Trend Micro's report exposes PeckBirdy, a JavaScript-based C2 framework used by China-aligned APTs since 2023 and linked to modular backdoors (HOLODONUT, MKDOOR), stolen code-signing certificates, Cobalt Strike payloads, and exploits including CVE-2020-16040. Researchers analyzed 56 IoCs (domains, subdomains, IPs, WHOIS emails), confirmed many as illegitimate or previously weaponized, and published sample artifacts and full findings for download. #PeckBirdy #HOLODONUT

Cybersecurity researchers have uncovered a highly versatile JavaScript-based command-and-control (C&C) framework named PeckBirdy, actively used by China-aligned advanced persistent threat (APT) groups since 2023. This framework exploits living-off-the-land binaries (LOLBins) to infiltrate a wide range of environments, delivering modular backdoors like HOLODONUT and MKDOOR. Its operations have primarily targeted gambling industries across China and several Asian government and private organizations, highlighting the growing sophistication of modern APT operations.

高度なJScriptベースのコマンド＆コントロール（C&C）フレームワーク「PeckBirdy」は、2023年以降、リビング・オフ・ザ・ランド・バイナリ（LOLBins）を悪用して、多様な実行環境にわたりモジュール式バックドアを配布している。 このフレームワークは、SHADOW-VOID-044およびSHADOW-EARTH-045という2つの連携キャンペーンで確認されており、中国のギャンブル業界、アジアの政府機関、民間組織を標的に、HOLODONUTやMKDOORのバックドアを含む高度なマルウェアを用いて攻撃している。 PeckBirdyは、ブラウザ、MSHTA、WScript、Classic ASP、Node.js、.NET ScriptControlなど、複数の環境で実行できる能力によって際立っている。 このクロスプラットフォーム機能により、脅威アクターは、ウォータリングホールサーバーを介した初期侵害から、ラテラルムーブメント、永続的なバックドア運用に至るまで、攻撃チェーンのさまざまな段階で本フレームワークを展開できる。 このフレームワークは、レガシーシステムとの互換性を確保しつつ、最新環境もサポートするためにJScript（ECMAScript 3）を実装している。 実行時にPeckBirdyは、ブラウザ環境におけるwindowオブジェクトや、Node.js環境におけるprocessオブジェクトなどの固有オブジェクトを検出することで、ホスト環境を識別する。 この環境認識により、フレームワークは通信プロトコルと機能を動的に適応させることができる。 PeckBirdyは複数の通信方式をサポートし、最新環境ではWebSocketを優先する一方、より広い互換性のために、Flash ActiveXのTCPソケット、またはHTTPとAJAXに基づくComet/LocalCometプロトコルへフォールバックする。 通信プロトコルを判定するスクリプト（出典：TrendAI）。 すべての通信はBase64エンコードを伴うAESで暗号化され、暗号鍵は設定に埋め込まれた事前定義の32文字のATTACK_ID値に対応する。 連携キャンペーンの活動 SHADOW-VOID-044は、2023年に初めて特定され、中国のギャンブル関連ウェブサイトをスクリプト注入によって侵害し、被害者を偽のGoogle Chrome更新ページへリダイレクトして悪意あるバックドアを配布した。 さまざまなベクターで起動されるPeckBirdy（出典：TrendAI）。 インフラ分析により、ギャンブル分野を標的とする既知の脅威グループUNC3569との関連が明らかになり、中〜高の確度で帰属が示された。 2024年7月に観測されたSHADOW-EARTH-045は、認証情報の窃取を目的として注入されたログインページを通じ、アジアの政府機関および民間組織を標的にした。 このキャンペーンは、CVE-2020-16040というChromeの脆弱性を、ソーシャルエンジニアリング手法と併用して、ユーザーを欺きマルウェアを実行させた。 フィリピンの教育機関に影響したある事案では、攻撃者が侵害されたGitHubドメインに接続するMSHTAコマンドを実行し、Internet Information Servicesサーバー上でPeckBirdyを起動した。 このキャンペーンはEarth Baxiaとの潜在的な関連を示すが、帰属の確度は低いままである。 HOLODONUTは、NEXLOADとして追跡されているカスタムダウンローダーを介して展開される、.NETベースのモジュール式バックドアである。 このバックドアは、AMSIおよびETWイベントの無効化を含む防御回避手法に加え、プロセスメモリ内で.NETアセンブリをステルス実行するためのオープンソースツールDonutを使用する。 HOLODONUTは、運用要件に応じて脅威アクターが.NETアセンブリを動的にロード、実行、アンロードできるプラグインハンドラーをサポートする。 HOLODONUTのパケット種別（出典：TrendAI）。 MKDOORは、ダウンローダーとバックドアコンポーネントからなる2モジュールのバックドアシステムとして動作する。 ダウンローダーは、除外ルールを追加することでMicrosoft Defender を回避し、ネットワーク通信を正規のMicrosoftサポートトラフィックに偽装する。 C&CのURLは検知回避のためWindowsのアクティベーションページを模倣する。バックドアモジュールは、C&Cインフラから受信した追加モジュールのインストール、アンインストール、実行、管理のためのコマンドをサポートする。 SHADOW-VOID-044のインフラ調査により、UNC3569と以前関連付けられていたサーバー47.238.219.111上でGRAYRABBITバックドアが発見された。 このキャンペーンでは、韓国のゲーム企業から盗まれたコード署名証明書も使用され、Cobalt Strikeのペイロードに署名していた。これらの証明書は、Earth Luscaに関連するBIOPASS RATキャンペーンでも以前観測されている。 HOLODONUTのサンプルは、TheWizard APTグループが使用していた同一のC&Cサーバー（mkdmcdn.com）に接続しており、同グループはEarth Minotaurが開発したDarkNimbusバックドアも展開していた。 CVE ID 脆弱性の種類 影響を受けるソフトウェア CVSSスコア 悪用状況 CVE-2020-16040 データ検証の不備 Google Chrome 8.8（高） 積極的に悪用 緩和策 Trend Micro Vision Oneは、PeckBirdyキャンペーンに関連する侵害指標（IoC）を検知・ブロックし、脅威ハンティング用クエリとインテリジェンスレポートを提供する。 組織は、LOLBinsを介した不審なJScript実行を監視し、アプリケーションの許可リスト（allowlisting）を実装し、未署名または不審に署名された実行ファイルを精査し、異常なドメインへの暗号化通信に対するネットワーク監視を展開すべきである。 動的に生成されるJavaScriptフレームワークの検知は、実行時コード注入と最小限のファイル痕跡により依然として困難であり、行動分析とメモリベースの検知能力が求められる。 PeckBirdyの高度さは、APTアクターがクロスプラットフォームのフレームワークとLOLBinsを活用して従来のセキュリティ制御を回避しつつ、多様な標的環境にわたって運用上の柔軟性を維持するという、進化する脅威情勢を示している。 翻訳元:

