GoldenSpyに直接先行するかたちで、中国で事業を行う企業のネットワークにひそかにアクセスするために別のマルウェアファミリが使用されていました。これはそのマルウェアであるGoldenHelperについての見識です。

調査の要点：

• Trustwave SpiderLabsは、中国の税務ソフトウェアに埋め込まれたマルウェアを発見しました。このマルウェアの作戦が活発に展開されていたのはGoldenSpy作戦に先立つ2018～2019年でしたが、中国の銀行からVAT（増値税）を支払うために要求されるGolden Tax Invoicing Software （Baiwang Edition）の中に現在も隠れています。
• この新たに発見されたマルウェアはGoldenSpyとはまったく異なるものですが、その手口はとても似ています。当社では、このマルウェアファミリをChinese National Golden Tax Project（訳注：中国税務機関専用の「増値税発票」発行システム（China Golden Tax System）を担当するプロジェクト）と主要なコマンドアンドコントロール（C&C）ドメインの1つであるhelp.tax-helper.ltdとの関連に基づいてGoldenHelperと名付けました。
• GoldenHelperは「Baiwang Edition」と呼ばれていますが、GoldenSpyマルウェアが埋め込まれたIntelligent Taxを開発したAisino Corporationの同じ子会社であるNouNou Technologiesによりデジタル署名されていました。
• GoldenHelperマルウェアは、そのデリバリ、プレゼンス、活動を隠すために高度な手法を駆使しています。GoldenHelperが使用する興味深いテクニックの一部には★、転送中の名前のランダム化、ファイルシステムのロケーションのランダム化、タイムストンプ、IPベースDGA（ドメイン生成アルゴリズム）、UAC回避手法と特権のエスカレーションが含まれます。
• Trustwaveの最新のテレメトリによれば、GoldenHelperは、taxver.exeと呼ばれる最終的なペイロードをドロップするように設計されています。Trustwave SpiderLabsは、まだこのファイルを入手していません。当社は読者のみなさまに支援を要請しており、このファイルに関する情報かサンプルを分析のために当社に提供していただける場合はgoldenspy@trustwave.com までご連絡ください。
• GoldenSpyマルウェアの最初のブログ記事はこちらをご参照ください。

Golden Tax Project

中国は、1994年に実施した大規模な財政改革において、企業に対しインボイスに表示された収益と支出との差額に対する税の支払いを要求する増値税（VAT）システムを導入しました。中国は、この同じ期間中に、増値税票発行の集中管理と税金詐欺対策に高度なソフトウェアを使用する「Golden Tax Project（金税プロジェクト）」（GTP）を、元中華人民共和国国務院総理の朱鎔基同志による陣頭指揮の下で立ち上げました。この目的が明確になったのは、Ministry of Electronics、Aerospace Industry Corporation、Ministry of Finance、State Administration of Taxationからの報告を聴いた後でした。

これは中華人民共和国の数多イ「Golden」PRCプロジェクトの1つである一方、第3段階にあり、2016年に開始したGolden Tax IIIとして知られています。2017年以降に完全導入され、VATインボイスのオンライン発行と、すべての電子インボイス発行をリンクしている集中管理されたバックエンドデータベースシステムへのアップロードが可能です。現時点で、インボイス発行システムの公式プロバイダーは.AisinoとBaiwangの2社のみです。

The Golden Gateway

2020年6月25日に、Trustwave SpiderLabsチームはGoldenSpyバックドアマルウェアに関するEmerging Threat Reportを発行しました。レポート全文では、現在進行中の攻撃は感知していない一方で、バックドアには重大な侵害につながりかねない、いくつかの特徴があると結論付けました。先にも記述しているようにGoldenSpyマルウェアは、利用が義務付けられているAisinoが開発したTax Softwareの一部としてインストールされます。GoldenSpyの疑わしい特徴をまとめると以下のとおりです：

• ひそかに行われるダウンロード。Intelligent Taxソフトウェアのインストールから2時間後。
• 自らの監視と再起動のための2つの自動起動サービス。
• 税務ソフトウェアをアンインストールしてもGoldenSpyバイナリはアンインストールされない。
• 税務ソフトウェアとは関連性のないドメインにトラフイックを誘導する。
• システムレベルの特権で稼働し、リモートでのコード実行を許可する。

Trustwave SpiderLabsのレポートが公表されてから、当社のチームは、Aisinoの税務ソフトウェアがアンインストーラーをダウンロードして実行し、GoldenSpyマルウェアのすべての証拠を削除することを発見しました。チームは再びTrustwave SpiderLabsブログ第２章（https://www.trustwave.com/ja-jp/resources/blogs/spiderlabs-blog/goldenspy-chapter-two-the-uninstaller/）を通してこの情報を一般の人々に公表しました。

これを疑わしいものにしている特徴は他にもいくつかあります：

• 6月28日 – 223.112.21.2:8090から、インターネット上に出回っていてプッシュ配信されるアンインストーラーが発見された
• 6月29日 – アンインストーラーがBase64エンコーデイングによって難読化されていた
• 7月1日 – Trustwave SpiderLabsがリリースしたYaraルールを回避するために、さらに難読化された新しいアンインストーラーがプッシュ配信された

