BatCloak 難読化エンジンを使用してマルウェアを検出されずに拡散
2022 年 9 月以降、BatCloak として知られるマルウェア難読化エンジンが、ウイルス対策システムに検出されずにさまざまな種類のマルウェアを配布するために利用されてきました。トレンドマイクロの研究者は、これらのサンプルにより、攻撃者は高度に難読化されたバッチ ファイルを使用して、多数のマルウェア ファミリやエクスプロイトを簡単にロードできると述べています。特に、発見された 784 個のアーティファクトのうち約 79.6% がすべてのセキュリティ ソリューションによって検出されず、BatCloak が従来の検出方法を回避できることを示しています。
ペイロードの難読化に使用されるバッチ ファイル
BatCloak エンジンは、Jlaive と呼ばれるすぐに利用できるバッチ ファイル ビルダー ツールで重要な役割を果たします。 Jlaive は、セキュリティ回避を強化するために、Antimalware Scan Interface (AMSI) のバイパス、メイン ペイロードの圧縮、暗号化などの機能を提供します。このオープンソース ツールは、2022 年 9 月に ch2sh という名前の開発者によって最初に GitHub と GitLab で共有されましたが、削除されましたが、「EXE to BAT crypter」として宣伝されていました。それ以来、クローンが作成され、変更され、Rust などの他のプログラミング言語に移植されてきました。
最終的なペイロードは、C# ローダー、PowerShell ローダー、バッチ ローダーの 3 つのローダー レイヤーを使用して隠蔽されます。バッチ ローダーは、各ステージをデコードして解凍するための開始点として機能し、最終的には隠れたマルウェアをトリガーします。バッチ ローダー内には、難読化された PowerShell ローダーと暗号化された C# スタブ バイナリが見つかります。研究者の Peter Girnus 氏と Aliakbar Zahravi 氏は、Jlaive がファイル難読化エンジンとして BatCloak を利用し、バッチ ローダーを難読化してディスクに保存していると説明しました。
BatCloak は継続的に更新される
BatCloak は、実際に出現して以来、複数の更新と適応が行われており、最新バージョンは ScrubCrypt です。フォーティネット FortiGuard Labs は、8220 ギャングが組織したクリプトジャッキング キャンペーンに関連して ScrubCrypt を強調しました。特に、ScrubCrypt は、Amadey、AsyncRAT、DarkCrystal RAT、Pure Miner、Quasar RAT、RedLine Stealer、Remcos RAT、SmokeLoader、VenomRAT、Warzone RAT などのさまざまな既知のマルウェア ファミリと互換性があるように設計されています。
