2026ๅนด07ๆœˆ20ๆ—ฅ 5m read

Cato CTRLโ„ข่„…ๅจใƒชใ‚ตใƒผใƒ๏ผšไธญๅ›ฝ้–ข้€ฃใŒ็–‘ใ‚ใ‚Œใ‚‹ๆ”ปๆ’ƒ่€…ใŒใ€ๆœช็ขบ่ชใฎTencShellใƒžใƒซใ‚ฆใ‚งใ‚ขใ‚’็”จใ„ใฆใ‚ฐใƒญใƒผใƒใƒซ่ฃฝ้€ ๆฅญใ‚’ๆจ™็š„ใซ

Idan Tarab
Dr. Guy Waizel
Zohar Buber
Shani Kurtzberg
Idan Tarab , Dr. Guy Waizel , Zohar Buber , Shani Kurtzberg

ใ‚จใ‚ฐใ‚ผใ‚ฏใƒ†ใ‚ฃใƒ–ใ‚ตใƒžใƒชใƒผ

2026ๅนด4ๆœˆใ€Cato CTRLใฏใ€ใ‚ฐใƒญใƒผใƒใƒซ่ฃฝ้€ ๆฅญใฎ้กงๅฎขใ‚’ๆจ™็š„ใจใ—ใŸไพตๅ…ฅใฎ่ฉฆใฟใ‚’ๆคœ็Ÿฅใ—ใ€ใ“ใ‚Œใ‚’้˜ปๆญขใ—ใพใ—ใŸใ€‚ใ“ใฎๆ”ปๆ’ƒใงใฏใ€ใ‚ชใƒผใƒ—ใƒณใ‚ฝใƒผใ‚นใฎRshell C2ใƒ•ใƒฌใƒผใƒ ใƒฏใƒผใ‚ฏใ‚’ๅŸบใซใ—ใŸใ€ใ“ใ‚Œใพใง็ขบ่ชใ•ใ‚Œใฆใ„ใชใ‹ใฃใŸGo่จ€่ชž่ฃฝใฎใƒžใƒซใ‚ฆใ‚งใ‚ขใ€ŒTencShellใ€ใŒไฝฟ็”จใ•ใ‚Œใฆใ„ใพใ—ใŸใ€‚

ใ“ใฎๆดปๅ‹•ใฏใ€้กงๅฎข็’ฐๅขƒใซๆŽฅ็ถšใ—ใฆใ„ใŸ็ฌฌไธ‰่€…ใƒฆใƒผใ‚ถใƒผใซ้–ข้€ฃใ™ใ‚‹้€šไฟกใฎไธญใง็ขบ่ชใ•ใ‚Œใพใ—ใŸใ€‚

ๆ”ปๆ’ƒใงใฏใ€็ฌฌ1ๆฎต้šŽใฎใƒ‰ใƒญใƒƒใƒ‘ใƒผใ€Donutใ‚ทใ‚งใƒซใ‚ณใƒผใƒ‰ใ€.woffๅฝขๅผใฎWebใƒ•ใ‚ฉใƒณใƒˆใ‚’่ฃ…ใฃใŸใƒ•ใ‚กใ‚คใƒซใ€ใƒกใƒขใƒชไธŠใธใฎใ‚ณใƒผใƒ‰ๆณจๅ…ฅใ€ใใ—ใฆ้€šๅธธใฎWeb้€šไฟกใ‚’่ฃ…ใฃใŸC2๏ผˆใ‚ณใƒžใƒณใƒ‰๏ผ†ใ‚ณใƒณใƒˆใƒญใƒผใƒซ๏ผ‰้€šไฟกใŒๅˆฉ็”จใ•ใ‚Œใฆใ„ใพใ—ใŸใ€‚็งใŸใกใฏใ€ใ“ใฎๆดปๅ‹•ใซใคใ„ใฆใ€ไธญๅ›ฝใจใฎ้–ข้€ฃใŒ็–‘ใ‚ใ‚Œใ‚‹ๆ”ปๆ’ƒใงใ‚ใ‚‹ใจ่ฉ•ไพกใ—ใฆใ„ใพใ™ใ€‚ใใฎๆ นๆ‹ ใจใ—ใฆใ€Rshellใจใฎ็ณป่ญœ็š„ใช้กžไผผๆ€งใ€Tencent้–ข้€ฃใ‚ตใƒผใƒ“ใ‚นใ‚’่ฃ…ใฃใŸAPIใฎไฝฟ็”จใ€ใใ—ใฆใ‚คใƒณใƒ•ใƒฉใฎ็‰นๅพดใŒๆŒ™ใ’ใ‚‰ใ‚Œใพใ™ใ€‚ใŸใ ใ—ใ€ใ“ใ‚Œใ‚‰ใฎ็‰นๅพดใ ใ‘ใงๆ”ปๆ’ƒไธปไฝ“ใ‚’็‰นๅฎšใงใใ‚‹ใ‚‚ใฎใงใฏใ‚ใ‚Šใพใ›ใ‚“ใ€‚

ใ‚‚ใ—ๆ”ปๆ’ƒใŒๆˆๅŠŸใ—ใฆใ„ใŸๅ ดๅˆใ€TencShellใซใ‚ˆใฃใฆๆ”ปๆ’ƒ่€…ใฏ้ ้š”ใ‹ใ‚‰ใฎใ‚ณใƒžใƒณใƒ‰ๅฎŸ่กŒใ€ใƒกใƒขใƒชไธŠใงใฎ่ฟฝๅŠ ใƒ—ใƒญใ‚ฐใƒฉใƒ ใฎๅฎŸ่กŒใ€้€šไฟกใฎไธญ็ถ™ใ€ใƒใƒƒใƒˆใƒฏใƒผใ‚ฏๅ†…้ƒจใงใฎๆจชๅฑ•้–‹ใ€ใ‚ทใ‚นใƒ†ใƒ ๆƒ…ๅ ฑใฎๅŽ้›†ใ€ใ•ใ‚‰ใซใฏ่ฟฝๅŠ ใƒ„ใƒผใƒซใฎๅฑ•้–‹ใ‚’่กŒใˆใ‚‹็Šถๆ…‹ใซใชใฃใฆใ„ใŸๅฏ่ƒฝๆ€งใŒใ‚ใ‚Šใพใ™ใ€‚Catoใฏใ€ๆ”ปๆ’ƒ่€…ใŒๆŒ็ถš็š„ใช้ ้š”ๆ“ไฝœ็’ฐๅขƒใ‚’็ขบ็ซ‹ใ™ใ‚‹ๅ‰ใฎๆฎต้šŽใงใ€ใ“ใฎไพตๅ…ฅใฎ่ฉฆใฟใ‚’้˜ปๆญขใ—ใพใ—ใŸใ€‚

ใชใœ้‡่ฆใชใฎใ‹

็ฌฌไธ‰่€…ใซใ‚ˆใ‚‹ใ‚ขใ‚ฏใ‚ปใ‚น็ตŒ็”ฑใงC2ใƒ•ใƒฌใƒผใƒ ใƒฏใƒผใ‚ฏใŒๅฑ•้–‹ใ•ใ‚Œใ‚‹ใจใ€ๆœฌๆฅใฏไฟก้ ผใ•ใ‚ŒใŸใƒ“ใ‚ธใƒใ‚นไธŠใฎๆŽฅ็ถšใŒใ€ๆ”ปๆ’ƒ่€…ใซๅˆถๅพกใ•ใ‚ŒใŸไพตๅ…ฅ็ตŒ่ทฏใธใจๅค‰ใ‚ใฃใฆใ—ใพใ†ๅฏ่ƒฝๆ€งใŒใ‚ใ‚Šใพใ™ใ€‚ใ‚‚ใ—TencShellใฎๅฐŽๅ…ฅใซๆˆๅŠŸใ—ใฆใ„ใŸๅ ดๅˆใ€ๆ”ปๆ’ƒ่€…ใฏใ‚ณใƒžใƒณใƒ‰ใฎๅฎŸ่กŒใ€ใƒ•ใ‚กใ‚คใƒซใฎ้–ฒ่ฆงใ€่ช่จผๆƒ…ๅ ฑใ‚„ใ‚ปใƒƒใ‚ทใƒงใƒณๆƒ…ๅ ฑใฎ็ชƒๅ–ใ€่ฟฝๅŠ ใƒ„ใƒผใƒซใฎ้…็ฝฎใ€ไพตๅฎณใ•ใ‚ŒใŸ็ซฏๆœซใ‚’็ตŒ็”ฑใ—ใŸ้€šไฟกใฎไธญ็ถ™ใ€ใ•ใ‚‰ใซใฏใ‚คใƒณใ‚ฟใƒผใƒใƒƒใƒˆใซ็›ดๆŽฅๅ…ฌ้–‹ใ•ใ‚Œใฆใ„ใชใ„ๅ†…้ƒจใ‚ทใ‚นใƒ†ใƒ ใธใฎไพตๅ…ฅใ‚’่ฉฆใฟใ‚‹ใ“ใจใŒๅฏ่ƒฝใซใชใฃใฆใ„ใŸใจ่€ƒใˆใ‚‰ใ‚Œใพใ™ใ€‚

ใ‚ฐใƒญใƒผใƒใƒซใช่ฃฝ้€ ๆฅญไผๆฅญใซใจใฃใฆใ€ใใฎใƒชใ‚นใ‚ฏใฏๅ˜ไธ€ใฎ็ซฏๆœซใซใจใฉใพใ‚Šใพใ›ใ‚“ใ€‚ๅœฐๅŸŸๆ‹ ็‚นใซๆŽฅ็ถšใ•ใ‚ŒใŸ็ซฏๆœซใŒไพตๅฎณใ•ใ‚Œใ‚‹ใ“ใจใงใ€ใ‚ตใƒ—ใƒฉใ‚คใƒคใƒผใจใฎๅ–ๅผ•ๆƒ…ๅ ฑใ€็”Ÿ็”ฃใƒ—ใƒญใ‚ปใ‚นใ€็Ÿฅ็š„่ฒก็”ฃใ€้กงๅฎขใƒ‡ใƒผใ‚ฟใ€็‰ฉๆตใ‚ชใƒšใƒฌใƒผใ‚ทใƒงใƒณใ€ใ•ใ‚‰ใซใฏไบ‹ๆฅญ็ถ™็ถšใใฎใ‚‚ใฎใซๅฝฑ้ŸฟใŒๅŠใถๅฏ่ƒฝๆ€งใŒใ‚ใ‚Šใพใ™ใ€‚ๆœ€ๅˆใซๆŠ•ๅ…ฅใ•ใ‚Œใ‚‹ใƒ—ใƒญใ‚ฐใƒฉใƒ ใŒ็ ดๅฃŠ็š„ใชใ‚‚ใฎใงใชใใฆใ‚‚ใ€ๅฎ‰ๅ…จใจใฏ่จ€ใˆใพใ›ใ‚“ใ€‚C2ใƒ•ใƒฌใƒผใƒ ใƒฏใƒผใ‚ฏใฏใ€ๆ”ปๆ’ƒ่€…ใซ็’ฐๅขƒใ‚’ๅˆถๅพกใ™ใ‚‹ใŸใ‚ใฎ่ถณๆŽ›ใ‹ใ‚Šใ‚’ไธŽใˆใ€ใใฎๅพŒใฉใฎใ‚ˆใ†ใชๆ”ปๆ’ƒใ‚’ๅฑ•้–‹ใ™ใ‚‹ใ‹ใ‚’่‡ช็”ฑใซ้ธๆŠžใงใใ‚‹็Šถๆ…‹ใ‚’ใ‚‚ใŸใ‚‰ใ™ใ‹ใ‚‰ใงใ™ใ€‚

2026 Cato CTRLโ„ข Threat Report | Download the report

Rshellใ‹ใ‚‰TencShellใธ ๏ผšใ‚ซใ‚นใ‚ฟใƒžใ‚คใ‚บใจๆ”ปๆ’ƒใฎ่ƒŒๆ™ฏ

ไปŠๅ›žใฎๆดปๅ‹•ใฏใ€่ค‡ๆ•ฐใฎๅœฐๅŸŸๆ‹ ็‚นใ‚’ๆŒใคใ‚ฐใƒญใƒผใƒใƒซ่ฃฝ้€ ๆฅญไผๆฅญใฎ็’ฐๅขƒๅ†…ใง็ขบ่ชใ•ใ‚Œใพใ—ใŸใ€‚ๅ…ทไฝ“็š„ใซใฏใ€ๅŒ็คพใฎใ‚คใƒณใƒ‰ๆ‹ ็‚นใซใŠใ„ใฆ่ฆณๆธฌใ•ใ‚ŒใŸใ‚‚ใฎใงใ€้กงๅฎข็’ฐๅขƒใซๆŽฅ็ถšใ—ใฆใ„ใŸ็ฌฌไธ‰่€…ใƒฆใƒผใ‚ถใƒผใซ้–ข้€ฃใ—ใฆใ„ใพใ—ใŸใ€‚ใ“ใฎไพตๅ…ฅใฎ่ฉฆใฟใฏใ€ไธๅฏฉใชๅค–้ƒจใ‚คใƒณใƒ•ใƒฉใ€็ซฏๆœซไธŠใซๆฎ‹ใ•ใ‚ŒใŸ็—•่ทกใ€ใƒšใ‚คใƒญใƒผใƒ‰ใฎ้…็ฝฎๆดปๅ‹•ใ€ใใ—ใฆC2้€šไฟกใ‚’ๆ€ใ‚ใ›ใ‚‹้€šไฟกใƒ‘ใ‚ฟใƒผใƒณใ‚’็ทๅˆ็š„ใซ้–ข้€ฃไป˜ใ‘ใฆๅˆ†ๆžใ—ใŸใ“ใจใงๆ˜Žใ‚‰ใ‹ใซใชใ‚Šใพใ—ใŸใ€‚ใ“ใ‚Œใ‚‰ใฎๅ…†ๅ€™ใ‚’็ต„ใฟๅˆใ‚ใ›ใฆ่ฆ‹ใ‚‹ใ“ใจใงใ€ๅ˜็™บใฎไธๅฏฉใช้€šไฟกใงใฏใชใใ€ใƒžใƒซใ‚ฆใ‚งใ‚ขๅฎŸ่กŒใ‚’็›ฎ็š„ใจใ—ใŸไธ€้€ฃใฎๆ”ปๆ’ƒๆดปๅ‹•ใงใ‚ใฃใŸใ“ใจใŒๅˆคๆ˜Žใ—ใŸใฎใงใ™ใ€‚

