DRAT V2：TAG-140の武器庫に更新されたDRATが登場

Executive Summary

インドの政府機関を標的とした 最近 の TAG-140 キャンペーンの調査中に、Insikt Group は DRAT リモート アクセス トロイの木馬 (RAT) の改変亜種を特定し、これを DRAT V2 と指定しました。TAG-140は、Transparent Tribeのサブクラスターまたは運用関連会社であると評価された運用サブグループであるSideCopyと重複しています(APT36、ProjectM、またはMYTHIC LEOPARDとしても追跡されています)。TAG-140 は、マルウェアの武器庫と配信技術において、反復的な進歩と多様性を一貫して実証してきました。この最新のキャンペーンは、クローンプレスリリースポータルを介してインド国防省になりすまし、マルウェアアーキテクチャとコマンドアンドコントロール(C2)機能の両方にわずかではあるが顕著な変化を示しています。

DRAT V2の導入はTAG-140によるリモートアクセスツールの継続的な微調整を反映しており、.NETベースのバージョンのDRATから新しいDelphiコンパイル型の亜種に移行します。どちらのバージョンも、CurlBack、SparkRAT、AresRAT、Xeno RAT、AllaKore、ReverseRATなど、このグループが利用してきた多数のRATの間で、マルウェアを入れ替えながら使用しているパターンを示しています。DRAT V2は、カスタムのTCPベースでサーバーが開始するC2プロトコルを更新し、任意のシェルコマンドの実行や強化されたファイルシステムの操作などの機能を拡張します。

感染チェーンを分析したところ、最初のアクセスはClickFixスタイルのソーシャルエンジニアリングルアーを介して行われたことがわかりました。被害者は mshta.exe を介して悪意のあるスクリプトを実行するように誘惑されました。これにより、以前はTAG-140で使用されていたBroaderAspect.NETローダーが実行されました。BroaderAspectは永続性を確立し、その後のDRAT V2のインストールと実行を確立します。

Insikt Groupは、ドメインの重複、マルウェアの系統、インフラストラクチャの特性に基づき、この活動がTAG-140によるものであると中程度の確信を持って判断しています。DRAT V2の機能強化は、被害者ネットワーク全体でのカスタマイズされたポストエクスプロイトおよび横方向の移動におけるTAG-140の能力が向上する可能性を示唆しています。したがって、その出現は、脅威アクターの成熟した知識と、インドの防衛機関および政府機関を戦略的に標的にしていることを示す重要な指標です。

主な調査結果

• DRAT V2 では、任意のシェル コマンドを実行するための新しいコマンド (exec_this_comm) が追加され、エクスプロイト後の柔軟性が向上します。
• マルウェアは、簡単にデコードされないように、文字列を先頭に追加したBase64エンコードを用いてC2 IPアドレスを難読化します。
• 以前のバージョンと比較すると、DRAT V2は、ステルス性よりも解析の信頼性を優先し、コマンドヘッダーのほとんどを平文にすることで、文字列の難読化を軽減しています。
• DRAT V2は、カスタムサーバーが開始するTCPプロトコルを更新し、ASCIIとUnicodeの両方で入力されたコマンドをサポートしますが、応答はASCIIのみです。
• DRAT V2には高度な分析回避技術がなく、基本的な感染および永続化の方法に依存しているため、静的分析および動作分析によって検出可能です。

背景

TAG-140は、Transparent Tribe(APT36、ProjectM、またはMYTHIC Leopardとしても追跡されている)のサブクラスターまたは運用関連会社であると評価されたパキスタン国家連携の APT (Advanced Persistent Threat)グループと疑われる、公に報告されたグループSidecopyと重複する脅威アクターグループです。少なくとも 2019 年から活動している TAG-140 は主にインド をターゲットに しています エンティティ、最近の活動は従来の政府、防衛、海事、学術部門を超えて、現在では同国の鉄道、石油・ガス、外務省に所属する組織にも拡大しています。