中国に同調するハッカーは、2023年以降、PeckBirdyと呼ばれるJScriptベースのコマンド＆コントロール（C&C）フレームワークを武器化してきました。このツールは、MSHTAやWScriptといった正規ツール（LOLBins）を悪用し、ブラウザ、サーバー、ローカルマシンにまたがって実行されます。 これは、中国のギャンブルサイト、アジア各国政府、民間企業を標的にしたウォータリングホール攻撃、ラテラルムーブメント、バックドア配布を支えています。 Trend Microは、2つのキャンペーンSHADOW-VOID-044 とSHADOW-EARTH-045を追跡しており、これらを高度持続的脅威（APT）に結び付けています。PeckBirdyは、永続化のためにモジュール型バックドアHOLODONUTおよびMKDOORと組み合わされます。 Trend Microは2023年、中国のギャンブルサイトにスクリプトを注入するPeckBirdyを初めて確認しました。これらのページにアクセスした被害者はPeckBirdyをダウンロードし、偽のChrome更新ポップアップが表示されます。 これにより、ユーザーはだまされてバックドアを実行してしまいます。SHADOW-VOID-044と名付けられたこのキャンペーンは、C&CドメインやIPにわたり、Chromeの脆弱性であるCVE-2020-16040向けのエクスプロイトをホストしています。攻撃者はまた、盗まれた韓国の証明書で署名されたCobalt Strikeペイロードも使用します。 2024年7月、SHADOW-EARTH-045はアジアの政府機関および企業を攻撃しました。ハッカーは認証情報を窃取するため、ログインページにPeckBirdyを注入しました。 ある事例では、プライベートネットワーク上でMSHTAを用いてリモートアクセスを行い、別の事例ではScriptControlを備えた.NETツール経由で起動しました。PeckBirdyは適応的で、初期はウォータリングホール用サーバーとして、中盤はリバースシェルとして、後半は完全なC&Cとして機能します。 PeckBirdyは、単純なHTTPクエリを介してC&Cサーバーからランディングスクリプトを取得します。各通信は、カスタム設定のために32文字のATTACK_IDを使用します。 設定は、サーバー、ポート、リトライ、ハートビートを制御します。 通信はWebSocketで開始され、フォールバックとしてFlashソケット、Comet、またはAJAXが使用されます。初期化パケットは被害者の詳細を共有し、サーバーはAESで暗号化されたスクリプト（鍵：ATTACK_ID）を返します。 ハッカーはバックドアでPeckBirdyを拡張します。.NETインプラントであるHOLODONUTは、NEXLOADダウンローダー経由で展開されます。 これはXORでペイロードを復号し、Donutツールを用いてメモリ上で実行し、AMSI/ETWを無効化します。プラグインはC&C経由でロードされます。 MKDOORはダウンローダーとバックドアのモジュールに分かれます。ダウンローダーはペイロードを取得し、自身をDefenderの除外に追加し、/en-us/howtotell/default.aspxのようなMicrosoftのURLを模倣します。 バックドアは/en-us/windows/activate-windows-c39005d4-95ee-b91e-b399-2820fda32227を使用します。 SHADOW-VOID-044は、GRAYRABBITとの重複を通じてUNC3569に結び付けられ、WizardNet/HOLODONUTはTheWizardとの関連が示され、MKDOORはEarth LuscaのBIOPASS RATと一致する手法を示します。SHADOW-EARTH-045はIP 47.238.184.9を通じてEarth Baxiaを示唆します。両者は、中国に同調するAPTの連携を示しています。 PeckBirdyのJScript由来の特性は、ファイルやサンドボックスを回避することで検知を逃れます。TrendAI Vision One™はIOCを検出し、クエリとインテリジェンスを提供します。組織はLOLBinsの悪用をハンティングし、スクリプト注入を監視し、CVE-2020-16040を修正すべきです。 翻訳元: