JPCERT/CC Eyes

以前のJPCERT/CC Eyesで攻撃グループBlackTechが使用するLinux版マルウェアELF_TSCookieについて紹介しましたが、この攻撃グループは他にもLinux OS向けのマルウェアを使用することが分かっています。以前紹介したWindows OS向けマルウェアPLEADダウンローダがダウンロードするPLEADモジュールのLinux版マルウェア（ELF_PLEAD）が存在します。
今回は、Windows版マルウェア「PLEADモジュール」とLinux版マルウェア「ELF_PLEAD」を比較しながら、ELF_PLEADの特徴を紹介します。

PLEADモジュールとELF_PLEADの比較

ELF_PLEADはPLEADモジュールと同じコードを多く使用しているため、通信など機能の多くが類似しています。図1はELF_PLEADとPLEADモジュールのコードのメイン関数部分を比較した結果です。

このように処理の流れを比較するだけでも2つのマルウェアが類似していることがわかります。以降では、ELF_PLEADの次の特徴について説明します。

• 設定情報
• 通信方式
• 命令によって実行されるコマンド

設定情報

ELF_PLEADは、サイズ0x1AAの設定情報を持っています。図2は、設定情報の例です。設定情報内には通信先や、通信の暗号化に使用するキーなどの情報が含まれています。（設定情報の詳細はAppendix Aをご覧ください）

設定情報は、RC4で暗号化されており、暗号化された設定情報の前の32バイトが暗号化キーになっています。図3は、暗号化された設定情報と暗号化キーの例です。

通信方式

PLEADモジュールは、HTTPを利用してC2サーバーと通信をしていましたが、ELF_PLEADでは独自通信を使用しています。通信プロトコルは異なりますが、送信するデータのフォーマットや暗号化キーの交換方法などはほぼ同じです。図4は、ELF_PLEADの通信の流れを示しています。

ELF_PLEADとC2の最初の通信時にRC4キーの一部を交換します。その後の通信では、交換によって作成したRC4キーを使用して暗号化を行います。送信されるデータは、RC4で暗号化されて、さらにLZOで圧縮されています。（詳しい通信のフォーマットについては、Appendix Bをご覧ください。）

命令によって実行されるコマンド

ELF_PLEADは、大きく5つのコマンドグループが実装されています。以下は、実装されているコマンドグループ名です。（各グループの詳細な機能についてはAppendix Cをご覧ください。検体によってはコマンド番号が異なる場合があります。）

• CFileManager（グループ番号0）: ファイル操作関連のコマンド
• CFileTransfer（グループ番号1）: ファイル送受信関連のコマンド
• CRemoteShell（グループ番号2）: リモートシェル関連のコマンド
• CPortForwardManager（グループ番号3）: プロキシモード関連のコマンド
• 名前なし（グループ番号0xFF）: マルウェア制御関連のコマンド

PLEADモジュールのコマンドと比較すると、対応する機能がほぼ同じであることがわかります。

おわりに

攻撃グループBlackTechは、TSCookie、PLEAD、KIVARSなど多くのマルウェアを使用することで知られていますが、これらのマルウェアはWindows OSだけではなくLinux OSもターゲットにしています。BlackTechに関連するマルウェアがネットワーク内で発見された場合は、Linux環境も合わせて調査することをお勧めします。

インシデントレスポンスグループ 朝長 秀誠

Appendix A: 設定情報

※ 検体によって、設定情報のフォーマットが異なる場合があります。

Appendix B: 送受信データの内容

Appendix C: コマンド

Appendix D: 通信先

• mx.msdtc.tw

Appendix E: マルウェアのハッシュ値

• 5b5f8c4611510c11d413cb2bef70867e584f003210968f97e0c54e6d37ba8d8d
• ca0e83440b77eca4d2eda6efd9530b49ffb477f87f36637b5e43f2e428898766