TencShellใจใฏใ€ไปŠๅ›žใฎ่ชฟๆŸปใง็ขบ่ชใ•ใ‚ŒใŸใ‚ซใ‚นใ‚ฟใƒžใ‚คใ‚บ็‰ˆใƒžใƒซใ‚ฆใ‚งใ‚ขใ‚’่ฟฝ่ทกใ™ใ‚‹ใŸใ‚ใซใ€็งใŸใกใŒไป˜ใ‘ใŸๅ็งฐใงใ™ใ€‚ใ“ใฎๅ็งฐใฏใ€ใƒชใƒขใƒผใƒˆใ‚ทใ‚งใƒซๅž‹ใฎ้ ้š”ๆ“ไฝœๆฉŸ่ƒฝใจใ€Tencent้–ข้€ฃใ‚ตใƒผใƒ“ใ‚นใ‚’่ฃ…ใฃใŸใ‚ˆใ†ใซ่ฆ‹ใˆใ‚‹C2้€šไฟกใ‚’็ต„ใฟๅˆใ‚ใ›ใฆใ„ใ‚‹ใ“ใจใซ็”ฑๆฅใ—ใฆใ„ใพใ™ใ€‚Tencentใฏไธญๅ›ฝใ‚’ไปฃ่กจใ™ใ‚‹ๅคงๆ‰‹ใƒ†ใ‚ฏใƒŽใƒญใ‚ธใƒผไผๆฅญใฎไธ€ใคใงใ™ใ€‚ๆ”ปๆ’ƒ่€…ใฏใ—ใฐใ—ใฐใ€ๅบƒใๅˆฉ็”จใ•ใ‚Œใฆใ„ใ‚‹ใ‚ตใƒผใƒ“ใ‚นใฎ้€šไฟกใƒ‘ใ‚ฟใƒผใƒณใ‚’ๆจกๅ€ฃใ™ใ‚‹ใ“ใจใงใ€ๆ‚ชๆ„ใฎใ‚ใ‚‹้€šไฟกใ‚’้€šๅธธใฎใ‚ขใƒ—ใƒชใ‚ฑใƒผใ‚ทใƒงใƒณใ‚„API้€šไฟกใซ่ฆ‹ใ›ใ‹ใ‘ใ‚ˆใ†ใจใ—ใพใ™ใ€‚็ฐกๅ˜ใซ่จ€ใˆใฐใ€ใ€ŒTencใ€ใฏTencentใ‚’่ฃ…ใฃใŸใ‚ˆใ†ใซ่ฆ‹ใˆใ‚‹C2้€šไฟก็ตŒ่ทฏใ‚’ๆŒ‡ใ—ใ€ใ€ŒShellใ€ใฏใƒชใƒขใƒผใƒˆใ‚ทใ‚งใƒซใ‚„RAT๏ผˆ้ ้š”ๆ“ไฝœๅž‹ใƒžใƒซใ‚ฆใ‚งใ‚ข๏ผ‰ใจใ—ใฆใฎๆฉŸ่ƒฝใ‚’่กจใ—ใฆใ„ใพใ™ใ€‚

TencShellใฏใ€ใ‚ชใƒผใƒ—ใƒณใ‚ฝใƒผใ‚นใฎGo่จ€่ชž่ฃฝC2ใƒ•ใƒฌใƒผใƒ ใƒฏใƒผใ‚ฏใงใ‚ใ‚‹Rshellใ‚’ๅŸบใซ้–‹็™บใ•ใ‚ŒใŸใ‚‚ใฎใงใ™ใ€‚ใ‚‚ใจใ‚‚ใจRshellใฏใ€่ค‡ๆ•ฐใฎOS็’ฐๅขƒใงๅˆฉ็”จใงใใ‚‹ๆ”ปๆ’ƒใ‚ทใƒŸใƒฅใƒฌใƒผใ‚ทใƒงใƒณใ‚„ใ‚ปใ‚ญใƒฅใƒชใƒ†ใ‚ฃๆคœ่จผ็”จ้€”ใฎใŸใ‚ใซ่จญ่จˆใ•ใ‚ŒใŸใƒ•ใƒฌใƒผใƒ ใƒฏใƒผใ‚ฏใงใ‚ใ‚Šใ€้ ้š”ใ‹ใ‚‰ใฎใ‚ณใƒžใƒณใƒ‰ๅฎŸ่กŒใ€ใƒ•ใ‚กใ‚คใƒซใŠใ‚ˆใณใƒ—ใƒญใ‚ปใ‚น็ฎก็†ใ€็ซฏๆœซใ‚ขใ‚ฏใ‚ปใ‚นใ€ใƒกใƒขใƒชไธŠใงใฎใƒšใ‚คใƒญใƒผใƒ‰ๅฎŸ่กŒใ€่ค‡ๆ•ฐใฎC2้€šไฟกๆ–นๅผใ€ใ•ใ‚‰ใซMCPใ‚ตใƒผใƒใƒผๆฉŸ่ƒฝใชใฉใ‚’ๅ‚™ใˆใฆใ„ใพใ™ใ€‚ไปŠๅ›ž็ขบ่ชใ•ใ‚ŒใŸTencShellใฏใ€ใใฎRshellใ‚’ๆ”ปๆ’ƒ็›ฎ็š„ใซๅˆใ‚ใ›ใฆๆ”นๅค‰ใƒปๅ†ๆง‹ๆˆใ—ใŸใ‚‚ใฎใงใ‚ใ‚Šใ€้€šไฟกๆ–นๅผใ‚„้…ๅธƒๆ‰‹ๆณ•ใซใ‚‚ๅค‰ๆ›ดใŒๅŠ ใˆใ‚‰ใ‚Œใฆใ„ใพใ—ใŸใ€‚ใ“ใ‚Œใซใ‚ˆใ‚Šใ€ๆ”ปๆ’ƒ่€…ใฎๆดปๅ‹•ใซใ‚ˆใ‚Š้ฉใ—ใŸๅฝขใธใจๆœ€้ฉๅŒ–ใ•ใ‚Œใฆใ„ใŸใจ่€ƒใˆใ‚‰ใ‚Œใพใ™ใ€‚

ใพใŸใ€TencShellใซๅŸ‹ใ‚่พผใพใ‚Œใฆใ„ใŸGo่จ€่ชžใฎใ‚ฝใƒผใ‚นใ‚ณใƒผใƒ‰ใƒ‘ใ‚นใ‹ใ‚‰ใฏใ€ใ€ŒReaconใ€ใƒ—ใƒญใ‚ธใ‚งใ‚ฏใƒˆใฎๆง‹ๆˆๆƒ…ๅ ฑใจๆ”ปๆ’ƒ่€…ใฎๅˆฉ็”จใ—ใฆใ„ใŸใƒฆใƒผใ‚ถใƒผๅใŒ็ขบ่ชใ•ใ‚Œใพใ—ใŸใ€‚ๅ›ณ1ใซใใฎๅ†…ๅฎนใ‚’็คบใ—ใพใ™ใ€‚

TencShell

ๅ›ณ1. TencShellใซๅซใพใ‚Œใฆใ„ใŸGo่จ€่ชžใฎใƒ‘ใ‚นใ‹ใ‚‰ๅˆคๆ˜Žใ—ใŸๆ”ปๆ’ƒ่€…ใฎREACONใƒ—ใƒญใ‚ธใ‚งใ‚ฏใƒˆๆง‹ๆˆ

ๆŠ€่ก“็š„ใชๅˆ†ๆž๏ผšTencShellใฎๆ„ŸๆŸ“ใƒใ‚งใƒผใƒณ

ๅˆๆœŸไพตๅ…ฅใฎ็ตŒ่ทฏใซใคใ„ใฆใฏใ€็พๆ™‚็‚นใงใฏ็‰นๅฎšใงใใฆใ„ใพใ›ใ‚“ใ€‚ใƒ•ใ‚ฃใƒƒใ‚ทใƒณใ‚ฐใƒกใƒผใƒซใ€ๆ‚ชๆ„ใฎใ‚ใ‚‹ใƒ•ใ‚กใ‚คใƒซใฎใƒ€ใ‚ฆใƒณใƒญใƒผใƒ‰ใ€ใ‚ใ‚‹ใ„ใฏWeb็ตŒ็”ฑใฎๅˆฅใฎ้…ๅธƒๆ‰‹ๆณ•ใŒๅˆฉ็”จใ•ใ‚ŒใŸๅฏ่ƒฝๆ€งใŒใ‚ใ‚Šใพใ™ใ€‚็งใŸใกใŒ็ขบ่ชใ—ใŸๆ„ŸๆŸ“ใƒใ‚งใƒผใƒณใฏใ€ๆ”ปๆ’ƒ่€…ใŒๅˆๆœŸใ‚ขใ‚ฏใ‚ปใ‚นใ‚’็ขบ็ซ‹ใ—ใŸๅพŒใซๅฎŸ่กŒใ•ใ‚ŒใŸใ€็ฌฌ1ๆฎต้šŽใฎใƒ‰ใƒญใƒƒใƒ‘ใƒผใ‹ใ‚‰ๅง‹ใพใฃใฆใ„ใพใ™ใ€‚

ๅ›ณ2ใซ็คบใ™ใ‚ˆใ†ใซใ€็ขบ่ชใ•ใ‚ŒใŸๆ”ปๆ’ƒใƒใ‚งใƒผใƒณใฏใ€็ฌฌ1ๆฎต้šŽใฎใƒ‰ใƒญใƒƒใƒ‘ใƒผใ‹ใ‚‰ๅง‹ใพใ‚Šใ€.woffใƒ•ใ‚กใ‚คใƒซใ‚’่ฃ…ใฃใŸใƒชใ‚ฝใƒผใ‚นใ‚’ไป‹ใ—ใŸDonutใ‚ทใ‚งใƒซใ‚ณใƒผใƒ‰ใฎๅ–ๅพ—ใ€ใƒชใƒ•ใƒฌใ‚ฏใƒ†ใ‚ฃใƒ–ใชใ‚ทใ‚งใƒซใ‚ณใƒผใƒ‰ๅฎŸ่กŒใ€ใ‚ซใ‚นใ‚ฟใƒžใ‚คใ‚บใ•ใ‚ŒใŸRshell็”ฑๆฅใƒ•ใƒฌใƒผใƒ ใƒฏใƒผใ‚ฏใฎใƒกใƒขใƒชไธŠใธใฎ่ชญใฟ่พผใฟใ€ใใ—ใฆๆ”ปๆ’ƒ่€…ใŒ็ฎก็†ใ™ใ‚‹ใ‚คใƒณใƒ•ใƒฉใจใฎC2้€šไฟกใฎ่ฉฆ่กŒใธใจ็ถšใ„ใฆใ„ใพใ—ใŸใ€‚

TencShell_infection_chain

ๅ›ณ2. TencShellใฎๆ„ŸๆŸ“ใƒใ‚งใƒผใƒณ

ไปฅไธ‹ใงใฏใ€็ขบ่ชใ•ใ‚ŒใŸๆ„ŸๆŸ“ใƒใ‚งใƒผใƒณใฎๅ„ๆฎต้šŽใซใคใ„ใฆใ€ๆœ€ๅˆใซ็ขบ่ชใ•ใ‚ŒใŸๅฎŸ่กŒใƒ•ใ‚กใ‚คใƒซใ‹ใ‚‰้ †ใซ่ชฌๆ˜Žใ—ใพใ™ใ€‚

ใ‚นใƒ†ใƒผใ‚ธ1๏ผš็ฌฌ1ๆฎต้šŽใฎใƒ‰ใƒญใƒƒใƒ‘ใƒผ

็งใŸใกใŒๆœ€ๅˆใซ็ขบ่ชใ—ใŸๅฎŸ่กŒใƒ•ใ‚กใ‚คใƒซใฏใ€็ฌฌ1ๆฎต้šŽใฎใƒ‰ใƒญใƒƒใƒ‘ใƒผใงใ—ใŸใ€‚ๅ›ณ3ใŠใ‚ˆใณๅ›ณ4ใซ็คบใ™ใ‚ˆใ†ใซใ€ใ“ใฎๆฎต้šŽใฏDonutใ‚ทใ‚งใƒซใ‚ณใƒผใƒ‰ใฎๅ–ๅพ—ใซๅ…ˆ็ซ‹ใฃใฆๅฎŸ่กŒใ•ใ‚Œใ€ใใฎๅพŒใฎใƒšใ‚คใƒญใƒผใƒ‰ๅฎŸ่กŒใƒใ‚งใƒผใƒณใ‚’้–‹ๅง‹ใ™ใ‚‹ๅฝนๅ‰ฒใ‚’ๆ‹…ใฃใฆใ„ใพใ—ใŸใ€‚

ๆ”ปๆ’ƒ่€…ใฏใ€ๆœ€ๅˆใ‹ใ‚‰ๅฎŒๅ…จใชC2ใƒ•ใƒฌใƒผใƒ ใƒฏใƒผใ‚ฏใ‚’ๅฑ•้–‹ใ™ใ‚‹ใฎใงใฏใชใใ€ใ‚ˆใ‚Šๅฐ่ฆๆจกใช็ฌฌ1ๆฎต้šŽใฎใ‚ณใƒณใƒใƒผใƒใƒณใƒˆใ‚’ๅˆฉ็”จใ—ใฆใ€ๆฌกใฎๅฎŸ่กŒๆฎต้šŽใ‚’ๅ‘ผใณๅ‡บใ—ใฆใ„ใพใ—ใŸใ€‚ใ“ใฎๆ‰‹ๆณ•ใซใฏๆ”ปๆ’ƒ่€…ๅดใซใจใฃใฆๅˆฉ็‚นใŒใ‚ใ‚Šใพใ™ใ€‚ๆœ€ๅˆใฎใ‚ณใƒณใƒใƒผใƒใƒณใƒˆใ‚’่ปฝ้‡ใชใพใพ็ถญๆŒใงใใ‚‹ไธ€ๆ–นใงใ€ใใฎๅพŒใฎใƒšใ‚คใƒญใƒผใƒ‰ใฏๅˆฅใฎๅ ดๆ‰€ใง็ฎก็†ใงใใ‚‹ใŸใ‚ใ€ๅˆๆœŸๆฎต้šŽใฎใƒ—ใƒญใ‚ฐใƒฉใƒ ใ‚’ๅค‰ๆ›ดใ™ใ‚‹ใ“ใจใชใใ€ๅพŒ็ถšใฎใƒšใ‚คใƒญใƒผใƒ‰ใ‚’ๅทฎใ—ๆ›ฟใˆใŸใ‚Šๆ›ดๆ–ฐใ—ใŸใ‚Šใ™ใ‚‹ใ“ใจใŒๅฏ่ƒฝใซใชใ‚‹ใ‹ใ‚‰ใงใ™ใ€‚

ไปŠๅ›ž็ขบ่ชใ•ใ‚ŒใŸใƒ‰ใƒญใƒƒใƒ‘ใƒผใฏใ€ๆ”ปๆ’ƒ่€…ใฎๆฉŸ่ƒฝๅ…จไฝ“ใ‚’ๆ‹…ใ†ใ‚‚ใฎใงใฏใ‚ใ‚Šใพใ›ใ‚“ใงใ—ใŸใ€‚ใ‚ใใพใงๅˆๆœŸๅฎŸ่กŒใ‚’ๆ‹…ใ†ใ‚ณใƒณใƒใƒผใƒใƒณใƒˆใงใ‚ใ‚Šใ€ใใฎๅพŒใฎDonutใ‚ทใ‚งใƒซใ‚ณใƒผใƒ‰ๅฎŸ่กŒใ‚„ใ€TencShellใฎใƒกใƒขใƒชไธŠใธใฎ่ชญใฟ่พผใฟใธใจใคใชใŒใ‚‹ไธ€้€ฃใฎๅ‡ฆ็†ใ‚’้–‹ๅง‹ใ™ใ‚‹ๅฝนๅ‰ฒใ‚’ๆžœใŸใ—ใฆใ„ใพใ—ใŸใ€‚

1s_stage_dropper_communication

ๅ›ณ3. ๆ”ปๆ’ƒ่€…ใŒ็ฎก็†ใ™ใ‚‹IPใ‚ขใƒ‰ใƒฌใ‚นใจใฎ็ฌฌ1ๆฎต้šŽใƒ‰ใƒญใƒƒใƒ‘ใƒผใฎ้€šไฟก

1st_stage_dropper_HTTP_request_with_fake_User-Agent

ๅ›ณ4. ๅฝ่ฃ…ใ•ใ‚ŒใŸUser-Agentใ‚’ไฝฟ็”จใ—ใŸ็ฌฌ1ๆฎต้šŽใƒ‰ใƒญใƒƒใƒ‘ใƒผใฎHTTPใƒชใ‚ฏใ‚จใ‚นใƒˆ

