Loading...
- 侵害の兆候の詳細については、SentinelOne の元のレポートを参照してください。 * エグゼクティブ サマリー ----------------- - SentinelLabs は、AI とゲームに重点を置いた組織を標的とする新しいサイバー犯罪脅威グループ NullBulge を特定しました。 - 2024 年 7 月、このグループは Disney の社内 Slack 通信から盗まれたとされるデータを公開しました。 - NullBulge は、GitHub と Hugging Face の公開リポジトリ内のコードを兵器化し、被害者が悪意のあるライブラリをインポートするように誘導するか、ゲームやモデリング ソフトウェアで使用される mod パックを介して、ソフトウェア サプライ チェーンを標的にしています。 - このグループは、漏洩した Lockbit Black ビルダーを使用して構築された LockBit ペイロードを配信する前に、Async RAT や Xworm などのツールを使用します。 - NullBulge は、攻撃者が金銭的利益のためにハクティビストの目的を採用するランサムウェア エコシステムの変化を示しています。 概要 -------- 2024 年 4 月から 6 月の間に、AI 中心のアプリケーションとゲーム コミュニティのユーザーを標的とする NullBulge グループが出現しました。 NullBulge という人物は、これらのツールやプラットフォームを標的としたマルウェアを配布する独創的な手法を披露してきました。このグループは「世界中のアーティストを保護する」と主張する活動家としてのイメージを演出し、利益ではなく芸術擁護、AI 反対の理念に動機付けられていると主張していますが、この脅威アクターに関連する他の活動を見ると、そうではないことがうかがえます。
NullBulge のロゴ (2024 年 7 月) 
NullBulge の DLS One サービス経由のサービスは、「ハニーポットと悪意のある MOD による見返り」と表現されています。このグループは、一般的に使用されている AI アート関連のアプリケーションやゲームの拡張機能や変更を標的にすることで、この主張を実現しています。これは最近彼らが主に注力している分野であり、さまざまなマルウェア ペイロードを配信しています。NullBulge の攻撃は「井戸に毒を盛る」という特徴があります。このグループは、正当なソフトウェア配布メカニズムに悪意のあるコードを挿入することでソフトウェア サプライ チェーンをターゲットにし、GitHub、Reddit、Hugging Face などの信頼できるプラットフォームを悪用して攻撃範囲を最大化します。NullBulge は、独自の DLS/ブログ サイトや、時折 4chan スレッドでリークを発表します。さらに、このグループはカスタマイズされた LockBit ランサムウェア ビルドを使用して、攻撃の影響を最大化しています。この記事では、NullBulge グループの悪意のある活動の概要と、LockBit ペイロードの技術的な詳細について説明します。 Discord、Reddit、GitHub コードの配布 ------------------------------------------- NullBulge グループは、2024 年 5 月から 6 月にかけて、AI ツールとプラットフォームのサプライ チェーンを標的とした一連の悪意のあるキャンペーンを実行しました。これには、GitHub の ComfyUI_LLMVISION 拡張機能の侵害が含まれます。さらに、脅威アクターは、Hugging Face と Reddit の BeamNG モッドを通じて悪意のあるコードを配布しました。GitHub 中心 (ComfyUI_LLMVISION) キャンペーンと Hugging Face 中心のキャンペーンは、Discord Webhook を介してデータを盗み出す Python ベースのペイロードが特徴です。グループの他のキャンペーンでは、Async RAT や Xworm など、さらに多くのマルウェアが配布されました。
悪意のあるライブラリの GitHub リポジトリ これらのキャンペーンの結果、Discord Webhook を介してデータを収集して送信する悪意のある Python スクリプトが作成されました。脅威アクターは、同梱の 'requirements.txt' ファイルを変更してカスタム Python ホイールを追加し、Anthropic および OpenAI のライブラリの事前コンパイル済みの悪意のあるバージョンを統合しました。たとえば、悪意のあるホイールは、OpenAI ライブラリ (1.16.3) の偽バージョンを 参照 しています。これらのトロイの木馬化されたライブラリには、ネットワーク セキュリティ サービス (NSS) を介して Chrome および Firefox ブラウザー データを収集して記録する Python コード (例:Fadmino.py) が含まれています。admin.pyなどの追加のスクリプトは、Discord Webhook URL を介してデータを解釈して送信するために使用されます。
admin.py と暗号化された Discord URL これらのキャンペーンでは、admin.pyとFadmino.pyが連携してローカルの機密システム データを収集し、データを整理して準備し、最後に、収集したデータを Discord Webhook URL への HTTP POST リクエストを介して外部サーバーに送信しました。
