Time Table

近年、正規のリモート管理・監視（RMM）ツールを悪用する攻撃として、ManageEngine UEMSAgentを悪用した攻撃を複数観測しています。このような攻撃では正規署名・正規通信に紛れることで検知を回避する点で防御側にとって悩ましい手法です。本講演では、日本を標的に配布されたマルウェアの調査を起点に、統合管理製品 ManageEngine を”接点”として複数の攻撃インフラが結び付くインフラ分析の事例を紹介します。公開されているManageEngine サーバを調査し、そのうち複数のホストで ValleyRAT の C2 が同居していることを確認しました。これらの解析から既知の解析情報とは異なる新種の AtlasRAT ― rdesk/quickdesk へのリレー機能を備えた亜種 – が用いられていることを確認し、検体の解析も行なっています。一連のツール・標的・言語の特徴は「Silver Fox」と複数の点で整合しており、低から中の確度でSilver Foxの攻撃活動であると判断しています。

＜講演骨子＞

１．ManageEngineサーバの調査

２．インフラ分析で判明するValleyRATとAtlasRATの同居

３．配布サーバの調査でわかる新たな攻撃対象と通信先

４．AtlasRATの検体解析

Speakers:
大芝 大 NECセキュリティ株式会社 CTA事業部 CTIグループ
杉生 貴成 NECセキュリティ株式会社 CTA事業部 CTIグループ
前田 大輔 日本電気株式会社 サイバーインテリジェンスグループ