ใ‚นใƒ†ใƒผใ‚ธ2๏ผš.woffใƒ•ใ‚กใ‚คใƒซใ‚’่ฃ…ใฃใŸไธๆญฃใƒใ‚คใƒŠใƒช

ๆฌกใฎๆฎต้šŽใงใฏใ€.woffใƒ•ใ‚กใ‚คใƒซใ‚’่ฃ…ใฃใŸใƒชใ‚ฝใƒผใ‚นใ‚’้€šใ˜ใฆDonutใ‚ทใ‚งใƒซใ‚ณใƒผใƒ‰ใŒๅ–ๅพ—ใ•ใ‚Œใฆใ„ใพใ—ใŸใ€‚ใ“ใฎใƒชใ‚ฏใ‚จใ‚นใƒˆใงใฏๅฝ่ฃ…ใพใŸใฏๆ”นๅค‰ใ•ใ‚ŒใŸUser-Agentใ‚‚ไฝฟ็”จใ•ใ‚ŒใฆใŠใ‚Šใ€ใƒšใ‚คใƒญใƒผใƒ‰ใฎๅ–ๅพ—ใ‚’้€šๅธธใฎใƒ–ใƒฉใ‚ฆใ‚ถใ‚„ใ‚ขใƒ—ใƒชใ‚ฑใƒผใ‚ทใƒงใƒณ้€šไฟกใฎใ‚ˆใ†ใซ่ฆ‹ใ›ใ‹ใ‘ใฆใ„ใพใ—ใŸใ€‚

Donutใฏใ€ใƒกใƒขใƒชไธŠใงใฎๅฎŸ่กŒใ‚’็›ฎ็š„ใจใ—ใฆ้–‹็™บใ•ใ‚ŒใŸใ‚ชใƒผใƒ—ใƒณใ‚ฝใƒผใ‚นใฎใ‚ทใ‚งใƒซใ‚ณใƒผใƒ‰็”Ÿๆˆใƒ•ใƒฌใƒผใƒ ใƒฏใƒผใ‚ฏใงใ™ใ€‚Windowsๅ‘ใ‘ใฎใƒšใ‚คใƒญใƒผใƒ‰ใ‚’ใƒกใƒขใƒชไธŠใ‹ใ‚‰็›ดๆŽฅ่ชญใฟ่พผใฟๅฎŸ่กŒใงใใ‚‹ใ€ไฝ็ฝฎใซไพๅญ˜ใ—ใชใ„ใ‚ทใ‚งใƒซใ‚ณใƒผใƒ‰ใ‚’็”Ÿๆˆใ™ใ‚‹ใ“ใจใŒใงใใพใ™ใ€‚ๅฏพ่ฑกใซใฏใ€.NETใ‚ขใ‚ปใƒณใƒ–ใƒชใ€PEใƒ•ใ‚กใ‚คใƒซใ€DLLใ€ใ‚นใ‚ฏใƒชใƒ—ใƒˆใชใฉใŒๅซใพใ‚Œใพใ™ใ€‚ไปŠๅ›žใฎๆ”ปๆ’ƒใƒใ‚งใƒผใƒณใงใฏใ€DonutใฏๅพŒ็ถšใƒšใ‚คใƒญใƒผใƒ‰ใจใ€ใ‚ซใ‚นใ‚ฟใƒžใ‚คใ‚บใ•ใ‚ŒใŸC2ใƒ•ใƒฌใƒผใƒ ใƒฏใƒผใ‚ฏใฎใƒกใƒขใƒชไธŠใงใฎๅฎŸ่กŒใ‚’ใคใชใๅฝนๅ‰ฒใ‚’ๆ‹…ใฃใฆใ„ใŸใจ่€ƒใˆใ‚‰ใ‚Œใพใ™ใ€‚

ๆœฌๆฅใ€.woffใƒ•ใ‚กใ‚คใƒซใฏWeb Open Font Formatๅฝขๅผใฎใƒ•ใ‚ฉใƒณใƒˆใƒ•ใ‚กใ‚คใƒซใงใ™ใ€‚Webใ‚ตใ‚คใƒˆใงใฏใ€ใƒ–ใƒฉใ‚ฆใ‚ถไธŠใง็‹ฌ่‡ชใƒ•ใ‚ฉใƒณใƒˆใ‚’่กจ็คบใ™ใ‚‹ใŸใ‚ใซๅˆฉ็”จใ•ใ‚Œใพใ™ใ€‚้€šๅธธใฎWeb้€šไฟกใงใฏใ€.woffใƒ•ใ‚กใ‚คใƒซใธใฎใ‚ขใ‚ฏใ‚ปใ‚นใฏ็”ปๅƒใƒ•ใ‚กใ‚คใƒซใ‚„CSSใ€JavaScriptใฎๅ–ๅพ—ใจๅŒๆง˜ใซไธ€่ˆฌ็š„ใชใ‚‚ใฎใงใ‚ใ‚Šใ€้€šๅธธใฏๅ•้กŒใฎใชใ„้€šไฟกใจ่ฆ‹ใชใ•ใ‚Œใพใ™ใ€‚

ใ“ใฎ็‚นใ“ใใŒใ€ๆ”ปๆ’ƒ่€…ใซใจใฃใฆ้ƒฝๅˆใฎใ„ใ„็†็”ฑใจใชใ‚Šใพใ™ใ€‚ใƒ•ใ‚ฉใƒณใƒˆใƒ•ใ‚กใ‚คใƒซใ‚’่ฃ…ใฃใŸใƒ‘ใ‚นใ‚„ๆ‹กๅผตๅญใฎ่ƒŒๅพŒใซไธๆญฃใชใ‚ณใƒณใƒ†ใƒณใƒ„ใ‚’้…็ฝฎใ™ใ‚‹ใ“ใจใงใ€ๆ”ปๆ’ƒ่€…ใฏใƒšใ‚คใƒญใƒผใƒ‰ๅ–ๅพ—ใฎ้€šไฟกใ‚’้€šๅธธใฎ้™็š„ใ‚ณใƒณใƒ†ใƒณใƒ„ๅ–ๅพ—ใฎใ‚ˆใ†ใซ่ฆ‹ใ›ใ‹ใ‘ใ‚‹ใ“ใจใŒใงใใ‚‹ใ‹ใ‚‰ใงใ™ใ€‚ๅฎŸ้š›ใซใฏๆญฃ่ฆใฎใƒ•ใ‚ฉใƒณใƒˆใƒ•ใ‚กใ‚คใƒซใงใ™ใ‚‰ใ‚ใ‚‹ๅฟ…่ฆใฏใ‚ใ‚Šใพใ›ใ‚“ใ€‚้‡่ฆใชใฎใฏใ€ใใฎๅฝ่ฃ…ใซใ‚ใ‚Šใพใ™ใ€‚ใ‚ปใ‚ญใƒฅใƒชใƒ†ใ‚ฃๆ‹…ๅฝ“่€…ใ‚„่‡ชๅ‹•ๆคœ็Ÿฅใ‚ทใ‚นใƒ†ใƒ ใ‹ใ‚‰ใฏๅ˜ใชใ‚‹ใ€Œใƒ•ใ‚ฉใƒณใƒˆๅ–ๅพ—่ฆๆฑ‚ใ€ใซ่ฆ‹ใˆใฆใ„ใฆใ‚‚ใ€ๅฎŸ้š›ใซใฏใ‚ทใ‚งใƒซใ‚ณใƒผใƒ‰้…ๅธƒใƒใ‚งใƒผใƒณใฎไธ€้ƒจใจใ—ใฆๅˆฉ็”จใ•ใ‚Œใฆใ„ใ‚‹ๅฏ่ƒฝๆ€งใŒใ‚ใ‚‹ใฎใงใ™ใ€‚

ๅ›ณ5ใซ็คบใ™ใ‚ˆใ†ใซใ€VirusTotalใฎใƒ†ใƒฌใƒกใƒˆใƒชๆƒ…ๅ ฑใ‹ใ‚‰ใฏใ€ไปŠๅ›ž็ขบ่ชใ•ใ‚ŒใŸ.woffใƒ•ใ‚กใ‚คใƒซใฎ้…ๅธƒๅ…ˆURLใซๅฏพใ™ใ‚‹ๆคœ็Ÿฅๆƒ…ๅ ฑใ‚„ๆŠ•็จฟๅฑฅๆญดใŒ็ขบ่ชใ•ใ‚Œใพใ—ใŸใ€‚ใ“ใ‚Œใฏใ€ใ“ใ‚Œใ‚‰ใฎใƒชใ‚ฝใƒผใ‚นใŒๆญฃ่ฆใฎWebใƒ•ใ‚ฉใƒณใƒˆใงใฏใชใใ€ใƒšใ‚คใƒญใƒผใƒ‰้…ๅธƒใฎใŸใ‚ใซๅˆฉ็”จใ•ใ‚Œใฆใ„ใŸใ“ใจใ‚’่ฃไป˜ใ‘ใ‚‹ใ‚‚ใฎใงใ™ใ€‚

VirusTotal_telemetry

ๅ›ณ5. ็ขบ่ชใ•ใ‚ŒใŸ.woffใƒšใ‚คใƒญใƒผใƒ‰URLใซ้–ขใ™ใ‚‹VirusTotalใƒ†ใƒฌใƒกใƒˆใƒช

ไปŠๅ›žใฎใ‚ฑใƒผใ‚นใงใฏใ€ใ“ใฎ.woffใƒชใ‚ฝใƒผใ‚นใฏไธๆญฃใชใƒšใ‚คใƒญใƒผใƒ‰ใ‚’ๆ ผ็ดใ™ใ‚‹ใŸใ‚ใฎๅฝ่ฃ…ใ‚ณใƒณใƒ†ใƒŠใจใ—ใฆๆฉŸ่ƒฝใ—ใฆใ„ใพใ—ใŸใ€‚้€šๅธธใฎWebใƒ•ใ‚ฉใƒณใƒˆๅ–ๅพ—่ฆๆฑ‚ใ‚’่ฃ…ใ†ใ“ใจใงใ€ๆฌกใฎใƒžใƒซใ‚ฆใ‚งใ‚ขๅฎŸ่กŒๆฎต้šŽใ‚’ๆ”ฏใˆใ‚‹ใ‚ณใƒณใƒ†ใƒณใƒ„ใ‚’้…ๅธƒใ—ใฆใ„ใŸใฎใงใ™ใ€‚ใ“ใฎๆ‰‹ๆณ•ใซใ‚ˆใ‚Šใ€ๆ”ปๆ’ƒ่€…ใฏใƒšใ‚คใƒญใƒผใƒ‰้…ๅธƒใ‚’้€šๅธธใฎWeb้€šไฟกใซ็ด›ใ‚Œ่พผใพใ›ใ‚‹ใจใจใ‚‚ใซใ€ใƒ•ใ‚กใ‚คใƒซใƒ™ใƒผใ‚นใฎๆคœ็Ÿฅใ‚’ๅ›ž้ฟใ—ใ‚„ใ™ใใ—ใฆใ„ใพใ—ใŸใ€‚

ใ‚นใƒ†ใƒผใ‚ธ3๏ผšใ‚ทใ‚งใƒซใ‚ณใƒผใƒ‰ใฎ่‡ชๅทฑๅฑ•้–‹ๅฎŸ่กŒ

.woffใƒ•ใ‚กใ‚คใƒซใ‚’่ฃ…ใฃใŸใƒšใ‚คใƒญใƒผใƒ‰ใฎๅ–ๅพ—ๅพŒใ€ใƒญใƒผใƒ€ใƒผใฏใƒกใƒขใƒชไธŠใงใฎๅฎŸ่กŒๅ‡ฆ็†ใธ็งป่กŒใ—ใพใ—ใŸใ€‚ใ“ใฎๅ‡ฆ็†ใซใ‚ˆใ‚Šใ€็ต„ใฟ่พผใพใ‚Œใฆใ„ใŸDonutใ‚ทใ‚งใƒซใ‚ณใƒผใƒ‰ใ‚’่ตทๅ‹•ใ—ใ€TencShellใ‚’ใƒกใƒขใƒชไธŠใซๅฑ•้–‹ใ—ใพใ—ใŸใ€‚

ใƒญใƒผใƒ€ใƒผใฏใพใšใƒญใƒผใ‚ซใƒซใƒกใƒขใƒช้ ˜ๅŸŸใ‚’็ขบไฟใ—ใ€ใƒ€ใ‚ฆใƒณใƒญใƒผใƒ‰ใ—ใŸใƒ‡ใƒผใ‚ฟใ‚’ใใฎ้ ˜ๅŸŸใธใ‚ณใƒ”ใƒผใ—ใพใ—ใŸใ€‚ใใฎๅพŒใ€ใƒกใƒขใƒชไฟ่ญทๅฑžๆ€งใ‚’ๅฎŸ่กŒๅฏ่ƒฝใช็Šถๆ…‹ใธๅค‰ๆ›ดใ—ใ€้…็ฝฎใ•ใ‚ŒใŸใ‚ทใ‚งใƒซใ‚ณใƒผใƒ‰ใ‚’ๆŒ‡ใ™ๆ–ฐใ—ใ„ใ‚นใƒฌใƒƒใƒ‰ใ‚’็”Ÿๆˆใ—ใฆๅฎŸ่กŒใ‚’้–‹ๅง‹ใ—ใพใ—ใŸใ€‚ๅฎŸ่กŒใฏๅ…ƒใฎใƒ—ใƒญใ‚ปใ‚นๅ†…ใงๅฎŒ็ตใ—ใฆใŠใ‚Šใ€ไป–ใƒ—ใƒญใ‚ปใ‚นใธใฎใ‚ณใƒผใƒ‰ๆณจๅ…ฅใ‚„ใ€ใƒ—ใƒญใ‚ปใ‚นใ‚’ใพใŸใ„ใ ใƒกใƒขใƒชๆ“ไฝœใฎ็—•่ทกใฏ็ขบ่ชใ•ใ‚Œใพใ›ใ‚“ใงใ—ใŸใ€‚

ใ‚ทใ‚งใƒซใ‚ณใƒผใƒ‰้ ˜ๅŸŸใธๅ‡ฆ็†ใŒ็งปใ‚‹ใจใ€Donutใƒฉใƒณใ‚ฟใ‚คใƒ ใŒๅˆถๅพกใ‚’ๅผ•ใ็ถ™ใŽใ€็ต„ใฟ่พผใพใ‚Œใฆใ„ใŸPEใƒšใ‚คใƒญใƒผใƒ‰ใ‚’ใƒกใƒขใƒชไธŠใซ่‡ชๅทฑๅฑ•้–‹ใ—ใฆ่ชญใฟ่พผใฟใพใ—ใŸใ€‚ใ“ใฎๅ‡ฆ็†ใซใฏใ€APIใฎๅ‹•็š„่งฃๆฑบใ€ใƒšใ‚คใƒญใƒผใƒ‰ใฎๅฑ•้–‹ใ€ใ‚ขใƒ‰ใƒฌใ‚นๅ†้…็ฝฎใ€ใ‚คใƒณใƒใƒผใƒˆใƒ†ใƒผใƒ–ใƒซใฎๅ†ๆง‹็ฏ‰ใ€PEใƒ•ใ‚กใ‚คใƒซใฎๆ‰‹ๅ‹•ใƒžใƒƒใƒ”ใƒณใ‚ฐใŒๅซใพใ‚Œใพใ™ใ€‚ใใฎๅพŒใ€TencShellใฎใ‚จใƒณใƒˆใƒชใƒใ‚คใƒณใƒˆใŒใƒกใƒขใƒชไธŠใ‹ใ‚‰็›ดๆŽฅๅ‘ผใณๅ‡บใ•ใ‚Œใพใ—ใŸใ€‚

