DarkTortilla-RAT-Telegram-Exfiltration-Payload-Extraction-Analysis

1. クレジットカード窃取 – カードデータ抽出

Process Hackerのメモリ分析により、DarkTortilla RATがカード番号、有効期限、カード種別などのクレジットカード情報を標的にしていることが明らかになりました。

確認された主要な文字列:

• card_number_encrypted – 暗号化されたカード番号。
• expiration_month – 有効期限（月）。
• expiration_year – 有効期限（年）。
• Mastercard – Mastercardカードを標的にする。
• Visa – Visaカードを標的にする。
• Discover Card – Discoverカードを標的にする。
• Union Pay Card – Union Payカードを標的にする。
• American Express – American Expressカードを標的にする。

重要である理由:

• 金融データの窃取: マルウェアがクレジットカード情報を窃取します。
• 暗号化: card_number_encryptedは、データが外部送信前に暗号化されることを示唆しています。
• 広範な対応: 複数のカード種別（Visa、Mastercard、Discover、Union Pay、Amex）に対応しています。

視覚的参照:

クレジットカード関連の文字列（card_number_encrypted、Mastercard、Visaなど）を示すProcess Hackerビュー。

2. ブラウザデータ窃取とC2アドレス（Binary Ninja）

抽出された.binファイルのBinary Ninja分析により、DarkTortilla RATがブラウザプロファイルを標的にし、C2アドレスとしてshowip.netを使用していることが明らかになりました。

主要な観察結果:

• ブラウザプロファイル: Chrome、Edge、Firefox、Brave、Opera、その他多くのブラウザを標的にします。
• C2アドレス: showip.net – IP検出とC2通信に使用されている可能性が高い。
• メール正規表現: [A-Z0-9._%+-]+@[A-Z0-9.-]+\.[A-Z]{2,6} – メールアドレス抽出用。
• VBA関数: __vbaResume、__vbaAryVar、__vbaPutOwner4 – VBA/マクロの使用を示します（フィッシングの可能性）。

重要である理由:

• データ窃取: ブラウザプロファイル（Cookie、パスワード、履歴）を窃取します。
• C2通信: showip.netは被害者のIPを検出するために使用されます。
• メール抽出: この正規表現は、窃取したデータからメールアドレスを抽出するために使用されます。

視覚的参照:

ブラウザプロファイルのパスとshowip.net C2アドレスを示すBinary Ninjaビュー。

3. ブラウザ復号化とデータ保存

Binary Ninja分析により、DarkTortilla RATがブラウザの暗号化キーを標的にし、窃取したデータをエンコードされたファイルに保存することが明らかになりました。

主要な観察結果:

• ブラウザパス: Chrome、Edge、Brave、Avast Browserを標的にします。
• 暗号化キー: app_bound_encrypted_keyとos_crypt – 保存されたパスワードの復号に使用されます。
• 保存データ: C:\Users\Public\strEncodedData.txt – 窃取した認証情報が含まれている可能性が高い。
• VBScriptコード: Option Explicit、On Error Resume Next – 永続化または実行のためのVBScriptの使用を示します。

重要である理由:

• パスワード復号: ブラウザの暗号化キーを抽出・使用して、保存されたパスワードを復号します。
• データ保存: 窃取したデータは、後の外部送信のためにファイルに保存されます。
• 広範な標的: 複数のブラウザ（Chrome、Edge、Brave、Avast）に対応しています。

視覚的参照:

ブラウザパス、暗号化キー（app_bound_encrypted_key）、strEncodedData.txtを示すBinary Ninjaビュー。

4. SQLiteデータベースとカードデータ抽出

Process Hackerの文字列分析により、DarkTortilla RATがSQLiteデータベースを使用してブラウザの認証情報とクレジットカード情報を抽出することが明らかになりました。

主要な観察結果:

• ログインデータ: ブラウザのLogin Dataファイル（パスワード）を標的にします。
• SQLite関数: sqlite3_open、sqlite3_prepare_v2、sqlite3_step – データベースのクエリに使用されます。
• カード種別: 標的リストにCarte Blanche CardとDiners Club Cardを追加します。
• 出力: name_on_card、expiration_*、card_numberを抽出します。

重要である理由:

• 認証情報の窃取: ブラウザから保存されたパスワードを抽出します。
• SQLiteの使用: マルウェアが構造化データ（SQLiteデータベース）を読み取ることを可能にします。
• 広範なカバレッジ: 複数のカード種別（Visa、Mastercard、Amex、Diners Club、Carte Blanche）に対応しています。

視覚的参照:

SQLite関数とカード関連の文字列（Carte Blanche Card、Diners Club Card）を示すBinary Ninjaビュー。

5. Telegram、SMTP、FTPによる外部送信

Binary Ninja分析により、DarkTortilla RATが複数の外部送信チャネル（Telegram Bot、SMTP（メール）、FTP）を使用することが明らかになりました。

主要な観察結果:

• Telegram Bot: https://api.telegram.org/botと@StrBotToken、@ChatID – Telegramを介して窃取データを送信します。
• SMTP（メール）: CDO.Message、mail.mfcgroups.com、smtpserver、sendusername、sendpassword – メールを介してデータを送信します。
• FTP: @GateUrl、@StrFtpUser – FTPを介してデータをアップロードします。

重要である理由:

• 複数の外部送信チャネル: 1つのチャネルがブロックされてもデータが送信されることを保証します。
• Telegram: リアルタイムの通知とデータ配信。
• メールとFTP: 大容量ファイル向けの従来の外部送信方法。

視覚的参照:

Telegram Botトークン、SMTP設定、FTP関連の文字列を示すBinary Ninjaビュー。

結論

この分析により、広範なデータ窃取機能と複数の外部送信チャネルを組み合わせた高度なリモートアクセストロイの木馬であるDarkTortilla RATが明らかになりました。

主要な要点:

• クレジットカード窃取: カード番号、有効期限を標的にし、10種類以上のカード種別（Visa、Mastercard、Amex、Diners Clubなど）に対応。
• ブラウザデータ窃取: 20以上のブラウザ（Chrome、Edge、Firefox、Brave、Operaなど）からパスワード、Cookie、プロファイルを窃取。
• 暗号化バイパス: app_bound_encrypted_keyとos_cryptを使用してChrome/Edgeのパスワードを復号。
• SQLiteデータベース: ブラウザのLogin Dataファイルから構造化データを抽出。
• 外部送信: Telegram Bot、SMTP（メール）、FTPを介して窃取データを送信。
• C2アドレス: showip.net – IP検出とC2通信に使用。

検出に関する推奨事項:

• C2ドメインをブロック: showip.net、api.telegram.org（悪用された場合）。
• Telegram Botトークン（@StrBotToken、@ChatID）を監視。
• 不審なプロセスでのSQLite関数の使用（sqlite3_open、sqlite3_prepare_v2）を検出。
• app_bound_encrypted_keyとos_cryptへのアクセスを監視。

サンプルダウンロード

分析されたDarkTortilla RATサンプルは、独自の分析を行いたい方のためにMalwareBazaarで入手可能です:

🔗 MalwareBazaarのDarkTortilla RATサンプル

使用ツール: Process Hacker、Binary Ninja、x64dbg