Salat-Stealer-Telegram-Proxy-Decoy-C2-Analysis

1. Telegramプロキシのデコイ – 偽装と回避

実行されると、Salat Stealerは完全に機能するTelegram Proxyインターフェースを表示します。このデコイは、ユーザーを正当なプロキシアプリケーションを実行していると思わせるためのカモフラージュとして機能し、その間マルウェアはバックグラウンドで悪意のある操作を実行します。

主な観察結果:

• インターフェース: ウィンドウは正当なTelegramプロキシクライアント（proxy.telegram.org）を模倣しています。
• ポート: 通常のトラフィックに紛れるためにポート443（標準HTTPSポート）を使用します。
• プロトコル: 正当に見せるためにMTProto 2.0（Telegramのプロトコル）が表示されます。
• 動作: 「Connect」をクリックすると接続が確立されますが、マルウェアのペイロードはバックグラウンドで既に実行されています。

これが重要な理由:

• カモフラージュ: ユーザーが無害なプロキシアプリだと疑う可能性が低くなります。
• 回避: セキュリティツールがプロセスを正当なTelegramトラフィックとして見落とす可能性があります。
• 永続性: ユーザーがウィンドウを閉じた場合でも、マルウェアは実行を継続できます。

参考画像:

Salat Stealerが悪意のある活動を偽装するために使用する偽のTelegramプロキシインターフェース。

2. 文字列解析 – C2アドレスとGo Build ID

この分析で最も重要な発見の1つは、バイナリの文字列セクションに平文のC2アドレスとGo Build IDが存在することです。この見落としにより、マルウェアのインフラストラクチャが明らかになり、その由来を追跡するのに役立ちます。

主な観察結果:

• C2アドレス:
  • j.sni.global.fastly.net – おそらくCDNベースのC2サーバーです。
  • ton.access.orbs.network – おそらくTONまたはOrbs Networkに関連し、暗号通貨ウォレットの窃取に使用されます。
• Go Build ID: soaSZ3gtdf5oZjHHPnzB/... – この一意の識別子は、マルウェアのビルド環境を追跡するために使用できます。

これが重要な理由:

• C2通信: これらのアドレスは、データの外部送信およびコマンド配信に使用されます。
• 追跡: Go Build IDは、このサンプルを他のバリアントやキャンペーンに関連付けるのに役立ちます。
• 検出: ネットワークセキュリティツールはこれらのドメインをブロックできます。

参考画像:

Process Hackerの文字列ビューで、C2アドレスとGo Build IDを表示しています。

3. トークン操作 – 権限昇格

Salat Stealerは、トークン操作を使用してシステムリソースへの完全なアクセスを自身に付与します。コードはFILE_ALL_ACCESS権限を持つセキュリティ記述子を構築し、マルウェアが重要なファイルを読み取り、書き込み、削除できるようにします。

このコードの動作:

• GetCurrentProcess() – 現在のプロセスのハンドルを取得します。
• TokenUser – ACL作成用にユーザーのSIDを取得します。
• TokenAppContainerSid – 該当する場合、AppContainer SIDを取得します。
• ConvertStringSecurityDescriptorToSecurityDescriptorW – 文字列ベースのACLをバイナリのセキュリティ記述子に変換します。
• FILE_ALL_ACCESS – ファイルとディレクトリに対する完全な制御を付与します。

これが重要な理由:

• 権限昇格: マルウェアはセキュリティ制限をバイパスできます。
• 永続性: 完全なアクセスにより、マルウェアはレジストリキーとシステムファイルを変更できます。
• 回避: 高い権限を使用すると、マルウェアはセキュリティツールから身を隠すことができます。

参考画像:

トークン操作とセキュリティ記述子作成コードのGhidraビュー。

4. 難読化されたペイロード – 暗号化されたメモリブロック

抽出されたPAGE_READWRITEメモリブロックの1つ（64 KB）には、高度に難読化されたデータが含まれています。16進ダンプには繰り返しパターンと構造化されたバイトが表示されており、これは暗号化された設定または圧縮されたペイロードである可能性が高いことを示しています。