ๅ›ณ6ใซ็คบใ™ใ‚ˆใ†ใซใ€ใ“ใฎๅฎŸ่กŒ้–ขๆ•ฐใฏใ€ใƒกใƒขใƒชไธŠใซ้…็ฝฎใ•ใ‚ŒใŸใ‚ทใ‚งใƒซใ‚ณใƒผใƒ‰ใฎ่ชญใฟ่พผใฟใจๅฎŸ่กŒใ‚’ๆ‹…ใฃใฆใ„ใพใ™ใ€‚

TencShell_memory_injection_function

ๅ›ณ6. TencShellใฎใƒกใƒขใƒชๅฎŸ่กŒ้–ขๆ•ฐ

ใ‚นใƒ†ใƒผใ‚ธ4๏ผšTencShellใฎใƒกใƒขใƒชไธŠใธใฎๅฑ•้–‹

ใ‚ทใ‚งใƒซใ‚ณใƒผใƒ‰ใฎ่‡ชๅทฑๅฑ•้–‹ๅฎŸ่กŒใฎๅพŒใ€Rshellใ‚’ๅŸบใซใ‚ซใ‚นใ‚ฟใƒžใ‚คใ‚บใ•ใ‚ŒใŸใƒžใƒซใ‚ฆใ‚งใ‚ขใŒใƒกใƒขใƒชไธŠใซ่ชญใฟ่พผใพใ‚Œใพใ—ใŸใ€‚็งใŸใกใฏใ€ใ“ใฎใƒžใƒซใ‚ฆใ‚งใ‚ขใ‚’TencShellใจใ—ใฆ่ฟฝ่ทกใ—ใฆใ„ใพใ™ใ€‚ใ“ใฎใ“ใจใ‹ใ‚‰ใ€ๆ”ปๆ’ƒใƒใ‚งใƒผใƒณใฏๅ˜ใชใ‚‹ใ‚ทใ‚งใƒซใ‚ณใƒผใƒ‰ๅฎŸ่กŒใซใจใฉใพใ‚‰ใšใ€ๆœ€็ต‚ๆฎต้šŽใงใ‚ใ‚‹C2ใƒ•ใƒฌใƒผใƒ ใƒฏใƒผใ‚ฏใฎๅฑ•้–‹ใพใงๅˆฐ้”ใ—ใฆใ„ใŸใ“ใจใŒ็ขบ่ชใ•ใ‚Œใพใ—ใŸใ€‚

ๅ›žๅŽใ•ใ‚ŒใŸ็—•่ทกใซใฏใ€ŒReaconใ€ใธใฎๅ‚็…งใŒๅซใพใ‚ŒใฆใŠใ‚Šใ€ใƒกใƒขใƒชไธŠใงๅฎŸ่กŒใ•ใ‚Œใฆใ„ใŸใƒšใ‚คใƒญใƒผใƒ‰ใŒใ€ใ‚ชใƒผใƒ—ใƒณใ‚ฝใƒผใ‚นใฎRshellใ‚’ๅŸบใซใ—ใŸใ‚ซใ‚นใ‚ฟใƒžใ‚คใ‚บ็‰ˆใƒ•ใƒฌใƒผใƒ ใƒฏใƒผใ‚ฏใงใ‚ใ‚‹ใ“ใจใ‚’่ฃไป˜ใ‘ใฆใ„ใพใ™ใ€‚ๆœฌใƒฌใƒใƒผใƒˆใงใฏใ€ใ“ใฎใ‚ซใ‚นใ‚ฟใƒžใ‚คใ‚บ็‰ˆC2ใƒ•ใƒฌใƒผใƒ ใƒฏใƒผใ‚ฏใ‚’TencShellใจๅ‘ผใณใพใ™ใ€‚

ๅ›ณ7ใซ็คบใ™ใ‚ˆใ†ใซใ€ใƒกใƒขใƒชไธŠใซใฏใ“ใฎใ‚ซใ‚นใ‚ฟใƒžใ‚คใ‚บ็‰ˆใƒ•ใƒฌใƒผใƒ ใƒฏใƒผใ‚ฏใŒ่ชญใฟ่พผใพใ‚Œใฆใ„ใ‚‹ใ“ใจใŒ็ขบ่ชใ•ใ‚Œใพใ—ใŸใ€‚

ๅ›ณ7. ใƒกใƒขใƒชไธŠใซ่ชญใฟ่พผใพใ‚ŒใŸTencShell๏ผReacon้–ข้€ฃใฎ็—•่ทกใ‚’็คบใ™ใƒ‡ใƒใƒƒใ‚ฌ็”ป้ข

ๅ›ณ7ใซ็คบใ•ใ‚Œใฆใ„ใ‚‹ใ‚ˆใ†ใซใ€ๅ›žๅŽใ•ใ‚ŒใŸ็—•่ทกใฎไธญใซใฏใ€ŒReaconใ€ใจใ„ใ†ๅ็งฐใŒ็ขบ่ชใ•ใ‚Œใพใ—ใŸใ€‚ใ“ใฎ็—•่ทกใฏใ€ใƒกใƒขใƒชไธŠใงๅฎŸ่กŒใ•ใ‚Œใฆใ„ใŸใƒšใ‚คใƒญใƒผใƒ‰ใŒใ€ๅ›ณ8ใซ็คบใ™ใ‚ชใƒผใƒ—ใƒณใ‚ฝใƒผใ‚นC2ใƒ•ใƒฌใƒผใƒ ใƒฏใƒผใ‚ฏใ€ŒRshellใ€ใ‚’ๅŸบใซ้–‹็™บใ•ใ‚ŒใŸใ‚ซใ‚นใ‚ฟใƒžใ‚คใ‚บ็‰ˆใƒ•ใƒฌใƒผใƒ ใƒฏใƒผใ‚ฏใงใ‚ใ‚‹ใ“ใจใ‚’็คบใ—ใฆใ„ใพใ™ใ€‚

Rshell_Github_Project

ๅ›ณ8. Rshell GitHubใƒ—ใƒญใ‚ธใ‚งใ‚ฏใƒˆ

ๅ›žๅŽใ•ใ‚ŒใŸใƒ—ใƒญใ‚ธใ‚งใ‚ฏใƒˆ้–ข้€ฃใฎ็—•่ทกใ‹ใ‚‰ใฏใ€ไปฅไธ‹ใฎใ‚ˆใ†ใชใƒขใ‚ธใƒฅใƒผใƒซๆง‹ๆˆใ‚’ๆŒใคGo่จ€่ชž่ฃฝใƒ•ใƒฌใƒผใƒ ใƒฏใƒผใ‚ฏใงใ‚ใ‚‹ใ“ใจใŒ็ขบ่ชใ•ใ‚Œใพใ—ใŸใ€‚

Reacon

โ”œ pkg/communication/
โ”œ pkg/commands/
โ”œ pkg/services/
โ”œ pkg/win32/
โ”œ pkg/sysinfo/
โ”” main.go

ใ“ใฎๆง‹ๆˆใฏใ€ๅ˜ๆฉŸ่ƒฝใฎใƒใƒƒใ‚ฏใƒ‰ใ‚ขใงใฏใชใใ€ๆœฌๆ ผ็š„ใชๆ”ปๆ’ƒ่€…ๅ‘ใ‘ใƒ•ใƒฌใƒผใƒ ใƒฏใƒผใ‚ฏใงใ‚ใ‚‹ใ“ใจใ‚’็คบใ—ใฆใ„ใพใ™ใ€‚ๅ„ใƒขใ‚ธใƒฅใƒผใƒซใฏใ€้€šไฟกๆฉŸ่ƒฝใ€ใ‚ณใƒžใƒณใƒ‰ๅฎŸ่กŒใ€ใ‚ตใƒผใƒ“ใ‚น็ฎก็†ใ€Windowsใจใฎ้€ฃๆบใ€ใ‚ทใ‚นใƒ†ใƒ ๆƒ…ๅ ฑๅŽ้›†ใจใ„ใฃใŸๆฉŸ่ƒฝใ”ใจใซๅˆ†้›ขใ•ใ‚Œใฆใ„ใพใ™ใ€‚

ใ‚นใƒ†ใƒผใ‚ธ5๏ผšC2้€šไฟก

ๆœ€็ต‚ๆฎต้šŽใงใฏใ€C2๏ผˆใ‚ณใƒžใƒณใƒ‰๏ผ†ใ‚ณใƒณใƒˆใƒญใƒผใƒซ๏ผ‰้€šไฟกใฎ็ขบ็ซ‹ใŒ่ฉฆใฟใ‚‰ใ‚Œใฆใ„ใพใ—ใŸใ€‚TencShellใฏใ€ๆ‚ชๆ„ใฎใ‚ใ‚‹้€šไฟกใ‚’้€šๅธธใฎใ‚ขใƒ—ใƒชใ‚ฑใƒผใ‚ทใƒงใƒณ้€šไฟกใจๅŒบๅˆฅใ—ใซใใใ™ใ‚‹ใŸใ‚ใ€Web้€šไฟกใ‚’ๆจกๅ€ฃใ—ใŸ้€šไฟกใƒ‘ใ‚ฟใƒผใƒณใ‚’ๅˆฉ็”จใ—ใฆใ„ใพใ—ใŸใ€‚ไธ€่ˆฌ็š„ใชใƒžใƒซใ‚ฆใ‚งใ‚ขใง่ฆ‹ใ‚‰ใ‚Œใ‚‹ใ‚ˆใ†ใชๅˆ†ใ‹ใ‚Šใ‚„ใ™ใ„้€šไฟกๅ…ˆใƒ‘ใ‚นใงใฏใชใใ€ใƒใƒƒใ‚ฏใ‚จใƒณใƒ‰ใ‚ตใƒผใƒ“ใ‚นใธใฎใƒชใ‚ฏใ‚จใ‚นใƒˆใซ่ฆ‹ใˆใ‚‹ใ€ๆง‹้€ ๅŒ–ใ•ใ‚ŒใŸAPI้ขจใฎ้€šไฟกๅ…ˆใ‚’ๅˆฉ็”จใ—ใฆใ„ใพใ—ใŸใ€‚ๅ›ณ9ใซ็คบใ™ใ‚ˆใ†ใซใ€VirusTotalใฎใƒ†ใƒฌใƒกใƒˆใƒชๆƒ…ๅ ฑใ‹ใ‚‰ใฏใ€ๆ”ปๆ’ƒ่€…ใŒ็ฎก็†ใ™ใ‚‹่ค‡ๆ•ฐใฎใ‚คใƒณใƒ•ใƒฉใซใŠใ„ใฆใ€Tencent้–ข้€ฃใ‚ตใƒผใƒ“ใ‚นใ‚’ๆจกๅ€ฃใ—ใŸใ‚ˆใ†ใชC2้€šไฟกใƒ‘ใ‚นใŒ็นฐใ‚Š่ฟ”ใ—ไฝฟ็”จใ•ใ‚Œใฆใ„ใ‚‹ใ“ใจใŒ็ขบ่ชใ•ใ‚Œใพใ—ใŸใ€‚ใ“ใ‚Œใฏใ€ใ“ใฎ้€šไฟกใƒ‘ใ‚ฟใƒผใƒณใŒๅถ็™บ็š„ใชใ‚‚ใฎใงใฏใชใใ€้€šๅธธใฎWebใ‚ตใƒผใƒ“ใ‚นใ‚„API้€šไฟกใ‚’่ฃ…ใ†ใ“ใจใ‚’็›ฎ็š„ใจใ—ใฆ่จญ่จˆใ•ใ‚ŒใŸC2้€šไฟกใฎไธ€้ƒจใงใ‚ใฃใŸใ“ใจใ‚’็คบใ—ใฆใ„ใพใ™ใ€‚

Tencent_like_C2_paths

ๅ›ณ9. VirusTotalใง็ขบ่ชใ•ใ‚ŒใŸTencent้ขจC2้€šไฟกใƒ‘ใ‚น

ๅ›ณ10ใซ็คบใ™ใƒใƒƒใƒˆใƒฏใƒผใ‚ฏ้€šไฟกใงใฏใ€็ซฏๆœซใจๆ”ปๆ’ƒ่€…ใŒ็ฎก็†ใ™ใ‚‹C2ใ‚คใƒณใƒ•ใƒฉใจใฎ้€šไฟกใฎ่ฉฆใฟใŒ็ขบ่ชใ•ใ‚Œใฆใ„ใพใ™ใ€‚ใ“ใฎๆฎต้šŽใงใ€ใƒžใƒซใ‚ฆใ‚งใ‚ขใฏๆ”ปๆ’ƒ่€…ใซใ‚ˆใ‚‹้ ้š”ๆ“ไฝœใ‚’ๅฏ่ƒฝใซใ™ใ‚‹้€šไฟก็ตŒ่ทฏใฎ็ขบ็ซ‹ใ‚’่ฉฆใฟใพใ™ใ€‚ใ“ใฎ้€šไฟก็ตŒ่ทฏใฏใ€ใ‚ฟใ‚นใ‚ฏใฎๆŒ‡็คบใ€ใ‚ณใƒžใƒณใƒ‰ๅฎŸ่กŒใ€ใใฎๅพŒใฎๆ”ปๆ’ƒๆดปๅ‹•ใฎๅŸบ็›คใจใชใ‚‹ใ‚‚ใฎใงใ™ใ€‚

Wireshark_capture

ๅ›ณ10. TencShellใซใ‚ˆใ‚‹C2้€šไฟกใฎ่ฉฆ่กŒใ‚’็คบใ™Wiresharkใ‚ญใƒฃใƒ—ใƒใƒฃ็ขบ่ชใ•ใ‚ŒใŸC2้€šไฟกใƒ‘ใ‚นใฎไธ€้ƒจใซใฏใ€Tencent้–ข้€ฃใ‚ตใƒผใƒ“ใ‚นใ‚’ๆ€ใ‚ใ›ใ‚‹ๅ็งฐใŒไฝฟ็”จใ•ใ‚Œใฆใ„ใพใ—ใŸใ€‚

