Noodle RAT の脅威にコンピュータを乗っ取られないようにする

Noodle RAT は最近発見されたクロスプラットフォームマルウェアで、中国語圏の脅威アクターによってスパイ活動とサイバー犯罪の両方に使用されています。当初は Gh0st RAT と Rekoobe の亜種であると考えられていましたが、現在では別の種類のマルウェアとして認識されています。

Table of Contents

背景と進化

2016 年 7 月に初めて特定された Noodle RAT (別名 ANGRYREBEL または Nood RAT) には、Windows および Linux システム用のバージョンがあります。2008 年に出現した Gh0st RAT は、中国政府のハッカーの代表的なツールです。長年にわたり、Gh0st RAT、PlugX、ShadowPad などのツールがサイバー攻撃で広く使用されてきました。

Windows バリアント

Windows 版の Noodle RAT は、Iron Tiger や Calypso などのハッキンググループが使用するメモリ内モジュールバックドアです。ローダー経由で起動され、ファイルのダウンロード/アップロード、追加のマルウェアの実行、TCP プロキシとしての動作、自己削除など、さまざまなコマンドをサポートします。タイとインドへの攻撃では、MULTIDROP と MICROLOAD という 2 つのローダーが確認されています。

Linux バリアント

Noodle RAT の Linux 版は、Rocke や Cloud Snooper など、中国と関係のあるさまざまなサイバー犯罪グループやスパイグループによって使用されています。この亜種は、リバースシェルを起動し、ファイルをダウンロード/アップロードし、実行をスケジュールし、SOCKS トンネリングを開始することができます。攻撃では通常、公開アプリケーションの既知のセキュリティ上の欠陥を悪用してサーバーに侵入し、リモートアクセス用の Web シェルを展開します。

共通点と指揮統制

コマンドは異なりますが、Windows 版と Linux 版はどちらも、コマンドアンドコントロール (C2) 通信用の同一のコードと類似の構成フォーマットを共有しています。さらに分析すると、Noodle RAT は Gh0st RAT のプラグインを再利用し、Rekoobe とコードを共有していますが、依然として独自のマルウェアであることがわかります。

開発と流通

トレンドマイクロの調査により、Noodle RAT の Linux 亜種用のコントロールパネルとビルダーが明らかになりました。簡体字中国語のリリースノートには、活発な開発とメンテナンスが行われていることが示されています。このマルウェアは、民間企業と国家支援の攻撃者が関与する、中国のサイバースパイエコシステムの複雑なサプライチェーン内で開発、メンテナンス、販売されている可能性があります。