このグループは、スピアフィッシングキャンペーンの活用、配布にHTMLアプリケーション(HTA)またはMicrosoft Installer(MSI)パッケージを使用し、ソフトウェアの脆弱性(WinRARなど)を悪用し、CurlBack、SparkRAT、AresRAT、Xeno RAT、AllaKore、ReverseRAT、DRATなどのさまざまなRATを使用するなど、その技術における一貫した進化を実証しました(1、 2、 3)。彼らの感染チェーンは通常、Windows 環境と Linux 環境の両方を標的としています。

Insikt Group 最近の アーティファクト を分析しました ClickFix キャンペーン インド省を偽装し、TAG-140 脅威アクターに起因しています。 TAG-140は、悪意のあるドメインの 電子メール[.]gov[.]で[.]drdosurvey[.]info は、正規の政府 Web サイト mod[.]gov[.]で(urlscan.io)。クローンされた Web サイトは、本物のポータルの構造とレイアウトを複製し、2023 年 9 月から 2025 年 4 月までのプレスリリースをリストしました。ただし、2025年3月のリンクのみ活性化した。

図 1: クローン国防部ポータル(情報源:Hunt.io)

2025 年 3 月にアクティブなリンクをクリックすると、ClickFix スタイルのソーシャル エンジニアリング攻撃が引き起こされました。Insikt Group は、TAG-140 Windows 感染チェーンの追加分析を実施し、2024 年後半に特定された TAG-140 活性に関する研究で Seqrite Labs が 報告 した感染チェーンに類似していると判断しました。感染チェーンの分析(図2)により、最終的なペイロードはDRATの新しいDelphiベースの亜種(DRAT V2と呼ばれる)であることが明らかになりました。以前は、DRAT は .NET で開発され、2023 年に初めて SideCopy アクティビティに 起因 していました。更新されたバリアントには、新しいコマンド機能とわずかに変更された C2 プロトコルが含まれています。

図 2: TAG-140感染連鎖滴下DRAT V2 (情報源: Recorded Future)

1.ユーザーは以下の URL (urlscan.io) に誘導されます。TAG-140の手口、戦術、テクニック、手順(TTP(戦術・技術・手順))に基づくと、使用された配信メカニズムはわかりませんが、これはユーザーにリンクをクリックさせるスピアフィッシングメールとして配信される可能性があります。 次に、ユーザーは「2025 年 3 月リリース」リンクをクリックするように誘導されます。Windows マシンから、そのリンクをクリックすると、ユーザーは Uniform Resource Identifier (URI) /captcha/windows.php にリダイレクトされます。

2。リダイレクトされたウェブサイト（urlscan.io）「**開示-公的な使用のみ（FOUO）**」という警告を表示し、ユーザーに「続行」をクリックするように求めます。

3. 「続行」をクリックすると、以下の悪意のあるコマンドをクリップボードにコピーするJavaScriptが実行され、コマンドシェルに貼り付けて実行するようにユーザーに指示します。このコマンドは、mshta.exeを使用してリモート・スクリプト (index.php/sysinte.hta) を取得して実行します。TAG-140のインフラから、_trade4wealth[.]で_。

4。index.php/sysinte.htaを実行すると、Seqrite Labsによって最初に報告された、BroaderAspectローダーが作成されて実行されます。BroaderAspectは次のアクションを実行します。