ใ“ใฎใ‚ˆใ†ใชๅ‘ฝๅใฏใ€ๆ”ปๆ’ƒ่€…ใŒ็ฎก็†ใ™ใ‚‹้€šไฟกใ‚’้€šๅธธใฎWebใ‚ตใƒผใƒ“ใ‚นใ‚„API้€šไฟกใซ็ด›ใ‚Œ่พผใพใ›ใ‚‹ใŸใ‚ใซไฝฟใ‚ใ‚ŒใŸใจ่€ƒใˆใ‚‰ใ‚Œใพใ™ใ€‚ๅ›ณ11ใซ็คบใ™ใ‚ˆใ†ใซใ€C2็ฎก็†็”ป้ขใซใฏใ€ๆ„ŸๆŸ“็ซฏๆœซใฎ็ฎก็†ใ‚„ใ‚ณใƒžใƒณใƒ‰้€ไฟกใ‚’่กŒใ†ใŸใ‚ใฎๆ”ปๆ’ƒ่€…ๅ‘ใ‘ๆ“ไฝœ็”ป้ขใพใง็”จๆ„ใ•ใ‚Œใฆใ„ใพใ—ใŸใ€‚ใ“ใฎใ“ใจใ‹ใ‚‰ใ€ไปŠๅ›ž็ขบ่ชใ•ใ‚ŒใŸๆดปๅ‹•ใฏๅ˜ใชใ‚‹ใƒšใ‚คใƒญใƒผใƒ‰้…ๅธƒใงใฏใชใใ€ๆœฌๆ ผ็š„ใช้ ้š”ๆ“ไฝœใƒ•ใƒฌใƒผใƒ ใƒฏใƒผใ‚ฏใฎไธ€้ƒจใงใ‚ใฃใŸใ“ใจใŒๅˆ†ใ‹ใ‚Šใพใ™ใ€‚

TencShell_C2_panel

ๅ›ณ11. ๆ„ŸๆŸ“็ซฏๆœซใฎ็ฎก็†ใจๆ”ปๆ’ƒ่€…ใซใ‚ˆใ‚‹ๆ“ไฝœใซๅˆฉ็”จใ•ใ‚Œใ‚‹TencShellใฎC2็ฎก็†็”ป้ข

ใพใŸใ€ๆ”ปๆ’ƒ่€…ใŒ็ฎก็†ใ™ใ‚‹่ค‡ๆ•ฐใฎใ‚คใƒณใƒ•ใƒฉใซใŠใ„ใฆใ€้กžไผผใ—ใŸURIๆง‹้€ ใ‚„ใƒใƒผใƒˆ็•ชๅทใŒ็นฐใ‚Š่ฟ”ใ—ไฝฟ็”จใ•ใ‚Œใฆใ„ใŸใ“ใจใ‹ใ‚‰ใ€ไปŠๅ›žใฎๆดปๅ‹•ใฏๅ˜็™บใฎไพตๅ…ฅใงใฏใชใใ€ใ‚ˆใ‚Šๅบƒ็ฏ„ใชๆ”ปๆ’ƒๆดปๅ‹•ใ‚’ๆ”ฏใˆใ‚‹้‹็”จๅŸบ็›คใฎไธ€้ƒจใงใ‚ใฃใŸๅฏ่ƒฝๆ€งใŒใ‚ใ‚Šใพใ™ใ€‚็ขบ่ชใ•ใ‚ŒใŸC2ใ‚ตใƒผใƒใƒผใŠใ‚ˆใณ้–ข้€ฃใ‚คใƒณใƒ•ใƒฉใฎไธ€่ฆงใซใคใ„ใฆใฏใ€IOCใ‚ปใ‚ฏใ‚ทใƒงใƒณใ‚’ๅ‚็…งใ—ใฆใใ ใ•ใ„ใ€‚

ไพตๅฎณๅพŒใฎๆดปๅ‹•ใ‚’ๆ”ฏใˆใ‚‹ๆฉŸ่ƒฝ

TencShellใซใฏใ€ๆœฌๆ ผ็š„ใชไพตๅฎณๅพŒใฎๆดปๅ‹•ใ‚’ๆ”ฏๆดใ™ใ‚‹ใƒ•ใƒฌใƒผใƒ ใƒฏใƒผใ‚ฏใซๅ…ฑ้€šใ™ใ‚‹ๆฉŸ่ƒฝใŒๅ‚™ใ‚ใฃใฆใ„ใพใ™ใ€‚ๅ›žๅŽใ•ใ‚ŒใŸGoใƒขใ‚ธใƒฅใƒผใƒซๅใ‹ใ‚‰ใฏใ€ใƒกใƒขใƒชไธŠใงใฎๅฎŸ่กŒใ€BOFๅฝขๅผใƒขใ‚ธใƒฅใƒผใƒซใฎๅฎŸ่กŒใ€้€šไฟกใฎไธญ็ถ™ใ‚„ใƒˆใƒณใƒใƒชใƒณใ‚ฐใ€WebSocketใ‚’ๅˆฉ็”จใ—ใŸC2้€šไฟกใ€้ ้š”ๆ“ไฝœใชใฉใ€ๆ”ปๆ’ƒ่€…ใซใจใฃใฆ้‡่ฆใชๆฉŸ่ƒฝใŒๅฎŸ่ฃ…ใ•ใ‚Œใฆใ„ใ‚‹ใ“ใจใŒ็ขบ่ชใ•ใ‚Œใพใ—ใŸใ€‚

ๅ›žๅŽใ•ใ‚ŒใŸไธปใชใ‚ณใƒณใƒใƒผใƒใƒณใƒˆใฏไปฅไธ‹ใฎใจใŠใ‚Šใงใ™ใ€‚

ๅ›žๅŽใ•ใ‚ŒใŸใ‚ณใƒณใƒใƒผใƒใƒณใƒˆ ๆŽจๅฎšใ•ใ‚Œใ‚‹ๆฉŸ่ƒฝ
execute-assembly_windows.go .NETใ‚ขใ‚ปใƒณใƒ–ใƒชใ‚’ใƒกใƒขใƒชไธŠใงๅฎŸ่กŒ
inline-bin_windows.go ่ฟฝๅŠ ใฎๅฎŸ่กŒใƒ•ใ‚กใ‚คใƒซใ‚’่ชญใฟ่พผใฟๅฎŸ่กŒ
bof_windows.go BOFๅฝขๅผใฎ่ปฝ้‡ใƒขใ‚ธใƒฅใƒผใƒซใ‚’ๅฎŸ่กŒ
pkg/services/proxy/socks5.go ไพตๅฎณใ—ใŸ็ซฏๆœซใ‚’็ตŒ็”ฑใ—ใฆ้€šไฟกใ‚’ไธญ็ถ™
pkg/services/proxy/mux/ ใƒˆใƒณใƒใƒชใƒณใ‚ฐใ‚„ๅ†…้ƒจใƒใƒƒใƒˆใƒฏใƒผใ‚ฏใธใฎๅฑ•้–‹ใซๅˆฉ็”จใ•ใ‚Œใ‚‹้€šไฟกๅคš้‡ๅŒ–
pkg/communication/websocket.go WebSocketใซใ‚ˆใ‚‹ๅŒๆ–นๅ‘C2้€šไฟกใ‚’็ถญๆŒ
pkg/services/screen.go ็”ป้ขๅ…ฑๆœ‰ใ‚„้ ้š”ๆ“ไฝœๆฉŸ่ƒฝใ‚’ๆไพ›

ๅ›ณ12ใฏใ€ใ‚ณใƒžใƒณใƒ‰้€šไฟกใŠใ‚ˆใณ้ ้š”ๆ“ไฝœใซ้–ข้€ฃใ™ใ‚‹TencShellใฎ้–ขๆ•ฐๅใจใƒ‘ใƒƒใ‚ฑใƒผใ‚ธใƒ‘ใ‚นใ‚’็คบใ—ใฆใ„ใพใ™ใ€‚้€šไฟก้–ข้€ฃใƒขใ‚ธใƒฅใƒผใƒซใซใฏใ€ใ‚ณใƒžใƒณใƒ‰ๅ–ๅพ—ใ€ๅฎŸ่กŒ็ตๆžœ้€ไฟกใ€HTTPใƒฌใ‚นใƒใƒณใ‚น่งฃๆžใ€็”ป้ขๅ…ฑๆœ‰็”จWebSocketใฎ็ขบ็ซ‹ใชใฉใ‚’่กŒใ†้–ขๆ•ฐใŒๅซใพใ‚Œใฆใ„ใพใ—ใŸใ€‚ใพใŸใ€win32้–ข้€ฃใƒขใ‚ธใƒฅใƒผใƒซใซใฏใ€็”ป้ขใ‚ตใ‚คใ‚บๆƒ…ๅ ฑใฎๅ–ๅพ—ใ‚„ใ€SendInputใ€MouseClickใ€KeyTapใจใ„ใฃใŸใ‚ญใƒผใƒœใƒผใƒ‰ใƒปใƒžใ‚ฆใ‚นๆ“ไฝœใ‚’ๆจกๅ€ฃใ™ใ‚‹ๆฉŸ่ƒฝใŒๅซใพใ‚Œใฆใ„ใพใ—ใŸใ€‚ใ“ใ‚Œใ‚‰ใฎ็—•่ทกใ‹ใ‚‰ใ€TencShellใฏ้€šๅธธใฎC2้€šไฟกใ ใ‘ใงใชใใ€ๆ”ปๆ’ƒ่€…ใซใ‚ˆใ‚‹ๅŒๆ–นๅ‘ใฎ้ ้š”ๆ“ไฝœใซใ‚‚ๅฏพๅฟœใ—ใฆใ„ใ‚‹ใจๅˆคๆ–ญใงใใพใ™ใ€‚

Extracted_TencShell

ๅ›ณ12. TencShellใ‹ใ‚‰ๆŠฝๅ‡บใ•ใ‚ŒใŸใƒ‘ใƒƒใ‚ฑใƒผใ‚ธใƒ‘ใ‚นใจ้–ขๆ•ฐๅ

PullCommandใ€PushResultใ€GetScreenWebSocketใ€SendInputใ€MouseClickใ€KeyTapใจใ„ใฃใŸ้–ขๆ•ฐใฎๅญ˜ๅœจใฏใ€ใ“ใฎใƒžใƒซใ‚ฆใ‚งใ‚ขใŒ้€šๅธธใฎใ‚ณใƒžใƒณใƒ‰ๅฎŸ่กŒใซๅŠ ใˆใ€ๆ”ปๆ’ƒ่€…ใซใ‚ˆใ‚‹้ ้š”ๆ“ไฝœใซใ‚‚ๅฏพๅฟœใ—ใฆใ„ใ‚‹ใ“ใจใ‚’็คบใ—ใฆใ„ใพใ™ใ€‚

ใ•ใ‚‰ใซใ€ๅ›žๅŽใ•ใ‚ŒใŸGoใƒขใ‚ธใƒฅใƒผใƒซๅใ‹ใ‚‰ๅˆคๆ˜Žใ—ใŸๆฉŸ่ƒฝไปฅๅค–ใซใ‚‚ใ€TencShellใซใฏๅน…ๅบƒใ„ๆ”ปๆ’ƒๆฉŸ่ƒฝใŒๅฎŸ่ฃ…ใ•ใ‚Œใฆใ„ใพใ—ใŸใ€‚ๅ…ทไฝ“็š„ใซใฏใ€ * ใƒชใƒขใƒผใƒˆใ‚ทใ‚งใƒซใŠใ‚ˆใณOSใ‚ณใƒžใƒณใƒ‰ๅฎŸ่กŒ * ใƒ•ใ‚กใ‚คใƒซใŠใ‚ˆใณใƒ—ใƒญใ‚ปใ‚นๆ“ไฝœ * ๆฐธ็ถšๅŒ–ใจ้˜ฒๅพกๅ›ž้ฟ * UACๅ›ž้ฟ * ็”ป้ขๅ–ๅพ—ใŠใ‚ˆใณ้ ้š”ๆ“ไฝœ * ใƒ–ใƒฉใ‚ฆใ‚ถ้–ข้€ฃใƒ‡ใƒผใ‚ฟใธใฎใ‚ขใ‚ฏใ‚ปใ‚น * ใƒใƒผใƒชใƒณใ‚ฐๆ–นๅผใซใ‚ˆใ‚‹ใ‚ฟใ‚นใ‚ฏๅฎŸ่กŒ * ๆง‹้€ ๅŒ–ใ•ใ‚ŒใŸC2ใƒฌใƒใƒผใƒˆ้€ไฟก * SOCKS5ใ‚’ๅˆฉ็”จใ—ใŸ้€šไฟกไธญ็ถ™ ใชใฉใฎๆฉŸ่ƒฝใŒ็ขบ่ชใ•ใ‚Œใพใ—ใŸใ€‚

ๅฎŸ้š›ใซใฏใ€ใ“ใ‚Œใ‚‰ใฎๆฉŸ่ƒฝใซใ‚ˆใฃใฆๆ”ปๆ’ƒ่€…ใฏใ€ใƒ•ใ‚กใ‚คใƒซใ‚ทใ‚นใƒ†ใƒ ไธŠใซใปใจใ‚“ใฉ็—•่ทกใ‚’ๆฎ‹ใ•ใšใซใƒ„ใƒผใƒซใ‚’ๅฎŸ่กŒใ—ใ€ใ‚ณใƒžใƒณใƒ‰ใ‚’ๅฎŸ่กŒใ—ใ€็ซฏๆœซๆƒ…ๅ ฑใ‚’ๅŽ้›†ใ—ใ€ๅ†…้ƒจใƒใƒƒใƒˆใƒฏใƒผใ‚ฏใธ้€šไฟก็ตŒ่ทฏใ‚’็ขบ็ซ‹ใ—ใชใŒใ‚‰็ถ™็ถš็š„ใช้ ้š”ๆ“ไฝœใ‚’่กŒใ†ใ“ใจใŒๅฏ่ƒฝใซใชใ‚Šใพใ™ใ€‚ใพใŸใ€ใใฎ้€šไฟกใฏ้€šๅธธใฎWeb้€šไฟกใซ็ด›ใ‚Œ่พผใ‚€ใ‚ˆใ†่จญ่จˆใ•ใ‚Œใฆใ„ใพใ™ใ€‚ใ“ใฎใ“ใจใ‹ใ‚‰ใ€TencShellใฏๅ˜็ด”ใชใƒใƒƒใ‚ฏใƒ‰ใ‚ขใงใฏใชใใ€ๅ†…้ƒจใƒใƒƒใƒˆใƒฏใƒผใ‚ฏใธใฎๅฑ•้–‹ใ€่ช่จผๆƒ…ๅ ฑใฎ็ชƒๅ–ใ€ใƒ‡ใƒผใ‚ฟใฎๆŒใกๅ‡บใ—ใ€่ฟฝๅŠ ใƒžใƒซใ‚ฆใ‚งใ‚ขใฎๅฑ•้–‹ใจใ„ใฃใŸๆดปๅ‹•ใ‚’ๆ”ฏๆดใงใใ‚‹ๆŸ”่ปŸใชๆ”ปๆ’ƒๅŸบ็›คใงใ‚ใ‚‹ใจ่ฉ•ไพกใงใใพใ™ใ€‚

่กจ1ใซ็คบใ™ใ‚ชใƒšใ‚ณใƒผใƒ‰ๆง‹้€ ใ‚‚ใ€ใ“ใฎ่ฉ•ไพกใ‚’่ฃไป˜ใ‘ใฆใ„ใพใ™ใ€‚ใใ“ใซใฏใ€้ ้š”ๆ“ไฝœใ€ใƒ•ใ‚กใ‚คใƒซใ‚ขใ‚ฏใ‚ปใ‚นใ€ใ‚ณใƒžใƒณใƒ‰ๅฎŸ่กŒใ€ๆƒ…ๅ ฑๅŽ้›†ใ€ๆฐธ็ถšๅŒ–ใ€็—•่ทกๅ‰Š้™คใพใงใ‚’ๅซใ‚€ๅน…ๅบƒใ„ๆฉŸ่ƒฝใŒๅฎŸ่ฃ…ใ•ใ‚Œใฆใ„ใ‚‹ใ“ใจใŒ็คบใ•ใ‚Œใฆใ„ใพใ™ใ€‚

