PureRAT-msbuild.exe--C2-Extraction--Net-Evasion-Analysis

1. msbuild.exe の実行と C2 アドレス

Process Hacker によるメモリ分析により、PureRAT は msbuild.exe (正規の Microsoft ビルドツール) を介して実行され、複数の C2 サーバーに接続することが明らかになりました。

主な観察結果:

• 対象プロセス: MSBuild.exe (PID 2056)。
• C2 ドメイン: pure8s.ddnsfree.com
• C2 IP アドレス: 52.241.248.38
• レジストリキー: HKEY_CURRENT_USER\Software\95082F4ACEBFA802830...
• トルコ語文字列: Erişim izinlerinize izin verilmeyen bir... (アクセス拒否エラーメッセージ)。

これが重要な理由:

• Living Off the Land: msbuild.exe は実行に悪用される正規のツールです。
• C2 の冗長性: ドメインと IP アドレスの両方が通信に使用されています。
• 永続化: レジストリキーは永続化メカニズムを示しています。

視覚的参照:

msbuild.exe の文字列に C2 ドメイン (pure8s.ddnsfree.com) と IP (52.241.248.38) が含まれていることを示す Process Hacker のビュー。

2. .NET 操作と回避技術

msbuild.exe の Process Hacker メモリ分析により、PureRAT が検出を回避するために .NET 操作と回避 API を使用していることが明らかになりました。

観察された主要な文字列:

• DisableNativeImageLoad – ネイティブイメージの読み込みを無効化 (回避)。
• FlsSetValue / FlsGetValue – Fiber Local Storage (アンチデバッグ)。
• OpenProcessToken / GetTokenInformation – トークン操作 (権限昇格)。
• CreateBoundaryDescriptorW – 境界記述子の作成 (サンドボックス回避)。
• mscordacwks.dll – .NET デバッグ DLL (デバッグ回避の可能性)。
• AssemblyPath / BindingConfiguration – .NET アセンブリの読み込み。
• WerRegisterRuntimeExceptionModule – エラー報告の操作。
• AttachThreadAlwaysOn – スレッドのアタッチ (インジェクション)。

これが重要な理由:

• .NET 操作: AssemblyPath と BindingConfiguration は .NET の使用を裏付けています。
• 回避: DisableNativeImageLoad と CreateBoundaryDescriptorW は検出回避に役立ちます。
• 権限昇格: OpenProcessToken はトークン操作を可能にします。
• アンチデバッグ: FlsSetValue と AttachThreadAlwaysOn は分析を複雑にします。

視覚的参照:

DisableNativeImageLoad、OpenProcessToken、その他の回避 API を示す Process Hacker のビュー。

3. DisableNativeImageLoad – .NET アセンブリと XML 操作

保存された DisableNativeImageLoad コードの Binary Ninja 分析により、PureRAT が .NET アセンブリ操作と XML ベースのデータ構造を使用していることが明らかになりました。

観察された主要な文字列:

• MicrodomImplementation – Microsoft XML DOM 実装。
• CreateMicrodomSource – XML DOM ソースの作成 (設定)。
• DsiGBufferedStream – データ処理用のバッファ付きストリーム。
• CRTIXMLDSIGBaseHasher – XML デジタル署名ハッシュ。
• CRTIXMLDSIGEnvelopedSignatureTransformer – XML 署名変換。
• AssemblyPath – .NET アセンブリパス。
• BindingConfiguration – .NET バインディング設定。

これが重要な理由:

• .NET の使用: PureRAT が .NET ベースの RAT であることを裏付けています。
• XML 操作: 設定とデジタル署名に XML を使用しています。
• データ処理: DsiGBufferedStream は大規模なデータストリームを処理します。
• 回避: DisableNativeImageLoad はネイティブイメージの読み込みを防ぎ、分析を複雑にします。

視覚的参照:

MicrodomImplementation、DsiGBufferedStream、XML 署名 API を示す Binary Ninja のビュー。

4. DisableNativeImageLoad (続き) – ファイルシステムと CDF 操作

このセクションは、前のセクションの DisableNativeImageLoad コードの Binary Ninja 分析の続きです。PureRAT が使用するファイルシステム操作と CDF (Component Definition File) 操作を明らかにします。

主な観察結果:

• ファイル操作: DeleteFile、QueryAttributesFile、QueryDirectoryFile、WriteFile、ReadFile、CopyFile、CreateHardLinkOrCopyFile、CreateFile – 完全なファイルシステム制御。
• CDF 検証: (ReferenceIdentityList != 0) || (CurrentPosition == 0) – CDF 参照を検証します。
• CDF フラグ: (NewCdf->Flags & ~((0x00000001) | (0x00000002))) == 0 – CDF フラグをチェックします。
• パス操作: CreateFile(da={da}, oa={oa}, fa={fa}, sa={sa}, cd={cd}, co={co}):(st={st}.h={h}) – ファイルパスを動的に構築します。

