JPCERT/CC Eyes

2021年1月28日に開催されたJSAC2021で、2014年から活動が確認されている韓国や日本の組織をターゲットにした攻撃グループ「LuoYu」についての発表がありました［1］［2］。今回は、JPCERT/CCが確認したLuoYuが使用するマルウェアWinDealerについてご紹介します。

マルウェアWinDealerの概要

マルウェアWinDealerは、感染したPCの各種情報を窃取し、C2サーバーへ送信する情報窃取型のマルウェアです。マルウェアの動作概要を図1に示しています。

図１：マルウェアWinDealerの動作概要

マルウェアWinDealerは起動初期にC:\ProgramData配下のファイルから設定情報をロードし、DLLモジュールを自身のメモリ上に展開します。マルウェアの機能として、PCの機器情報、ネットワーク設定、SNSアプリなどのデータを窃取し、%TEMP%配下に“.a”という拡張子でファイルを保存します。その後、保存されたファイルをC2サーバーへ送信します。
以降では、WinDealerの以下の機能について解説します。

• 設定情報の読み込み方法
• C2サーバーとの通信
• 窃取したデータの加工と送信処理
• メモリ上に展開されるモジュールの機能

設定情報の読み込み方法

マルウェアWinDealerの設定情報は、C:\ProgramData配下に複数のファイルに分かれて保存されており、実行時に読み込まれます。設定情報は、鍵を“b6a7%7486”としたXORベースのエンコードがされています。設定情報の各ファイルパスとその内容についてはAppendix Aをご覧ください。図2は、設定情報を読み込んだ際のデータをデコードする関数です。

図2：設定情報が格納されているファイルのデコード関数

C2サーバーとの通信

マルウェアWinDealerは下記の設定情報ファイルが存在した場合、それらのファイルから通信先を読み込み、C2サーバーと通信します。

• C:\ProgramData\ad5f82e8
• C:\ProgramData\1c76cbfe
• C:\ProgramData\9c3b6294

それらのファイルが存在しなかった場合、WinDealerは以下に示すどちらかの範囲のランダムなIPアドレスへ通信（宛先ポート6999/UDPか55556/TCP）します。一定時間ごとに、もう片方の範囲のランダムなIPアドレスへと通信先が切り替わることを確認しています。

• 113.62.0.0 - 113.63.255.255
• 111.120.0.0 - 111.123.255.255

C2サーバーとの通信フローを図3に示します。はじめにAESの鍵をRSA暗号にて暗号化し、配送します。二回目以降の通信では、配送したAES鍵を用いて窃取されたデータを暗号化し、一定間隔で送信します。その後、C2サーバーから送られてくるコマンドを受信し、コマンド実行結果を同じくAES鍵で暗号化し、送信します。また、この通信フロー以外の通信として、www[.]microsoftcomという現時点で存在しないドメインに対する通信や、icanhazip[.]comへの通信が確認されています。

図3:C2サーバーとの通信フロー

図4にAES鍵配送時の通信内容の例を示します。AES鍵とその鍵のCRC32チェックサムの値をRSA1024bitの公開鍵によって暗号化後、配送されます。なお、公開鍵は検体内にハードコードされており、類似検体でも同じ公開鍵がハードコードされていることを確認しています。

図4：AES鍵配送時の通信内容の例

2回目以降の通信では初回の通信で配送された、動的に生成されたAES鍵を用いてAES128bitのECBモードによってデータの暗号化を行い、通信します。なお、送受信の詳しいフォーマットについてはAppendix B をご参照ください。

窃取したデータの加工と送信

マルウェアWinDealerでは窃取した各種データを%TEMP%配下のフォルダーへ“.a”ファイルとして加工し、AESによる暗号化後に送信する機能を確認しています。データの窃取から送信までの流れを図5に示しています。各種データの窃取から加工までをモジュールが行い、C2サーバーへの送信をWinDealer本体が行います。