่กจ1. ใ‚ชใƒšใ‚ณใƒผใƒ‰ใซๅŸบใฅใๆฉŸ่ƒฝๅฏพๅฟœ่กจ

ใ‚ซใƒ†ใ‚ดใƒชใƒผ ใ‚ชใƒšใ‚ณใƒผใƒ‰ ใ‚ณใƒžใƒณใƒ‰ ๆฉŸ่ƒฝ
ใƒ•ใ‚กใ‚คใƒซๆ“ไฝœ 0x0A FILE_BROWSE ใƒ•ใ‚กใ‚คใƒซใ‚„ใƒ‡ใ‚ฃใƒฌใ‚ฏใƒˆใƒชใฎไธ€่ฆงใ‚’ๅ–ๅพ—
ๅฎŸ่กŒ 0x0B EXECUTE_COMMAND ใ‚ทใ‚นใƒ†ใƒ ใ‚ณใƒžใƒณใƒ‰ใ‚’ๅฎŸ่กŒ
ใƒ—ใƒญใ‚ปใ‚น 0x0C PROCESS_ENUMERATION ๅฎŸ่กŒไธญใƒ—ใƒญใ‚ปใ‚นใ‚’ๅˆ—ๆŒ™
ใƒ—ใƒญใ‚ปใ‚น 0x0D PROCESS_TERMINATION ใƒ—ใƒญใ‚ปใ‚นใ‚’็ต‚ไบ†
ๆƒ…ๅ ฑๅŽ้›† 0x0E DRIVE_ENUMERATION ่ซ–็†ใƒ‰ใƒฉใ‚คใƒ–ใ‚’ๅˆ—ๆŒ™
ใƒ•ใ‚กใ‚คใƒซๆ“ไฝœ 0x0F CREATE_DIRECTORY ใƒ‡ใ‚ฃใƒฌใ‚ฏใƒˆใƒชใ‚’ไฝœๆˆ
ใƒ•ใ‚กใ‚คใƒซๆ“ไฝœ 0x10 REMOVE_FILE ใƒ•ใ‚กใ‚คใƒซใพใŸใฏใƒ‡ใ‚ฃใƒฌใ‚ฏใƒˆใƒชใ‚’ๅ‰Š้™ค
ใƒ•ใ‚กใ‚คใƒซๆ“ไฝœ 0x11 COPY_FILE ใƒ•ใ‚กใ‚คใƒซใ‚’ใ‚ณใƒ”ใƒผ
ใƒ•ใ‚กใ‚คใƒซๆ“ไฝœ 0x12 MOVE_FILE ใƒ•ใ‚กใ‚คใƒซใ‚’็งปๅ‹•
ๆƒ…ๅ ฑๅ–ๅพ— 0x13 READ_FILE_CONTENT ใƒ•ใ‚กใ‚คใƒซๅ†…ๅฎนใ‚’่ชญใฟๅ–ใ‚Šใƒปๅ–ๅพ—
้€šไฟกไธญ็ถ™๏ผๅ†…้ƒจๅฑ•้–‹ 0x14 SOCKS_CONNECT SOCKSใƒ—ใƒญใ‚ญใ‚ทๆŽฅ็ถšใ‚’็ขบ็ซ‹
ๅฎŸ่กŒๅˆถๅพก 0x15 SET_SLEEP_TIMER ใƒ“ใƒผใ‚ณใƒณใฎๅพ…ๆฉŸ้–“้š”ใ‚’ๅค‰ๆ›ด
ๅฎŸ่กŒๅˆถๅพก 0x16 PAUSE_EXECUTION ใ‚ฟใ‚นใ‚ฏๅฎŸ่กŒใ‚’ไธ€ๆ™‚ๅœๆญข
ๅฎŸ่กŒ 0x17 INTERACTIVE_SHELL ๅฏพ่ฉฑๅž‹ใ‚ทใ‚งใƒซใ‚’่ตทๅ‹•
ใƒ•ใ‚กใ‚คใƒซ่ปข้€ 0x18 UPLOAD_FILE ใƒ•ใ‚กใ‚คใƒซใ‚’ใ‚ขใƒƒใƒ—ใƒญใƒผใƒ‰๏ผˆใƒขใƒผใƒ‰1๏ผ‰
ใƒ•ใ‚กใ‚คใƒซ่ปข้€ 0x19 UPLOAD_FILE_EXTENDED ใƒ•ใ‚กใ‚คใƒซใ‚’ใ‚ขใƒƒใƒ—ใƒญใƒผใƒ‰๏ผˆใƒขใƒผใƒ‰2๏ผ‰
ใƒ•ใ‚กใ‚คใƒซ่ปข้€ 0x1A DOWNLOAD_FILE ใƒชใƒขใƒผใƒˆใƒ•ใ‚กใ‚คใƒซใ‚’ใƒ€ใ‚ฆใƒณใƒญใƒผใƒ‰
็—•่ทกๅ‰Š้™ค 0x1B SELF_DELETE ใƒžใƒซใ‚ฆใ‚งใ‚ข่‡ช่บซใ‚’ๅ‰Š้™ค
ใƒ•ใ‚กใ‚คใƒซๆ“ไฝœ 0x1C CHANGE_DIRECTORY ไฝœๆฅญใƒ‡ใ‚ฃใƒฌใ‚ฏใƒˆใƒชใ‚’ๅค‰ๆ›ด
ใƒ•ใ‚กใ‚คใƒซๆ“ไฝœ 0x1D PRINT_WORKING_DIRECTORY ็พๅœจใฎใƒ‡ใ‚ฃใƒฌใ‚ฏใƒˆใƒชใ‚’ๅ–ๅพ—
้€šไฟกไธญ็ถ™๏ผๅ†…้ƒจๅฑ•้–‹ 0x1E STOP_SOCKS_PROXY SOCKS5ใƒ—ใƒญใ‚ญใ‚ทใ‚’ๅœๆญข
ใƒ•ใ‚กใ‚คใƒซๆ“ไฝœ 0x20 RENAME_FILE ใƒ•ใ‚กใ‚คใƒซๅใ‚’ๅค‰ๆ›ด
ใƒ•ใ‚กใ‚คใƒซ่ปข้€ 0x21 REMOTE_UPLOAD ใƒชใƒขใƒผใƒˆใ‚ขใƒƒใƒ—ใƒญใƒผใƒ‰ใ‚’ๅฎŸ่กŒ
ใƒ–ใƒฉใ‚ฆใ‚ถ้–ข้€ฃใƒ‡ใƒผใ‚ฟ 0x22 CHROME_CLEANUP Chrome้–ข้€ฃใƒ‡ใƒผใ‚ฟใ‚’ๅ‰Š้™ค
ใƒ–ใƒฉใ‚ฆใ‚ถ้–ข้€ฃใƒ‡ใƒผใ‚ฟ 0x23 CHROME_BACKUP Chrome้–ข้€ฃใƒ‡ใƒผใ‚ฟใ‚’ไฟๅญ˜
ใƒšใ‚คใƒญใƒผใƒ‰ๅฎŸ่กŒ 0x24 INLINE_EXECUTION ๅŸ‹ใ‚่พผใฟใƒšใ‚คใƒญใƒผใƒ‰ใ‚’ๅฎŸ่กŒ
็’ฐๅขƒ็ขบ่ช 0x25 CHECK_WORKSTATION_STATE ็ซฏๆœซใŠใ‚ˆใณใ‚ปใƒƒใ‚ทใƒงใƒณ็Šถๆ…‹ใ‚’็ขบ่ช
ๅฎŸ่กŒๅˆถๅพก 0x26 PROCESS_RESTART ใƒžใƒซใ‚ฆใ‚งใ‚ขใƒ—ใƒญใ‚ปใ‚นใ‚’ๅ†่ตทๅ‹•
ๅฎŸ่กŒ็’ฐๅขƒ็งป่กŒ 0x27 PROCESS_MIGRATION ๅฎŸ่กŒใ‚ณใƒณใƒ†ใ‚ญใ‚นใƒˆใ‚’็งป่กŒ
็’ฐๅขƒ็ขบ่ช 0x28 CHECK_EDGE_STATE Edge้–ข้€ฃใ‚ปใƒƒใ‚ทใƒงใƒณใฎ็Šถๆ…‹ใ‚’็ขบ่ช
็’ฐๅขƒ็ขบ่ช 0x29 CHECK_PROGRAM_STATE ใƒ—ใƒญใ‚ฐใƒฉใƒ ใพใŸใฏใ‚ฆใ‚ฃใƒณใƒ‰ใ‚ฆ็Šถๆ…‹ใ‚’็ขบ่ช
ใƒ–ใƒฉใ‚ฆใ‚ถ้–ข้€ฃใƒ‡ใƒผใ‚ฟ 0x2A EDGE_CLEANUP Edge้–ข้€ฃใƒ‡ใƒผใ‚ฟใ‚’ๅ‰Š้™ค
ใƒ–ใƒฉใ‚ฆใ‚ถ้–ข้€ฃใƒ‡ใƒผใ‚ฟ 0x2B EDGE_BACKUP Edge้–ข้€ฃใƒ‡ใƒผใ‚ฟใ‚’ไฟๅญ˜
ใƒšใ‚คใƒญใƒผใƒ‰ๅฎŸ่กŒ 0x2C DLL_LOAD DLLใƒšใ‚คใƒญใƒผใƒ‰ใ‚’่ชญใฟ่พผใฟ
ใƒšใ‚คใƒญใƒผใƒ‰ๅฎŸ่กŒ 0x2D EXECUTE_ASSEMBLY .NETใ‚ขใ‚ปใƒณใƒ–ใƒชใ‚’ๅฎŸ่กŒ
ใƒšใ‚คใƒญใƒผใƒ‰ๅฎŸ่กŒ 0x2E INLINE_BINARY_EXECUTION ๅŸ‹ใ‚่พผใฟใƒใ‚คใƒŠใƒชใ‚’ๅฎŸ่กŒ
ใƒ•ใ‚กใ‚คใƒซๆ“ไฝœ 0x30 MOUNT_FILES ใƒชใƒขใƒผใƒˆใƒ•ใ‚กใ‚คใƒซใ‚’ใƒžใ‚ฆใƒณใƒˆใ—ใฆๅ…ฌ้–‹
ๆจฉ้™ๆ˜‡ๆ ผ 0x31 UAC_BYPASS UACๅ›ž้ฟใ‚’่ฉฆ่กŒ
้ ้š”ๆ“ไฝœ 0x46 START_REMOTE_SCREEN ็”ป้ขๅ…ฑๆœ‰ใ‚’้–‹ๅง‹
้ ้š”ๆ“ไฝœ 0x47 STOP_REMOTE_SCREEN ็”ป้ขๅ…ฑๆœ‰ใ‚’ๅœๆญข
้ ้š”ๆ“ไฝœ 0x48 SCREEN_CONTROL ้ ้š”็”ป้ขๆ“ไฝœใ‚’ๅฎŸ่กŒ
ๆฐธ็ถšๅŒ– 0x64 PERSISTENCE_UPLOAD ๆฐธ็ถšๅŒ–ใ‚ณใƒณใƒใƒผใƒใƒณใƒˆใ‚’ๅฑ•้–‹

ๅฎŸ้š›ใซใฏใ€ใ“ใ‚Œใ‚‰ใฎๆฉŸ่ƒฝใซใ‚ˆใฃใฆๆ”ปๆ’ƒ่€…ใฏ็ซฏๆœซใ‚’้ ้š”ๆ“ไฝœใ—ใ€ๆฉŸๅฏ†ๆƒ…ๅ ฑใ‚’ๅŽ้›†ใ—ใ€็ถ™็ถš็š„ใชใ‚ขใ‚ฏใ‚ปใ‚นใ‚’็ถญๆŒใ™ใ‚‹ใจใจใ‚‚ใซใ€่ชฟๆŸปใ‚„่งฃๆžใซๅˆฉ็”จใ•ใ‚Œใ‚‹็—•่ทกใ‚’ๅ‰Š้™คใ™ใ‚‹ใ“ใจใŒๅฏ่ƒฝใซใชใ‚Šใพใ™ใ€‚

ๆฐธ็ถšๅŒ–ใฎไป•็ต„ใฟ

ๅ‰่ฟฐใ—ใŸไพตๅฎณๅพŒใฎๆดปๅ‹•ใ‚’ๆ”ฏใˆใ‚‹ๆฉŸ่ƒฝใซๅŠ ใˆใ€TencShellใฎๅˆ†ๆžใ‹ใ‚‰ใฏใ€Windowsใƒฌใ‚ธใ‚นใƒˆใƒชใฎRunใ‚ญใƒผใ‚’ๅˆฉ็”จใ—ใฆ่‡ชๅ‹•ๅฎŸ่กŒใ‚’่จญๅฎšใ™ใ‚‹ๆฐธ็ถšๅŒ–ๆฉŸ่ƒฝใ‚‚็ขบ่ชใ•ใ‚Œใพใ—ใŸใ€‚ key:\Software\Microsoft\Windows\CurrentVersion\Run

ๅฎŸ่กŒๆ™‚ใ€TencShellใฏGoใƒฉใƒณใ‚ฟใ‚คใƒ ใฎใƒฉใƒƒใƒ‘ใƒผใ‚’ไป‹ใ—ใฆWindowsใƒฌใ‚ธใ‚นใƒˆใƒชAPIใ‚’ๅ‘ผใณๅ‡บใ—ใ€ใƒฌใ‚ธใ‚นใƒˆใƒชๅ€คใธใฎใ‚ขใ‚ฏใ‚ปใ‚นใŠใ‚ˆใณๅค‰ๆ›ดใ‚’่กŒใ„ใพใ™ใ€‚ใ“ใฎๅ‡ฆ็†ใงใฏใ€ไปฅไธ‹ใฎๅ€คๅใŒไฝฟ็”จใ•ใ‚Œใฆใ„ใพใ—ใŸใ€‚OneDriveHealthTask

ใ“ใฎๅ็งฐใฏใ€Microsoftใ‚„Windowsใฎๆญฃ่ฆใ‚ณใƒณใƒใƒผใƒใƒณใƒˆใซ่ฆ‹ใˆใ‚‹ใ‚ˆใ†ๆ„ๅ›ณ็š„ใซ้ธใฐใ‚ŒใŸใ‚‚ใฎใจ่€ƒใˆใ‚‰ใ‚Œใพใ™ใ€‚ใพใŸใ€ๅฎŸ่กŒใƒ•ใƒญใƒผใ‚’ๅˆ†ๆžใ—ใŸ็ตๆžœใ€TencShellใฏๆฐธ็ถšๅŒ–่จญๅฎšใ‚’ไฝœๆˆใ™ใ‚‹ๅ‰ใซใ€ๅฏพ่ฑกใจใชใ‚‹ใƒฌใ‚ธใ‚นใƒˆใƒชใ‚จใƒณใƒˆใƒชใŒใ™ใงใซๅญ˜ๅœจใ™ใ‚‹ใ‹ใฉใ†ใ‹ใ‚’็ขบ่ชใ—ใฆใ„ใ‚‹ใ“ใจใŒๅˆ†ใ‹ใ‚Šใพใ—ใŸใ€‚ใ“ใ‚Œใฏๅ˜็ด”ใซไธ€ๅบฆใ ใ‘ใƒฌใ‚ธใ‚นใƒˆใƒชใ‚’ๆ›ธใๆ›ใˆใ‚‹ไป•็ต„ใฟใงใฏใชใใ€ๆฐธ็ถšๅŒ–่จญๅฎšใฎ็ถญๆŒใ‚„ๅ†่จญๅฎšใ‚’็›ฎ็š„ใจใ—ใŸๆฉŸ่ƒฝใ‚’ๅ‚™ใˆใฆใ„ใ‚‹ใ“ใจใ‚’็คบใ—ใฆใ„ใพใ™ใ€‚