これが重要な理由:

• ファイルシステム制御: マルウェアはファイルの作成、読み取り、書き込み、削除が可能です。
• CDF 操作: 設定と ID 管理に使用されます。
• 回避: 動的なパス構築は検出回避に役立ちます。

視覚的参照:

ファイル操作、CDF 検証、動的パス構築を示す Binary Ninja のビュー。

5. .NET リモーティングとプロキシ操作

msbuild.exe の Process Hacker メモリ分析により、PureRAT がプロセス間通信とコードインジェクションのために .NET リモーティングとプロキシ API を使用していることが明らかになりました。

観察された主要な文字列:

• GetServerDomainIdForProxy – プロキシのサーバードメイン ID を取得します。
• RegisterAssembly – .NET アセンブリを登録します。
• CreateProxyForDomain – ドメインのプロキシを作成します。
• MarshalToBuffer / UnmarshalFromBuffer – データをシリアル化/逆シリアル化します。
• GetLocalSignature – ローカル署名を取得します。
• ThrowException – 例外をスローします (エラー処理)。
• UnsafeCast / UnsafeEnumCast – 安全でない型キャスト (回避)。
• ExecuteBackoutCodeHelper – バックアウトコードを実行します。

これが重要な理由:

• .NET リモーティング: GetServerDomainIdForProxy はリモーティングの使用を裏付けています。
• プロキシ操作: CreateProxyForDomain は IPC を可能にします。
• データシリアル化: MarshalToBuffer と UnmarshalFromBuffer はデータを処理します。
• 回避: UnsafeCast と UnsafeEnumCast は型安全性のバイパスに役立ちます。

視覚的参照:

GetServerDomainIdForProxy、RegisterAssembly、その他のリモーティング API を示す Process Hacker のビュー。

6. GetServerDomainIdForProxy – HTTP、COM、分離ファイルシステム

このセクションは、前のセクションの GetServerDomainIdForProxy コードの Binary Ninja 分析の続きです。PureRAT が使用する HTTP 通信、COM (Component Object Model) の使用、分離ファイルシステム操作を明らかにします。

主な観察結果:

• HTTP 通信: Content-Type: %s Content-Length: %d Accept: %s – C2 通信に使用されます。
• COM メモリ: CoTaskMemAlloc と IsolationImplementation::Com – COM オブジェクト用のメモリを割り当てます。
• CLSID 割り当て: *ppClsid = (CLSID *)... – COM クラス識別子を割り当てます。
• 分離ファイルシステム: IsolatedFilesystemObject と RtlIsIsolatedFilesystemObjectHandleValid – 分離ファイルシステムハンドルを検証します。

これが重要な理由:

• C2 通信: HTTP ヘッダーは Web ベースの C2 を裏付けています。
• COM の使用: COM オブジェクトはシステムレベルの操作を可能にします。
• 分離ファイルシステム: セキュリティツールからファイル操作を隠すために使用されます。

視覚的参照:

HTTP ヘッダー、COM メモリ割り当て、CLSID 割り当て、分離ファイルシステム API を示す Binary Ninja のビュー。

結論

この分析により、msbuild.exe を介して実行され、高度な .NET 回避技術を使用する洗練されたファイルレス RAT である PureRAT が明らかになりました。

主なポイント:

• ファイルレス実行: msbuild.exe を介して完全にメモリ内で実行されます。
• C2 インフラストラクチャ: pure8s.ddnsfree.com と 52.241.248.38 に接続します。
• .NET 回避: DisableNativeImageLoad と OpenProcessToken を使用します。
• ファイルシステム制御: 完全なファイル操作 (DeleteFile、WriteFile、ReadFile、CopyFile、CreateFile)。
• CDF 操作: CDF (Component Definition File) 参照を検証および操作します。
• HTTP、COM、分離ファイルシステム: HTTP ヘッダー、COM メモリ割り当て、分離ファイルシステム API を使用します。
• 永続化: スタートアップ VBScript とレジストリキー (HKEY_CURRENT_USER\Software\95082F4ACEBFA802830...)。

検出に関する推奨事項:

• C2 ドメイン pure8s.ddnsfree.com と IP 52.241.248.38 をブロックする。
• msbuild.exe が異常なコマンドを実行していないか監視する。
• DisableNativeImageLoad と OpenProcessToken の呼び出しを検出する。
• msbuild.exe からのファイル操作を監視する。
• スタートアップフォルダに不審な VBScript ファイルがないか確認する。

サンプルのダウンロード

分析された PureRAT サンプルは、独自の分析を行いたい方向けに MalwareBazaar で入手可能です:

🔗 MalwareBazaar の PureRAT サンプル

使用ツール: Process Hacker、Binary Ninja、x64dbg