主な観察結果:

• サイズ: 64 KB – 設定またはペイロードを含むのに十分な大きさです。
• パターン: 繰り返し構造（\x50\xd7\x5c\x22タイプのパターン）は、構造化された形式を示唆しています。
• 読み取り可能な文字列: 表示されず、データが暗号化または圧縮されていることを確認しています。
• 場所: 難読化されたマルウェアペイロードに典型的なPAGE_READWRITEメモリ領域で見つかりました。

これが重要な理由:

• ペイロード抽出: このブロックには、最終的なスティーラーコンポーネントまたはC2設定が含まれている可能性があります。
• 暗号化: データはおそらくXORまたはAESで保護されており、復号にはキーが必要です。
• 分析の課題: 難読化により直接的な静的解析が妨げられ、動的解析が不可欠になります。

参考画像:

64KBのPAGE_READWRITEメモリブロックからの難読化された16進データのBinary Ninjaビュー。

5. 2番目の難読化ブロック – トルコ語のエラーメッセージ

2番目のPAGE_READWRITEメモリブロック（32 KB）が分析され、トルコ語のエラーメッセージ: "vaya erişilmeye çalışıldı."（おおよそ「おっと、アクセスしようとしました。」）が含まれていることが判明しました。これは、マルウェア開発者がトルコ人であるか、サンプルがトルコ語圏の環境で開発されたことを示唆しています。

主な観察結果:

• サイズ: 32 KB – 前のブロックよりも小さいです。
• トルコ語の文字列: "vaya erişilmeye çalışıldı." – おそらくデバッグまたはエラーメッセージです。
• 難読化: ブロックの残りは高度に難読化または暗号化されています。
• 考えられるコンテキスト: ファイルアクセスまたはAPI呼び出しの失敗を示している可能性があります。

これが重要な理由:

• 開発者の出身: トルコ語の文字列は、作成者がトルコ人である可能性を示唆しています。
• デバッグの残骸: このメッセージは意図せず残された可能性があり、開発者の習慣が明らかになります。
• 脅威インテリジェンス: これは、このサンプルを他のキャンペーンに関連付けるのに役立ちます。

参考画像:

トルコ語のエラーメッセージを含む32KBの難読化ブロックのBinary Ninjaビュー。

結論

この分析により、検出を回避するためにTelegramプロキシのデコイを使用する、高度なGoベースの情報スティーラーであるSalat Stealerが明らかになりました。高度な難読化にもかかわらず、マルウェアは文字列セクションに重大な痕跡を残しており、C2アドレス、Go Build ID、トルコ語のエラーメッセージが明らかになっています。

重要なポイント:

• Telegramプロキシのデコイ: マルウェアはユーザーを欺くために、正当なTelegramプロキシに偽装します。
• C2インフラストラクチャ: j.sni.global.fastly.netやton.access.orbs.networkなどのドメインがデータの外部送信に使用されます。
• トークン操作: マルウェアはシステムリソースへの完全なアクセス（FILE_ALL_ACCESS）を自身に付与します。
• 難読化されたペイロード: 2つのPAGE_READWRITEメモリブロック（32KBと64KB）に暗号化または圧縮されたデータが含まれていることが判明しました。
• トルコ語のエラーメッセージ: "vaya erişilmeye çalışıldı."は、開発者がトルコ人である可能性を示唆しています。

検出に関する推奨事項:

• Telegramプロキシのデコイ動作を監視します。
• C2ドメインをブロックします: j.sni.global.fastly.net、ton.access.orbs.network。
• トークン操作とFILE_ALL_ACCESSの試行を検出します。
• 疑わしいプロセス内のPAGE_READWRITEメモリ領域を調査します。

サンプルのダウンロード

分析されたSalat Stealerサンプルは、ご自身で分析したい方のためにMalwareBazaarで入手できます:

🔗 MalwareBazaarのSalat Stealerサンプル

使用ツール: Ghidra, Binary Ninja, Process Hacker, WinDbg