TrustwaveがGoldenSpyに関する発表を行った後に、セキュリティコミュニテイから多くの人がTrustwaveに連絡してこられ、GoldenSpy関連のインテリジェンスをシェアしました。インテリジェンスに関するこのコラボレーションが続いたことから、Trustwave SpiderLabsチームは、悪意のあるコードを含む別のGolden Taxインボイス用ソフトウェアに気づくことができました。このソフトウェアはGoldenSpyと同様にAisinoにリンクしており、以下の疑わしい特徴を備えています：

• インストールしてSYSTEMレベルの特権にエスカレートするためのユーザーの許可が不要（UAC回避）
• ファイル名がランダムに生成される（難読化）
• 「作成」と「最終更新」タイムスタンプがランダムに生成される（タイムストンピング）
• .gif、.jpg、.zipを含む偽のファイルネームを使用して、実行可能ファイルをダウンロードしようとする （難読化）
• ダウンロード場所、対象、またダウンロード先の配置場所を、DNSによる名前解決の結果に基づいてコントロールするためのハードコード化されたロジック（DNSコントロール）

このマルウェアは、機能的にはGoldenSpyとは非常に異なるものですが、デリバリの手口はよく似ています。当社では、Golden Tax Projectとの関連性とそのtax-helperドメインC2インフラストラクチャに基づいて、これらの新しいサンプルをGoldenHelperと呼びます。このソフトウェアのインストールプロセスを以下に示します：

図 1: GoldenHelper 実行プロセスの流れ

このマルウェアは、3種類の.dllファイルを使用しています：

1. DLL – Golden Taxソフトウェアとインターフェースするため
2. DLL – Windowsセキュリテイを回避し特権をエスカレートするため
3. {random_name}.DAT – SYSTEMレベル特権のある任意のコードをダウンロードして実行するため

ダウンロードされ実行される最終的なペイロードであるtaxver.exeは、ファイルシステム上のいくつかの場所に配置可能と思われます。これまでのところ、Trustwave SpiderLabsはtaxver.exeのサンプルを調達できていません。当社では、この取り組みに対するコミュニティの支援を積極的に要請しています。taxver.exeに関する情報をお持ちの方か、サンプルを提供可能な方は以下までまでご連絡ください。goldenspy@trustwave.com

詳細なマルウェア分析は本レポートで後述します。

Golden Tax Projectは、中国の国家プログラムであり、中国で事業を行うすべての企業に影響します。Trustwaveは現在、Golden Taxソフトウェアの開発について承認を得ている企業としてAisinoとBaiwangの2つのみを把握しています。Trustwave SpiderLabsが、SYSTEMレベル特権で任意のコードをリモート実行できる隠されたバックドアを含むGolden Taxソフトウェアパッケージを発見したのは2例目です。

調査中にTrustwaveが知らされたところによれば、Golden Taxソフトウェアは銀行から提供されたスタンドアロンのシステムとして企業の環境内に展開されている可能性があります。複数の個人が、このGolden Taxソフトウェア（とGoldenHelper）がプリインストールされすぐに使える状態になっているWindows 7コンピューター（Homeエデイション）を実際に受け取ったと報告しています。この展開メカニズムは、「トロイの木馬」が物理的な形となって表れた例として興味深いものです。

重要なデータとインフラストラクチャを保護するセキュリティコミュニティとして忘れてはならない重要なことは、監視を続け、あらゆるオプションとリスクを個別に評価しなければならないということです。Trustwave SpiderLabsは、増値税票ソフトウェアの使用が政府により義務付けられているであることを理解しており、環境にゲートウェイを追加する可能性のあるサードパーティーアプリケーションをホストするシステムを隔離してその使用を厳密なプロセスと手順により厳しく監視することを推奨します。

GoldenHelper作戦のタイムライン

Trustwave SpiderLabs は、GoldenHelper作戦が現在実行されているとは考えていません。その理由は、このレポートに記載されているドロッパーメカニズムが使用するコマンドアンドコントロール（C&C）ドメインが、2020年1月に有効期限切れとなったからです。しかし、Trustwaveはこの攻撃の最終的なペイロードであるtaxver.exeのサンプルを入手できておらず、そのためこれが同じネットワークインフラストラクチャを利用しているか否かを確認できません。したがって、この攻撃の最終的なペイロードに含まれる脅威が引き続き有効である可能性があります。

下記のタイムラインは、GoldenHelper作戦に関連して現在確認されている日付を示しています。日付には、ドメインの登録と有効期限切れ、マルウェアサンプルの編集が含まれます。この作戦に関与している可能性が高いすべてのサンプルを回収できていません（最初に回収したskpc.dllはバージョン2.1.0.11でした）が、当社の分析によればGoldenHelperは2018年1月から2019年7月まで稼働していたことが明らかになりました。 そしてこれは、2020年4月のGoldenSpyキャンペーンの開始に直接つながります（Trustwave SpiderLabsがインシデントの詳細を公開したため、2020年6月に時期尚早にシャットダウンされます）。

