行しました。クエリを送信するのが誤植である可能性を確認しました。機能を持たないためです。エクスポートしました。ファイルの圧縮アーカイブファイルを作成しました。スイープを実施しました。スイープのスクリプトに壊れた部分があることが確認できます。送信されたホストアドレスの大部分が連続していたという事実に基づき、この攻撃者はネットワーク内のすべてのエンドポイントをマッピングしようとしていたと確信します。つの異なる管理者アカウントを利用しているのを観測しており、未知の手段で有効な認証情報に事前にアクセスしていたことが判明しています。インプラントを常駐化しました。サイドロードするのを確認しました。このサイドロードは数時間にわたって複数回試行されましたが、攻撃者が実行可能ファイルを見つけるためにさまざまな探索コマンドを実行していたため、失敗したと考えられます。ロードするための試みだったことに一定の確信を持っています。ダンプしていることを突き止めました。平文で認証情報が出力されるのが確認されています。攻撃者は、標的ネットワーク全体へのアクセス拡大を順序立てて実行しました。インプラントから複数のドメインコントローラーに同時に接続するのがしばしば観察されました。このような感染の拡大方法は、クライアント間のトラフィックが正規のトラフィックにうまく紛れ込めないのとは対照的に、通常のドメインコントローラートラフィックのノイズの中に身を隠せます。攻撃者は時々スケジュールタスクを利用していました。起動するために、漏洩した管理者認証情報を使用してタスクを作成しました。いうカスタムバイナリも回収しました。コマンドを実行する機能を持ちます。使用して探索を行い、さらにエンドポイントへのラテラルムーブメントを開始しました。共有を介して新しいシステムにマルウェアをコピーし、リモートのスケジュールタスク作成を利用して実行しました。実行をプロキシしていました。この活動は通常確認されないもので、それ自体大きな脅威ハンティングの候補となります。通信ラインを確立するために、複数のマルウェアインプラントを展開しました。ペイロードの反復実行を可能にする複数のスケジュールタスクが作成されました。いくつかの事例ではタスクが手動で実行されていましたが、システム再起動時にタスクがトリガーされるように設定された事例も確認されました。使って別のユーザーのコンテキストでコマンドを実行することで、管理者権限でコマンドを実行していました。発見するためのプロセスのスキャンなどの機能を備えています。それぞれの値は、サーバーアドレスの追加パラメーターを受け取ります。ライブラリを埋め込み、利用することに由来します。年まで遡って複数確認しています。