ๅ›ณ13ใซ็คบใ™ใ‚ˆใ†ใซใ€ใ“ใฎๆฐธ็ถšๅŒ–ๆฉŸ่ƒฝใฏWindowsใฎRunใ‚ญใƒผใจใ€่ตทๅ‹•ๆ™‚ใฎ่‡ชๅ‹•ๅฎŸ่กŒใซไฝฟ็”จใ•ใ‚Œใ‚‹OneDriveHealthTaskใจใ„ใ†ใƒฌใ‚ธใ‚นใƒˆใƒชๅ€คใ‚’ๅ‚็…งใ—ใฆใ„ใพใ™ใ€‚

TencShell_registry_autorun_persistence

ๅ›ณ13. Windows Runใ‚ญใƒผใ‚’ๅˆฉ็”จใ—ใŸTencShellใฎ่‡ชๅ‹•ๅฎŸ่กŒใซใ‚ˆใ‚‹ๆฐธ็ถšๅŒ–ๆฉŸ่ƒฝ

Catoใซใ‚ˆใ‚‹้˜ฒๅพก

Catoใฏใ€ๆ”ปๆ’ƒ่€…ใŒๆŒ็ถš็š„ใช้ ้š”ๆ“ไฝœ็’ฐๅขƒใ‚’็ขบ็ซ‹ใ™ใ‚‹ๅ‰ใฎๆฎต้šŽใงใ€ใ“ใฎไพตๅ…ฅใฎ่ฉฆใฟใ‚’้˜ปๆญขใ—ใพใ—ใŸใ€‚

ไปŠๅ›žใฎๆคœ็Ÿฅใฏใ€่ค‡ๆ•ฐใฎๅ…†ๅ€™ใ‚’้–ข้€ฃไป˜ใ‘ใฆๅˆ†ๆžใ—ใŸ็ตๆžœใจใ—ใฆๅฎŸ็พใ—ใŸใ‚‚ใฎใงใ™ใ€‚ๅ…ทไฝ“็š„ใซใฏใ€ไปฅไธ‹ใฎ่ฆ็ด ใŒ็ขบ่ชใ•ใ‚Œใฆใ„ใพใ—ใŸใ€‚

  • ๆ”ปๆ’ƒ่€…ใŒ็ฎก็†ใ™ใ‚‹ไธๅฏฉใชURL
  • ใƒšใ‚คใƒญใƒผใƒ‰้…ๅธƒใฎๅ…†ๅ€™
  • ใƒ•ใ‚ฉใƒณใƒˆใƒ•ใ‚กใ‚คใƒซใ‚’่ฃ…ใฃใŸไธๆญฃใƒชใ‚ฝใƒผใ‚น
  • ไธๅฏฉใชใ‚คใƒณใƒ•ใƒฉใŠใ‚ˆใณURIใƒ‘ใ‚ฟใƒผใƒณใฎๅ†ๅˆฉ็”จ

ๅ›ณ14ใซ็คบใ™ใ‚ˆใ†ใซใ€XOpsใฏใ“ใ‚Œใ‚‰ใฎๆดปๅ‹•ใ‚’ๅ˜ไธ€ใฎใ‚ปใ‚ญใƒฅใƒชใƒ†ใ‚ฃใ‚คใƒณใ‚ทใƒ‡ใƒณใƒˆใจใ—ใฆๅฏ่ฆ–ๅŒ–ใ—ใ€ไธๅฏฉใชๆŽฅ็ถšๅ…ˆใ€ใƒžใƒซใ‚ฆใ‚งใ‚ขๅˆ†้กžใ€้€ไฟกๅ…ƒ็ซฏๆœซใ€ๅฏพ่ฑกใจใชใฃใŸๅ‹•ไฝœใ€ๅœฐ็†ๆƒ…ๅ ฑใ€ๆ”ปๆ’ƒใฎๅบƒใŒใ‚Šใ‚’้–ข้€ฃไป˜ใ‘ใฆ่กจ็คบใ—ใพใ—ใŸใ€‚ใพใŸใ€ๅ›ณ15ใซใฏใ€ใใฎใ‚คใƒณใ‚ทใƒ‡ใƒณใƒˆใ‚’ๆง‹ๆˆใ™ใ‚‹้–ข้€ฃใ‚คใƒ™ใƒณใƒˆใŒ็คบใ•ใ‚Œใฆใ„ใพใ™ใ€‚ใ“ใ‚Œใซใฏใ€ๅŒไธ€ใฎๆŽฅ็ถšๅ…ˆใŠใ‚ˆใณURIใซๅฏพใ—ใฆ็นฐใ‚Š่ฟ”ใ—้€ไฟกใ•ใ‚ŒใŸๅค–ๅ‘ใใฎGETใƒชใ‚ฏใ‚จใ‚นใƒˆใ‚‚ๅซใพใ‚Œใฆใ„ใพใ™ใ€‚

Cato MDRใซใ‚ˆใ‚‹่ชฟๆŸปใฎ็ตๆžœใ€ใ“ใฎๆดปๅ‹•ใฏๅ˜ใชใ‚‹ไธๅฏฉใชWeb้–ฒ่ฆงใ‚„ๆญฃๅฝ“ใชใƒ•ใ‚กใ‚คใƒซๅ–ๅพ—ใงใฏใชใใ€ๅฎŸ้š›ใฎไพตๅ…ฅใ‚’็›ฎ็š„ใจใ—ใŸๆ”ปๆ’ƒใงใ‚ใฃใŸใ“ใจใŒ็ขบ่ชใ•ใ‚Œใพใ—ใŸใ€‚

XOps_security_story

ๅ›ณ14. ๆคœ็Ÿฅใ•ใ‚ŒใŸใƒžใƒซใ‚ฆใ‚งใ‚ขๆดปๅ‹•ใซ้–ขใ™ใ‚‹XOpsใ‚ปใ‚ญใƒฅใƒชใƒ†ใ‚ฃใ‚นใƒˆใƒผใƒชใƒผ

XOps_related_events

ๅ›ณ15. ็นฐใ‚Š่ฟ”ใ—็™บ็”Ÿใ—ใŸๅค–ๅ‘ใ้€šไฟกใ‚’็คบใ™XOps้–ข้€ฃใ‚คใƒ™ใƒณใƒˆ

ไปŠๅ›žใฎใ‚ฑใƒผใ‚นใงใฏใ€ไปฅไธ‹ใฎ้˜ฒๅพกๆฉŸ่ƒฝใŒๆœ‰ๅŠนใซๆฉŸ่ƒฝใ—ใพใ—ใŸใ€‚

  • ๆ”ปๆ’ƒ่€…ใŒ็ฎก็†ใ™ใ‚‹URLใŠใ‚ˆใณๆŽฅ็ถšๅ…ˆใฎ้ฎๆ–ญ
  • ไธๅฏฉใชใƒšใ‚คใƒญใƒผใƒ‰้…ๅธƒๆดปๅ‹•ใฎๆคœ็Ÿฅ
  • XOpsใซใ‚ˆใ‚‹ๆ”ปๆ’ƒใƒใ‚งใƒผใƒณใฎๅฏ่ฆ–ๅŒ–
  • MDRใƒใƒผใƒ ใซใ‚ˆใ‚‹่ชฟๆŸปใŠใ‚ˆใณใ‚คใƒณใ‚ทใƒ‡ใƒณใƒˆๅฏพๅฟœๆ”ฏๆดๆ”ปๆ’ƒ่€…ใŒ็ฎก็†ใ™ใ‚‹URLใŠใ‚ˆใณๆŽฅ็ถšๅ…ˆใฎ้ฎๆ–ญ

็ต่ซ–

้ซ˜ๅบฆใชไพตๅ…ฅๆ”ปๆ’ƒใ‚’ๅฎŸ่กŒใ™ใ‚‹ใŸใ‚ใซใ€ๆ”ปๆ’ƒ่€…ใŒ็‹ฌ่‡ชใฎใƒžใƒซใ‚ฆใ‚งใ‚ข้–‹็™บๅŸบ็›คใ‚’ๆง‹็ฏ‰ใ™ใ‚‹ๅฟ…่ฆใฏใ€ใ‚‚ใฏใ‚„ใ‚ใ‚Šใพใ›ใ‚“ใ€‚ๆŸ”่ปŸใซๅˆฉ็”จใงใใ‚‹ใ‚ชใƒผใƒ—ใƒณใ‚ฝใƒผใ‚นใฎใƒ„ใƒผใƒซ็พคใ ใ‘ใงใ‚‚ใ€ๅๅˆ†ใซ้ซ˜ๅบฆใชๆ”ปๆ’ƒใ‚’ๅฎŸ็พใงใใ‚‹ๆ™‚ไปฃใซใชใฃใฆใ„ใพใ™ใ€‚

ไปŠๅ›žใฎไบ‹ไพ‹ใงใฏใ€TencShellใฏRshellใ‚’ๅŸบใซใ‚ซใ‚นใ‚ฟใƒžใ‚คใ‚บใ•ใ‚Œใ€Web้€šไฟกใ‚’่ฃ…ใฃใŸC2้€šไฟกใ€ใƒšใ‚คใƒญใƒผใƒ‰ใฎๅฝ่ฃ…ใ€ใƒกใƒขใƒชไธŠใงใฎๅฎŸ่กŒใ€ใใ—ใฆๅ†…้ƒจใƒใƒƒใƒˆใƒฏใƒผใ‚ฏใธใฎๅฑ•้–‹ๆฉŸ่ƒฝใ‚’ๅ‚™ใˆใŸใ€ๅฎŸ็”จ็š„ใชไพตๅฎณๅพŒๆดปๅ‹•็”จใƒžใƒซใ‚ฆใ‚งใ‚ขใจใ—ใฆๅˆฉ็”จใ•ใ‚Œใฆใ„ใŸใจ่€ƒใˆใ‚‰ใ‚Œใพใ™ใ€‚ๆ”ปๆ’ƒ่€…ใฏๆ–ฐใŸใชใƒžใƒซใ‚ฆใ‚งใ‚ขใƒ•ใ‚กใƒŸใƒชใƒผใ‚’ไธ€ใ‹ใ‚‰้–‹็™บใ™ใ‚‹ใฎใงใฏใชใใ€ๆ—ขๅญ˜ใฎๆ”ปๆ’ƒใƒ„ใƒผใƒซใ‚’ๆ”นๅค‰ใƒปๆดป็”จใ—ใ€ใใฎๆดปๅ‹•ใ‚’้€šๅธธใฎไผๆฅญใƒใƒƒใƒˆใƒฏใƒผใ‚ฏ้€šไฟกใซ็ด›ใ‚Œ่พผใพใ›ใ‚ˆใ†ใจใ—ใฆใ„ใพใ—ใŸใ€‚

Catoใฏใ€ๆ”ปๆ’ƒ่€…ใŒๆŒ็ถš็š„ใช้ ้š”ๆ“ไฝœ็’ฐๅขƒใ‚’็ขบ็ซ‹ใ™ใ‚‹ๅ‰ใฎๆฎต้šŽใงใ€ใ“ใฎไพตๅ…ฅใฎ่ฉฆใฟใ‚’้˜ปๆญขใ—ใพใ—ใŸใ€‚ใ“ใฎไบ‹ไพ‹ใฏใ€ใ‚ชใƒผใƒ—ใƒณใ‚ฝใƒผใ‚นใฎๆ”ปๆ’ƒใƒ•ใƒฌใƒผใƒ ใƒฏใƒผใ‚ฏใŒๅฎนๆ˜“ใซๆ”นๅค‰ใ•ใ‚Œใ€ๅฎŸ้š›ใฎไผๆฅญ็’ฐๅขƒใซๅฏพใ™ใ‚‹ๅŠนๆžœ็š„ใชไพตๅ…ฅใƒ„ใƒผใƒซใจใ—ใฆๅˆฉ็”จใ•ใ‚Œๅพ—ใ‚‹ใ“ใจใ‚’็คบใ—ใฆใ„ใพใ™ใ€‚

Indicators of Compromise

ใƒใƒƒใƒˆใƒฏใƒผใ‚ฏ้–ข้€ฃใฎๆŒ‡ๆจ™

IP addresses
45[.]64[.]52[.]242

192[.]238[.]134[.]166

45[.]115[.]38[.]27

ใƒ‰ใƒกใ‚คใƒณ
gin-tne-fahcesmukw[.]cn-hangzhou[.]fcapp[.]run

ใƒใƒƒใ‚ทใƒฅ

c3ecb90c9915daa23aec51f93ff8665778866f0592b2413578c8ba9708df6091
660af53acdc505f333f6d4f4269cec740a5eb05e41a4c7926742606b18f22d33
37facbbd0047c19f4efdea75ccb9e3ec793cb9b1d7846afa4fb8e900d6e9ed95
01dc3e7e673b4f2682f29b19ecabf9a6ec9c3042c9b1cfb39dbdddf1dda680ab