図 2: GoldenHelper キャンペーンのタイムライン

GoldenHelper作戦が2019年7月に突然中止された理由は、はっきりとはわかりません。既知のサンプルでは、段階的なマルウェア開発サイクルが２０１８年初頭から２０１９年７月まで継続し、それに関連するドメインは有効期限切れとなった後に2020年1月にリリースされました。Skpc.exe （2.1.0.17）の最終バージョンがリリースされたのは2019年7月25日であり、そこに悪意のあるアーティファクトは含まれていなかったことに注意することが重要です。したがって、2019年7月以降BaiwangエディションのGolden Tax Invoicing Softwareをインストールしたユーザーは、この作戦の影響を受けない可能性があります。このtaxver.exe展開メカニズムはもはや有効ではないように見受けられますが、taxver.exeは引き続き有効である可能性があり、犠牲となる数えきれないほど多くのネットワーク上で運用上の脅威になり得ることを理解することが重要です。サンプルを入手するまで、taxver.exeの目的を知ることはできません。

2019年7月にGoldenHelperが終了した理由について、仮説を立てることはできます。下記の図は、2019年第1四半期におけるさまざまなサンプルの総ウイルス検出率を示しています。この期間中に、すべての図で検出率が大幅に上昇しています。Wmiasssrv.dllの検出率は、2019年1月には1/71（★アンチウイルスエンジン７１個中1個）であったのに対して、2019年3月には29/71（同71個中29個）となっています。同様に、RandomName.datは2019年1月にアンチウイルスエンジン71個中3個により悪意あるものとして特定され、2019年3月には同71個中26個によって同様に特定されました。当社では、アンチウイルスエンジンの検出能力の向上が、2020年1月のGoldenHelper作戦を中止するという決定に寄与したと考えています。

図 3: Wmiasssrv.dll – Detection increases on March 2019

図 4: RandomName.dat detection increases on March 2019

図 5: Skpc.dll 2.1.0.13 – Detection increases on April 2019

図 6: Skpc.dll 2.1.0.16 – Detection increases on June 2019

GoldenHelperの展開メカニズムはもはや有効ではないかもしれませんが、taxver.exeがもたらす総合的な脅威が今も存在するのか否かについては断定できません。GoldenHelper作戦の直後にはGoldenSpyが続いており、その一方でTrustwave SpiderLabsは、GoldenSpyの反復を速やかに特定し公開したことで作戦は中止されました。しかしながら、この脅威が中国で事業を行う企業を標的とする新しい手法に向けて進化し続けることに疑念の余地はありません。

taxver.exeとは何か?

GoldenHelper作戦は、taxver.exeと呼ばれる最終的なペイロードをSYSTEMレベル特権でひそかにダウンロードして実行するように設計されています。当社は現在このファイルのサンプルを持っておらず、その目的を述べることはできません。しかし、ハンターが考慮すべき重要な特徴がいくつかあります：

1. exe はネットワークトラフイックを探しても直接特定することはできない。ドロッパーが使用するアルゴリズムに基づいて、転送中は名前が変わる:
• jpg
• gif
• dat
• rar
• zip
2. 犠牲となるファイルシステムにコピーされると、taxver.exeという名前になる。しかしながら、ランダム化アルゴリズムにより、次のパスのどこにでも配置される可能性がある：
• "%WINDIR%\system32\taxver.exe
• "%WINDIR%"\debug\wia\taxver.exe
• "%WINDIR%"\debug\taxver.exe
• "%WINDIR%"\taxver.exe
• "%ALLUSERPROFILE%"\taxver.exe
• "%COMMONPROGRAMFILES%"\taxver.exe
3. taxver.exeのサンプルを持っておらず、悪意があることを確認できないが、正規のソフトウェアは以下を行わないことに注意することが重要である：
• UACバイパスを利用して、Windowsのセキュリティ制御を回避し、特権を昇格させます
• ファイルシステムの場所をランダム化する
• ネットワークトラフィック内で名前と真の性質を隠す
• バージョンネゴシエーションプロトコルの欠乏
• 正規のアップデートツールは、DNSレコードをオーバーライドするのではなく、この目的のために設計されたメインのコントロールプロトコルを持つ傾向がある

侵害証跡：ファイル

先述したように、当社ではGoldenHelper作戦は2018年1月から2019年７月まで有効であったと考えています。この期間中に、攻撃者はマルウェアにいくつかのバリエーションを作成しました。以下のリストに記載されているバージョンは、Trustwave SpiderLabsがこの作戦から回収できたサンプルのすべてですが、リストは完全ではない可能性があります。挙動に関しては、異なるバージョンの間に実質的な違いはありません。ただし、最後のSkpc.dll Version 2.1.0.17は例外であり、悪意あるアーティファクトは含まれていません。当社では、このバージョンがリリースされた時点でアンチウイルス検出率が上昇したために、GoldenHelper作戦が縮小を余儀なくされたのではないかと考えています。