😈

原神のアンチチートドライバがランサムウェアに悪用されてた件

2022/08/30に公開

トレンドマイクロが公表した、原神のアンチチートドライバがランサムウェア攻撃のために悪用された件についてまとめた記事です。

簡単なまとめ

アンチチートプログラムである「mhyport2.sys」については、2020年9月に一悶着ありました。

一部ユーザーがPC版『原神』を起動中に、バックグラウンドでアンチチートプログラム（ファイル名：mhyprot2）機能が自動的に起動され、ゲームを終了、およびアンインストールしてもアンチチートプログラム機能が持続的に運行するというご報告を受けておりました。

2020年9月29日には、この問題が修正されたようです。

また、ゲームチートフォーラムであるunnowncheats.meにて、mhyprot2 を使って任意のプロセス/カーネルメモリを読み込む方法が話題に上がっていました。

ドメインコントローラにsecretsdumpとwmiexecの痕跡
どちらもImpacketというPythonのツール群に含まれているソフトウェア。
https://github.com/SecureAuthCorp/impacket

secretsdump : OS認証情報のダンプ（OS Credential Dumping）に使用される
wmiexec : Windows Management Instrumentationを悪用し、コマンドなどを実行する

rdpclip.exe : RDPセッション間でのクリップボード共有を容易にする。(rdpclip.exeとは)

avg.msi : AVG Intenet Securityを装った悪意のあるavg.exeというファイルが含まれており、いくつかのファイルをドロップして実行するために使用される。

Group Policy : Active Directory環境内の複数のコンピュータやユーザを管理する機能
GPO : Group Policyの設定
GPOの悪用についてはこちら、https://attack.mitre.org/techniques/T1484/001/

6.はGPOを利用して脅威者がランサムウェアを大量展開することを意図していたことを示すが、結局は成功しなかった。
手動でのavg.msiをインストールが３回試みられたが、いずれも失敗。ただし、アンチウイルスサービスの停止には成功。
avg.exeをデスクトップに転送し３回実行したが、アンチウイルスが停止しているにも関わらす失敗。
脅威者は、avg.exeがドロップする予定だったlogon.batをデスクトップに転送し手動で実行
1. HelpPane.exeを起動（HelpPane.exe:Microsoft Help and Supportを装った悪意のあるファイル。kill_svc.exeと同様のことを行う）
2. アンチウイルスや他のサービスを停止
3. Windowsを回復させるための機能を無効化、Windowsイベントログのクリア、mhyprot2の停止と削除、ランサムウェアsvchost.exeの起動
logon.batの実行には成功し、svchost.exeが身代金請求書を投下、ファイル暗号化を開始。
成功を知った脅威者は、lolという名前の共有フォルダにmhyprot2.sysとkill_svc.exeとsvchost.exeをホスト
PsExecを介して上記のファイルをコピーして実行するバッチファイル"b.bat"が、ip.txtにリストアップされているターゲットとなるワークステーションに配備される