図5：マルウェアWinDealer本体とモジュールによるデータ送信までの流れ

モジュールによる“.a”ファイルの生成についてコードの一部を図6に示しています。

図6： DLLモジュールによる“.a”ファイルの生成部分

一度、窃取した各種データを“.t”の拡張子でファイルを作成し、“.a”の拡張子にリネームすることで“.a”ファイルが作成されることを確認しています。なお、加工される前の各種データはデータの種類に応じたディレクトリに保存されており、“.a”ファイルを作成する際にそれらのディレクトリから取り出されます。各ディレクトリの詳細についてはAppendix Eをご参照ください。
生成されるファイルへのアクセス時には図7に示す“YYYY”を鍵としたXORベースの関数によってエンコード・デコード処理が行われた後に書き込みや読み込みの処理が行われています。

図7：“.a”ファイルアクセス時のXORベースエンコードを行う関数

メモリ上に展開されるモジュールの機能

マルウェアWinDealerは起動初期に図8に示すように検体内にエンコードされたPE形式のDLLモジュールをメモリ上に展開し、実行します。

図8：エンコードされたモジュールデータ

はじめに自身のファイルパスを取得し、ファイルから0xFF3456FF00のバイト列を検索し、検索されたバイト列のオフセット0xEからデータを抽出します。その後、検索されたバイト列のオフセット0x4の値を用いて図9のXORをベースとしたデコードルーチンを介してDLLモジュールがメモリ上に展開され、実行されます。

図9：モジュールのデコード部分

展開されたDLLモジュールのDLL名は、MozillaDll.dllとなっています。また、Export関数は以下の3つがあります。

• AutoGetSystemInfo：各種データの窃取
• GetConfigInfo：設定情報の設定
• partInitOpt：コマンドの設定

展開されたDLLモジュールは、以下の内容を常時監視し、確認した関連ファイルを別名ファイルとして保存したり、送信するデータとして取得したりします。

• USBメモリに保存されたファイル
• マイドキュメントやデスクトップ、ゴミ箱配下のファイル
• 各種SNSアプリケーションに関連するフォルダー配下のファイル

なお、C2サーバーから受け取るコマンドとその内容の詳細についてはAppendix Dをご参照ください。

おわりに

今回は、攻撃グループLuoYuが使用するマルウェアWinDealerについて紹介しましたが、LuoYuはこれ以外にもさまざまなプラットフォームで動作するマルウェアを使用することで知られています。新しいマルウェアが確認された際は、報告したいと思います。
なお、今回解説したマルウェアの類似検体についてSHA256ハッシュ値をAppendix Fに記載しています。

インシデントレスポンスグループ　増渕 維摩

参考情報

［1］ “LuoYu” The eavesdropper sneaking in multiple platforms
https://jsac.jpcert.or.jp/archive/2021/pdf/JSAC2021_301_shui-leon_en.pdf

［2］ Japan Security Analyst Conference 2021 開催レポート ～3RD TRACK～
https://blogs.jpcert.or.jp/ja/2021/02/jsac2021report1.html

Appendix A WinDealerの設定情報

Appendix B WinDealer送受信データの内容

Appendix C WinDealerコマンド一覧

※パラメーター文字列：受信したコマンドデータからこれらの文字列をパースし、コマンドのパラメーターとして使用している

Appendix D 展開されるモジュールのコマンド一覧

※パラメーター文字列：受信したコマンドデータからこれらの文字列をパースし、コマンドのパラメーターとして使用している

Appendix E 生成されるディレクトリ一覧

Appendix F 類似検体のSHA256ハッシュ値

• EXE形式
  • 1e9fc7f32bd5522dd0222932eb9f1d8bd0a2e132c7b46cfcc622ad97831e6128
  • b9f526eea625eec1ddab25a0fc9bd847f37c9189750499c446471b7a52204d5a

• DLL形式
  • 0c365d9730a10f1a3680d24214682f79f88aa2a2a602d3d80ef4c1712210ab07
  • 2eef273af0c768b514db6159d7772054d27a6fa8bc3d862df74de75741dbfb9c