cadmino.py 拡張データ収集スクリプト これらのスクリプトの一般的なフローは次のとおりです。 1. データの検出/抽出: admin.pyとFadmino.pyは、ブラウザーのログイン データ (Chrome および Firefox のユーザー名とパスワード) を収集します。 2. データ集約:admin.pyと Cadmino.py は、データを収集、解析、抽出します。Cadmino.py は、データ検出を拡張して、インストールされているアプリケーションに加えて、地理情報と拡張システム情報も含めます。これには、セキュリティ製品と財務データに関するデータが含まれます。 3. データ転送:admin.pyは、暗号化された Discord Webhook から転送 URL を構築し、実際の抽出を実行します。
admin.py から復号された Discord URL NullBulge グループは、Hugging Face 経由で悪意のあるコードも配布しています。これには、悪意を持って作成されたツール「SillyTavern Character Generator」と「Image Description with Claude Models and GPT-4 Vision」が含まれます。これらのツールには、ComfyUI_LLMVISIONリポジトリの侵害で見られたアプローチと同様の方法で、悪意のある依存関係が含まれています。これらのキャンペーンで配信された悪意のあるペイロードは、悪意のあるホイールを使用するComfyUI_LLMVISIONリポジトリで 確認されたものと同じように機能します。
HuggingFace 経由の配布 AppleBotzz アイデンティティ ----------------------- GitHub および Hugging Face リポジトリ中心の攻撃では、AppleBotzz アイデンティティは、侵害されたリポジトリの両方と ModLand の投稿でコードをホストするために使用されています。一部の ディスカッション では、AppleBotzz と NullBulge の脅威アクターが同一人物である可能性に焦点が当てられました。 NullBulge は、ComfyUI_LLMVISIONGitHub リポジトリがアクティブである間、それを制御していると主張しています。そのリポジトリには悪意のないコードが投稿されたことは一度もなかったため、AppleBotzz と NullBulge が本当に別の組織であるかどうかについて 懐疑的 になっています。NullBulge はブログで、両者は別の組織であり、ComfyUI_LLMVISIONGitHub リポジトリの元の管理者は以前このグループによって侵害されたことがあると発表しました。その結果、元の管理者の認証情報が侵害され、NullBulge の脅威アクターは GitHub リポジトリに悪意のあるコードを投稿できるようになりました。
AppleBotzz IDに関するNullBulgeの声明 脅威アクターは、オリジナルのComfyUI_LLMVISIONGitHubに同様の声明を投稿しました:
ComfyUI_LLMVISION GitHubのアーカイブされた声明 AppleBotzz IDは、ModLandや、悪意のあるBeamNG modを拡散するために使用される同様のプラットフォームでも使用されました。脅威アクターは、Hugging Face、GitHub、ModHub、ModLandなどのプラットフォームで、以前AppleBotzzが管理していたすべてのアカウントを乗っ取ることができたと主張しています。より可能性の高いシナリオは、マルウェアのステージングと配信プロセスの中心となるAppleBotzz IDをNullBulgeが管理しているというものです。ただし、現時点ではこの仮説を確認するのに十分な証拠はありません。 マルウェア配信 | Async RAT および Xworm -------------------------------------- NullBulge は、オープンワールド サンドボックス環境でソフトボディ フィジックスを使用して車両のダイナミクス、衝突、変形をリアルにモデル化する車両シミュレーション ゲームである BeamNG のユーザーをターゲットにしています。 2024 年 6 月 4 日に、BeamNG コミュニティ フォーラムに「BeamNG の mod はもう安全ではない」というスレッドが投稿され、BeamNG の特定の mod に関する新たな懸念が強調されました。 この侵害は、Eric Parker の YouTube 動画でさらに 詳細に 説明されました。この攻撃は、BeamNG の mod ファイルで配信された悪意のある LUA コードから発生したと 説明 されています。難読化された PowerShell が mod ファイルに挿入され、その後 Async RAT または Xworm がダウンロードされ、カスタマイズされた LockBit ペイロードが展開されました。トロイの木馬化された mod の最初の配布は、脅威アクターが設定したソーシャル メディア プロファイル全体の base64 エンコード リンクを介して行われます。悪意のある mod は、ModLand や同様の BeamNG 関連コミュニティを介しても配布されました。 
悪意のある ModLand の投稿、AppleBotzz の ID 