750a707084839fe970266964957b8eaa7e25b4d9ca1050cd7ab19e4a2add707d

12f76f48727916d6c05f53f8cd94915db5de5ffcbfa02c4807c27e090cfa47c1

4ae8de40153c66455d972e6e98fe06fb68db7301ba126557e96599527bc5509c

1ba73df60e12b3feb8b5574e65cfceb6910460ab7fae2cf5554769fafdad049e

5eff99959683480d2280c931e433af836adf6a8b7a8489b1af17cddcf480cf63

0fe91200a2bb4aed13b1a1ba4ec8fd4454566f5929ffed4f537d9a87c1bf1187

7f6bec5dd217151fcd03087a6e7ba1070f0fa603801fb128a4097076c9976d36

ed6058f0b0735ba56b781dea39353625fcb56bc3e77bf2d26a648511d754d216

710539554f065fe9a0bf6a6e32d3ea73ab3c797a033f8bfef57ad929bcdf9195

79340e589a69f5dc204d4073341a07e98a588d0401d18f34991d14b71a475063

8363ff6bddfaf247318308f215ad53f3c77f218d4a6562b537aeaf7e9135d10f

df5f74e1e0e5b0a0748de2efd86358293b4d368d171a926af6f14880d55adb57

b7a5192a90c14a9a36e5a3565fed46becffa88dbc719e8ee396a0c9d46f5dde4

b77c8531ee45ffdfd63ef19aa1f1ae8b603b274f6951f7d8f4e725130bfca06d

6de4da7919185f84212d02011e955530011b08c389408f2a012b81757c3d0c0f

31635e4667eba1ba3588e1bc9c05d18a78d9693c801e5176e6cddf74e0d5bcc2

d252aeabbf4cd9f336e83d1fa0042fcc2f74f45d4b8cbe2a8bfe790d4db0580d

7170f3051cc9f4520e84f1ea3b599616d82be8e5087f19d8e2951fa6848924b3

aaf49281b2f65390adc2e763af37fc4e3fe03b94af550927fc91141e0d6347db

1d2e37b41d616ecb32b8bd2f2a52c792f1808fdc938574fc366d737b6f643c61

7abc129482ccdf787b35b92b7d5b7ff2478e72fe516f4ceca0c02e23a1d34314

147f86854690ba096f3797c623b66365d6adbf7140d7d7c3dcf746b83a4b6dac

943f952652fbc16923c0519449feeee11698304dac51268d4e6065146dcad69e

73c24bafba21f871cc9d28de92ee7e4b9f9c8ec337279c14c1facdb9feeb7af4

905ae6ac24225db221da346a1695e443ba4c57ea1c9066e8bac3e5fcb4156fc7

5c02115b3f090551393cca3ce91fe837727d1c4586164c580759eb94387dba10

12c6d0e603386b81751d95b32d1698d794c99343abb06d066b0f6060e8690aca

1329be66458962dabfa20185c230439c57d32b90a20de791afdce9c15226fccb

2a010bd1061e11da6f5cf951a3ebd23503916e159e3d486cc722b4b8b4a099c9

746c4cd5fe3a8edd37d4b37b23af64b1086b5ea7c1ab0bcfd9c47e4e2e986518

5ef76098be5ed1559b71ebd8d29cb32c1825991824051d8a641746e08bf9e1b3

5ac484ec0846fff8f099b234dfd1602864300da8c68b01822c6036eb709fc584

976f890ab0ee8aac613da2458d0069f00d0ebabc76f1fceb63e05b2113f6a449

065f5a605ac04d5f443089b65aa1393414ee38c4ee8f780e7d78c06b46504ae4

cdb9d76093d0938f30d93bcce4f58b13b4b21c9188eea387c6d9ec6f4cb4aad4

b5e0866368873b4c5eacc6df01114fc749cc32f507e9324bc6d763999371777d

75b36769f0d36c05be74d41610d4af3f73397983ba746f8c569de6f23ee130e0

64944d2a6129631ff675c6dcfdd57a7e99a1e4dc41802cbd0eabcef3eb3e81c3

921e41190fed3437ca7a0d53e7590ccb0f1ab5d667532778fbda5664c657d712

5d19c07e3fb7ac4ff56a23f6e658d691f381442b1db2f8c5f345563c1cdc8998

3ffe3a6f328a6459624bd93edd206e2256b2753e17137cbc1530b91fa325ecac

2012ff4d7c36e42d256d78c265f242d29a305af66686866c581ee96c2b05d5a6

fdb5eca8f00e1802f3c9c0ca79f93a8419353f4ef2a0606bec39c4497da91035

065c54893e4777d52be6b7bf30b832d5ffd9d96fd178642a5828a364c0e904a0

8f5f4408998bbfc6987d9cb39216071c57c7b087f2867a504e83414ee5cfcd08

06776635e386d536b1b0fc21e6aa41865d44d83dae5e9b109868d71ca309eeaa

94f67819c0f7e200abf4b39fad2fd6fef227da15d939f21a657d1717ca2b3014

MITRE ATT&CK Mapping

Tactic Technique / Sub-technique ID
Defense Evasion MasqueradingMasquerade File Type T1036.008
Command and Control Ingress Tool Transfer T1105
Defense Evasion Reflective Code Loading T1620
Command and Control Application Layer Protocol:Web Protocols T1071.001
Command and Control Non-Standard Port T1571
Command and Control Proxy:Internal Proxy T1090.001
ๆƒ…ๅ ฑๅŽ้›† System Information Discovery T1082
ๆƒ…ๅ ฑๅŽ้›† Process Discovery T1057
ๆƒ…ๅ ฑๅŽ้›† File and Directory Discovery T1083
ๅฎŸ่กŒ Command and Scripting Interpreter:Windows Command Shell T1059.003
ๅฎŸ่กŒ Native API T1106
Defense Evasion Process Injection T1055
ๆฐธ็ถšๅŒ– Registry Run Keys / Startup Folder:Registry Run Keys T1547.001
Privilege Escalation Abuse Elevation Control Mechanism:Bypass User Account Control T1548.002
ๆƒ…ๅ ฑๅ–ๅพ— Data from Local System T1005
ๆƒ…ๅ ฑๅ–ๅพ— Screen Capture T1113
Command and Control Web Service T1102
Defense Evasion Indicator Removal on Host:File Deletion T1070.004
Exfiltration Exfiltration Over C2 Channel T1041
ๅฎŸ่กŒ Shared Modules T1129

Related Topics

Idan Tarab

Idan Tarab

Security Research Engineer

ใ‚คใƒ€ใƒณใƒปใ‚ฟใƒฉใƒ–๏ผˆIdan Tarab๏ผ‰ใฏใ€Cato XDRใƒชใ‚ตใƒผใƒใƒใƒผใƒ ใฎใ‚ปใ‚ญใƒฅใƒชใƒ†ใ‚ฃใƒชใ‚ตใƒผใƒใ‚จใƒณใ‚ธใƒ‹ใ‚ขใงใ‚ใ‚Šใ€่„…ๅจใ‚คใƒณใƒ†ใƒชใ‚ธใ‚งใƒณใ‚นใ€ๆคœ็Ÿฅใ‚จใƒณใ‚ธใƒ‹ใ‚ขใƒชใƒณใ‚ฐใ€ใŠใ‚ˆใณใ‚ปใ‚ญใƒฅใƒชใƒ†ใ‚ฃใƒชใ‚ตใƒผใƒใ‚’ๅฐ‚้–€ใจใ—ใฆใ„ใพใ™ใ€‚Catoใซๅ…ฅ็คพใ™ใ‚‹ๅ‰ใฏใ€MDRใŠใ‚ˆใณ่„…ๅจใ‚ขใƒŠใƒชใ‚นใƒˆใจใ—ใฆใ€ใƒกใƒผใƒซใŠใ‚ˆใณใ‚จใƒณใƒ‰ใƒใ‚คใƒณใƒˆใ‚ปใ‚ญใƒฅใƒชใƒ†ใ‚ฃ็’ฐๅขƒๅ…จไฝ“ใซใŠใ‘ใ‚‹ใ‚คใƒณใ‚ทใƒ‡ใƒณใƒˆๅฏพๅฟœใ€ไพตๅ…ฅ่ชฟๆŸปใ€ใŠใ‚ˆใณๆ”ปๆ’ƒ่€…ใฎๆ‰‹ๅฃ๏ผˆใƒˆใƒฌใƒผใƒ‰ใ‚ฏใƒฉใƒ•ใƒˆ๏ผ‰ๅˆ†ๆžใซๅพ“ไบ‹ใ—ใฆใ„ใพใ—ใŸใ€‚

Read More
Dr. Guy Waizel

Dr. Guy Waizel

Tech Evangelist

Guy WaizelใฏCato Networksใฎใƒ†ใ‚ฏใƒŽใƒญใ‚ธใƒผใ‚จใƒใƒณใ‚ธใ‚งใƒชใ‚นใƒˆใงใ‚ใ‚Šใ€Cato CTRLใฎใƒกใƒณใƒใƒผใงใ™ใ€‚ ใใฎๅฝนๅ‰ฒใฎไธ€ใคใจใ—ใฆใ€GuyใฏCatoใฎ็ ”็ฉถ่€…ใ€้–‹็™บ่€…ใ€ๆŠ€่ก“ใƒใƒผใƒ ใจๅฏ†ๆŽฅใซๅ”ๅŠ›ใ—ใ€็ ”็ฉถใ€ๅŸท็ญ†ใ€ใƒ—ใƒฌใ‚ผใƒณใƒ†ใƒผใ‚ทใƒงใƒณใ€้‡่ฆใชใ‚คใƒณใ‚ตใ‚คใƒˆใ€ใ‚คใƒŽใƒ™ใƒผใ‚ทใƒงใƒณใ€ใ‚ฝใƒชใƒฅใƒผใ‚ทใƒงใƒณใฎๅบƒ็ฏ„ใชใƒ†ใ‚ฏใƒŽใƒญใ‚ธใƒผใŠใ‚ˆใณใ‚ตใ‚คใƒใƒผใ‚ปใ‚ญใƒฅใƒชใƒ†ใ‚ฃใ‚ณใƒŸใƒฅใƒ‹ใƒ†ใ‚ฃใจใฎๅ…ฑๆœ‰ใ‚’้€šใ˜ใฆใ€ๆŠ€่ก“ใ‚’ๆฉ‹ๆธกใ—ใ—ใ€ๆ™ฎๅŠใ•ใ›ใฆใ„ใพใ™ใ€‚ 2025ๅนดใซCatoใซๅฐฑไปปใ™ใ‚‹ๅ‰ใ€GuyใฏCommvault็คพใงใ‚ปใ‚ญใƒฅใƒชใƒ†ใ‚ฃใฎๅ–ใ‚Š็ต„ใฟใฎใƒชใƒผใƒ€ใƒผใŠใ‚ˆใณใ‚จใƒใƒณใ‚ธใ‚งใƒชใ‚นใƒˆใ‚’ๅ‹™ใ‚ใ€CISOใ‚„CIOใซๅฏพใ—ๅŒ็คพใฎใ‚ปใ‚ญใƒฅใƒชใƒ†ใ‚ฃใƒใƒผใƒˆใƒ•ใ‚ฉใƒชใ‚ชๅ…จไฝ“ใซใคใ„ใฆๅŠฉ่จ€ใ—ใฆใ„ใพใ—ใŸใ€‚ ใพใŸใ€TrapX Security็คพ๏ผˆCommvault็คพใซใซใ‚ˆใ‚Š่ฒทๅŽ๏ผ‰ใงใ€ใ‚ตใƒใƒผใƒˆใ€ใ‚คใƒณใ‚ทใƒ‡ใƒณใƒˆๅฏพๅฟœใ€ใƒ•ใ‚ฉใƒฌใƒณใ‚ธใƒƒใ‚ฏ่ชฟๆŸปใ€่ฃฝๅ“้–‹็™บใชใฉใฎใ•ใพใ–ใพใชๅฎŸๅ‹™ใŠใ‚ˆใณใƒชใƒผใƒ€ใƒผใ‚ทใƒƒใƒ—ใฎๅฝนๅ‰ฒใ‚‚ๆžœใŸใ—ใพใ—ใŸใ€‚ ใ•ใ‚‰ใซใ€Philipsใ€Stanley Healthcareใ€Verintๅ„็คพใซ่ฒทๅŽใ•ใ‚ŒใŸใƒ†ใ‚ฏใƒŽใƒญใ‚ธใƒผใ‚นใ‚ฟใƒผใƒˆใ‚ขใƒƒใƒ—ใงใ‚‚้‡่ฆใชๅฝน่ทใ‚’ๅ‹™ใ‚ใฆใใพใ—ใŸใ€‚ ใพใŸใ€ใ‚ตใ‚คใƒใƒผใ‚ปใ‚ญใƒฅใƒชใƒ†ใ‚ฃใ€ITใ€AIใซๅบƒใŒใ‚‹25ๅนดไปฅไธŠใฎ็ตŒ้จ“ใ‚’ๆŒใฃใฆใ„ใพใ™ใ€‚ Guyใฏใ‚ขใƒฌใ‚ฏใ‚ตใƒณใƒ‰ใƒซใƒปใƒจใ‚ขใƒณใƒปใ‚ฏใ‚ถๅคงๅญฆใงใฎๅšๅฃซ่ซ–ๆ–‡็ ”็ฉถใฎๆœ€็ต‚ๆฎต้šŽใซใ‚ใ‚Šใ€ใ‚ฏใƒฉใ‚ฆใƒ‰ๅฐŽๅ…ฅใ€ใ‚ตใ‚คใƒใƒผใ‚ปใ‚ญใƒฅใƒชใƒ†ใ‚ฃใ€AIใฎ็›ธไบ’ไฝœ็”จใซ็„ฆ็‚นใ‚’ๅฝ“ใฆใฆใ„ใพใ™ใ€‚ ใ•ใ‚‰ใซใ€ใƒใ‚ฟใƒ‹ใƒคๅญฆ่ก“ๅคงๅญฆ้™ขใฎMBAใ€ใƒ›ใƒญใƒณๅทฅ็ง‘ๅคงๅญฆใฎๆŠ€่ก“็ฎก็†ใฎๅญฆๅฃซๅทใ€่ค‡ๆ•ฐใฎใ‚ตใ‚คใƒใƒผใ‚ปใ‚ญใƒฅใƒชใƒ†ใ‚ฃ่ชๅฎšใ‚’ๅ–ๅพ—ใ—ใฆใ„ใพใ™ใ€‚

Read More
Zohar Buber

Zohar Buber

Security Research Engineer

Cato Networksใ€Cato Research Labsใฎใ‚ปใ‚ญใƒฅใƒชใƒ†ใ‚ฃใ‚ขใƒŠใƒชใ‚นใƒˆใ€‚ใƒใƒƒใƒˆใƒฏใƒผใ‚ฏใƒ—ใƒญใƒˆใ‚ณใƒซใฎ่งฃๆžใจๆ‚ชๆ„ใฎใ‚ใ‚‹ใƒˆใƒฉใƒ•ใ‚ฃใƒƒใ‚ฏใฎๆคœ็Ÿฅใซ็„ฆ็‚นใ‚’ๅฝ“ใฆใ‚‹ใชใฉใ€ใƒใƒƒใƒˆใƒฏใƒผใ‚ฏใƒ™ใƒผใ‚นใฎๆ‰‹ๆณ•ใซใ‚ˆใ‚‹่„…ๅจใฎ็‰นๅฎšใ‚’ๅฐ‚้–€ใจใ—ใฆใ„ใพใ™ใ€‚

Read More
Shani Kurtzberg

Shani Kurtzberg

XDR Team Lead

ใ‚ทใƒฃใƒ‹ใƒปใ‚ฏใƒซใƒ„ใƒใƒผใ‚ฐ๏ผˆShani Kurtzberg๏ผ‰ใฏใ€Cato NetworksใฎXDRใƒใƒผใƒ ใƒชใƒผใƒ‰ใงใ‚ใ‚Šใ€Cato CTRLใฎใƒกใƒณใƒใƒผใงใ™ใ€‚่„…ๅจใ‚คใƒณใƒ†ใƒชใ‚ธใ‚งใƒณใ‚นใŠใ‚ˆใณXDRๆคœ็Ÿฅใ‚จใƒณใ‚ธใƒ‹ใ‚ขใƒชใƒณใ‚ฐใฎใ‚คใƒ‹ใ‚ทใ‚ขใƒใƒ–ใ‚’ไธปๅฐŽใ—ใฆใ„ใพใ™ใ€‚Catoใซๅ…ฅ็คพใ™ใ‚‹ๅ‰ใฏใ€ใ‚คใ‚นใƒฉใ‚จใƒซ็ฉบ่ป๏ผˆIAF๏ผ‰ใงใ‚ปใ‚ญใƒฅใƒชใƒ†ใ‚ฃใ‚ขใƒŠใƒชใ‚นใƒˆใจใ—ใฆๅ‹คๅ‹™ใ—ใ€้‡่ฆใชใ‚ทใ‚นใƒ†ใƒ ใ‚’ไฟ่ญทใ™ใ‚‹ใŸใ‚ใฎSOC้‹็”จใ‚’ไธปๅฐŽใ—ใพใ—ใŸใ€‚Peres Academic Centerใงใƒžใƒผใ‚ฑใƒ†ใ‚ฃใƒณใ‚ฐใจใƒ—ใƒญใƒ€ใ‚ฏใƒˆใƒžใƒใ‚ธใƒกใƒณใƒˆใ‚’ๅฐ‚้–€ใจใ™ใ‚‹็ตŒๅ–ถๅญฆไฟฎๅฃซๅท๏ผˆM.B.A.๏ผ‰ใ‚’ๅ–ๅพ—ใ—ใฆใ„ใพใ™ใ€‚

Read More