悪意のある BeamNG mod 配布用の Base64 エンコードされたリンク これらのエンコードされたリンクは、modsfire や Pixeldrain などのさまざまなサービスでホストされている悪意のあるリンクをデコードします。例は次のとおりです。 https[:]//modsfire[.]com/IzozIsm52J72cWM https[:]//modsfire[.]com/1Nhyzs0OpLDu204 https[:]//modsfire[.]com/IzpzklsmT2jz7W1 http[:]//pixeldrain[.]com/api/file/HnEcyLBm https[:]//pixeldrain[.]com/api/file/SoRcBJnZ これらの現在は機能していないリンクは、Async RAT ペイロードにつながっていました。悪意のある BeamNG MOD は、BeamNG に焦点を当てたフォーラムやサブレディット全体にトレントまたは zip アーカイブを介して配布されました。悪意を持って作成された MOD には、BeamNG による MOD の取り込み 時に実行される Lua コードが含まれています。悪意のある Lua コードは、BeamNG モジュールにパッケージ化されたさまざまな Lua「拡張機能」内に配置されます (例: VersionCheck.lua: 5c61e08914d4108aa52401412a61ddbbb68ca7cc)
悪意のある BeamNG モジュール内の難読化された Powershell Lua ファイルには、base64 でエンコードされた PowerShell が含まれており、これをデコードすると、Async RAT サンプルがダウンロードされて実行されます (Invoke-WebRequest経由)。前の画像の特定の文字列は、以下のダウンロード要求にデコードされます。
この場合、Async RATインスタンスはpixeldrain[.]comアドレスからダウンロードされ、BeamNG.UI.exeというプロセス名で実行されます。 カスタムLockBitペイロード ----------------------- NullBulgeは、後期感染として、AsyncおよびXwormの被害者にLockBitランサムウェアペイロードを配信しています。 攻撃のこの部分については、前述のEric Parkerビデオでも説明されています。 NullBulge ペイロードは、カスタマイズされた構成ファイル (config.json) とは別に、LockBit 3.0 (別名 LockBit Black) ビルダーを使用して構築されます。SHA1: bca6d4ab71100b0ab353b83e9eb6274bb018644e 名前: LockBit3Builder.zip NullBulge は、config.jsonとともに、builder.exe、keygen.exe、およびbuild.bat(ペアになった暗号化および復号化の実行可能ファイルの自動ビルド用のバッチ ファイル) を使用して構築されます。Build.bat(804a1d0c4a280b18e778e4b97f85562fa6d5a4e6) も、LockBit 3.0/LockBit Black ビルダーの標準のリークされたバンドルから変更されていません。
NullBulge ビルダー アーカイブからの修正されていない build.bat config.json(705d068fb2394be5ea3cb8ba95852f4a764653a9*)* ファイルには、ペイロード UID の設定と、ペイロードのビルド時に制御されるすべての動作コンポーネントが含まれています。これには、次の構成設定が含まれます: "encrypt_mode": "auto", "encrypt_filename": false, "impersonation": true, "skip_hidden_folders": false, "language_check": false, "local_disks": true, "network_shares": true, "kill_processes": true, "kill_services": true, "running_one": true, "print_note": true, "set_wallpaper": true, "set_icons": true, "send_report": false, "self_destruct": true, "kill_defender": true, "wipe_freespace": false, "psexec_netspread": false, "gpo_netspread": true, "gpo_ps_update": true, "shutdown_system": false, "delete_eventlogs": true, "delete_gpo_delay": 1 提供されている構成では、暗号化はfastモードではなくautoに設定されています。ローカル ボリュームの標準暗号化に加えて、ネットワーク共有を暗号化するオプションも有効になっています。マルウェアは、実行後に自己削除し、接続されたプリンターに身代金要求メッセージを送信するようにも設定されています。設定では、暗号化に含めるまたは除外するファイルとフォルダー、および終了するプロセスも概説されています。身代金要求メッセージの内容は、config.jsonファイルで定義されています。
NullBulge config.json 身代金要求メッセージの作成も、NullBulge を識別する変更を加えてカスタマイズされる config.jsonファイルによって処理されます。
NullBulge 身代金要求メモの設定 データ漏洩サイトと最近の標的 ------------------------------------ NullBulge には複数のアクティブな漏洩サイトがあります。最初の .comサイトと.onionサイトは 2024 年 5 月下旬に稼働しました。2024 年 7 月現在、.seドメインと.coドメインはアクティブで、継続的に更新されています。それらのドメインには以下が含まれます。 group.goocasino[.]org nullbulge[.]com nullbulge[.]se nullbulge[.]co nullblgtk7dwzpfklgktzll27ovvnj7pvqkoprmhubnnb32qcbmcpgid[.]onion 本稿執筆時点で、NullBulge DLS には複数の被害者がリストされています。サイトの大半は、彼らの主張と標準的な交戦規則を文書化することに費やされています。2024 年 6 月末、NullBulge グループはディズニーからの情報漏洩を発表しました。 この情報には、.web 公開証明書とアニメシリーズ DuckTales のスプライトが含まれていたとされています。
NullBulge からのディズニーのリリース 
NullBulge からのディズニーのリリース ディズニーのリークは、後に「リリース間近」の投稿で更新されました。この更新された投稿には、pixeldrain[.]comでホストされている ~670MB のファイルDuckTales_Isolated.zipへの base64 エンコードされたリンクが含まれていました。
pixeldrainに流出したディズニーのデータ このアーカイブには、DuckTalesシリーズに関連する複数のPhotoShopドキュメント（PSD）ファイルが含まれています。これらのリークは、!! z694g7GKz7lというIDで4chanにも投稿されました。投稿には、流出したデータにリンクするbase64エンコードされた文字列が含まれています。
NullBulgeが4chanでディズニーのリークを発表 7月12日、NullBulgeグループは、ディズニーのSlack内部データを複数年分含むとされる約1.2TBのアーカイブをリリースしました。このデータのリリースに先立ち、脅威アクターのオンラインプロフィールにはカウントダウン投稿がありました。 NullBulge は、侵害された企業アカウントの認証情報を使用してデータを入手したと主張しています。 
カウントダウン タイマー、2024 年 7 月 11 日 プロフィールとその他の活動 ----------------------------- !! z694g7GKz7lでの 4chan の投稿に加えて、NullBulge は複数の一般的なアンダーグラウンド フォーラムでアクティブなプロフィールを維持しています。彼らは、CRACKED[.]ioフォーラムでカスタム スティーラーのインフォスティーラー ログを販売した経歴があります。
NullBulge が cracked[.]io フォーラムでインフォスティーラー ログを販売 この攻撃者は、これらのフォーラムで盗んだ OpenAI API キーを販売した経歴もあります。これは、NullBulge の悪意ある活動がアーティストの権利を保護するものに限定されないことを示しています。その活動は金銭面に重点を置いており、この目的を推進するために必要なあらゆるツールを開発または取得することができます。NullBulge の背後にいるアクターは、NullBulgeOfficial という名前で GitHub リポジトリも管理しており、そこには Discord Webhook ライブラリと、AvCheck API と対話するためのカスタム Python ライブラリが含まれています。さらに、NullBulge には mysellix[.]ioプロファイルがあり、これを使用して OpenAI API キーが販売されています。
NullBulge OpenAI API キーの販売 結論 ---------- NullBulge は洗練度の低いアクターであり、コモディティ マルウェアとランサムウェアを使用して、新たな被害者のプールをターゲットにしています。このグループが AI 中心のゲームやアプリケーションを標的に侵入することは、こうした技術に携わる人々にとって脅威であり、脅威アクターにとって興味深い焦点領域を浮き彫りにしています。悪意のあるコードを準備して配信する方法 (公開リポジトリ内の難読化コードなど) は目新しいものではありませんが、ターゲット層はますます標的にされるようになった新興セクターです。NullBulge のようなグループは、侵入障壁の低いランサムウェアの継続的な脅威と、インフォスティーラー感染の永続的な影響を象徴しています。NullBulge や同様の脅威アクターは、Xworm や Async RAT などの使い古されたマルウェア ファミリーを使用しています。これらのツールは、最近の Snowflake への攻撃で実証されたように、より大規模で精巧な攻撃を促進する情報窃盗ログを生成します。さらに、BeamNG のようなプラットフォームの攻撃対象領域は、悪用されるのに最適です。BeamNG のシナリオでは、攻撃者はゲーム MOD をインストールする際に、信頼できる Lua スクリプトを通じて PowerShell 経由で特権コードを実行します。これは悪意のある攻撃者にとって非常に魅力的なメカニズムであり、以前 に説明した NPM パッケージを通じてペイロードを配信するソフトウェア サプライ チェーン攻撃と似ています。 NullBulge が使用する手法に組織がさらされるリスクを減らすには、次のセキュリティ対策を検討してください。1. API キーの管理: API キーを安全に保管し、コードにハードコーディングしないようにしてください。機密情報の管理には、環境変数または安全なボール トを使用してください。侵害の潜在的な影響を最小限に抑えるために、API キーを定期的にローテーションしてください。2. コードのレビューと検証: サードパーティのコード要素に難読化されたコンテンツや疑わしいコンテンツがないか定期的に調べてください。requirements.txtなどのサポート ファイルの依存関係に細心の注意を払ってください。サードパーティのコードが信頼できる検証済みのソースから取り込まれるようにしてください。定期的にコミット履歴を確認し、アクティブな貢献者を明確に把握して、「疑わしい」コミットや問い合わせを見つけられるようにしてください。精査がほとんどまたはまったく行われていない公開ソースからのコードのインストールには注意してください。