ある。次の URL からおとりドキュメント survey.pdfをダウンロードして開きます。

b.noway.batという名前のWindowsバッチファイルを作成して実行します。これには、Microsoft が定義した自動起動の場所にレジストリ エントリを追加することで、DRAT v2 の永続性を確立するコマンドが含まれています

c. 次の URL から DRAT V2 ペイロードをダウンロードして解凍します。

d. 次のコマンドを使用して DRAT V2 を実行します。

Insikt Groupは、以下の点に基づき、中程度の確信を持ってこの活動がTAG-140によるものであると判断しています。

1. インド国防省などのインドの防衛組織を偽装して標的とする行為は、既知のTAG-140の標的と一致しています。
2. TAG-140 (1, 2) のみが使用していると思われる BroaderAspect ローダーと DRAT (どちらのバリエーション) の使用も、TAG-140 TTP (戦術・技術・手順) と一致しています。
3. ドメインの電子メール[.]gov[.]で[.]drdosurvey[.]情報他の APT36 攻撃 (1、 2) と重複し、ホスティング プロバイダーとして Namecheap を使用します。TAG-140 は GoDaddy および Hostinger (1、 2、 3、 4) とともに Namecheap を一般的に使用していることが複数の例で観察されています。
4. DRAT V2に加えて、TAG-140は以前にオープンソースのAllaKore RATなどのDelphiベースのマルウェアを使用していました。

技術的分析

DRAT V2はDelphiで開発された軽量RATであり、2023年にTAG-140に初めて関連付けられた以前の.NETベースの亜種の進化形です。DRAT V2では、前バージョンからいくつかの更新が導入されています。

• カスタムTCPサーバーが開始するC2プロトコルの更新
• 先頭に文字列を追加してC2インフラストラクチャのBase64難読化を強化
• 更新されたコマンドヘッダーと任意のWindowsコマンドを実行するための新しいコマンド

図3にDRAT V2の概要を示します。

図 3: DRAT V2 summary (情報源: Recorded Future)

DRAT V2は、TAG-140オペレーターが侵害されたホストと多様な対話を行うことを可能にする一連のコマンドをサポートしています。通信が確立されると、マルウェアはC2サーバーからの指示を受動的に待ちます。サポートされている操作には、システムの偵察（ユーザー名、オペレーティングシステムのバージョン、システム時間、現在の作業ディレクトリの収集）、接続性の検証、ローカルファイルシステムおよびディレクトリの列挙が含まれます。

偵察のみならず、DRAT V2はターゲット環境とのより積極的な関与を可能にします。ホストとC2インフラストラクチャ間で双方向のファイル転送を可能にし、オペレーターが追加のペイロードをアップロードしたり、データを流出させたりすることができます。さらに、ローカルファイルと任意のWindowsシェルコマンドの実行をサポートし、出力をC2に返します。これらの機能により、TAG-140は感染したシステムを持続的かつ柔軟に制御し、補助的なマルウェアツールを展開することなく、自動化および対話型のポストエクスプロイト活動を可能にします。図4は、DRAT V2の機能概要を示しています。

図 4: DRAT V2 能力マトリックス (情報源: Recorded Future)

DRAT V2 コマンド

DRAT V2は、侵害されたホストにおけるリモート制御機能をサポートするために、テキストベースのサーバー開始のカスタムTCPプロトコルであるコマンドインターフェースを引き続き使用します。構造化された形式を通じて、コマンドの実行、ファイルの操作、システムの偵察が可能です。

DRAT V2コマンドプロトコルは、区切り文字としてチルダ（~）とパイプ（|）文字を使用することで区別されます。C2インフラストラクチャとの接続が確立されると、マルウェアは受動状態に入り、サーバーからの指示を待機します。これらの命令は、ホスト偵察、ファイル管理、直接実行などの機能を含む9つの個別のコマンドタイプ（表1）にまたがります。各コマンドは決定論的な形式に従っており、オペレーターは一貫性を持ってオーバーヘッドを抑えつつ、侵害後のアクションを調整できます。

表1: DRAT V2 コマンド (情報源: Recorded Future)

このコマンドセットにより、TAG-140は、ホストの偵察、データステージング、潜在的な横方向の移動を含む、ポストエクスプロイトのさまざまな目的をサポートできます。特に、DRAT V2は任意のコマンド実行をサポートすることで、前バージョンの機能を拡張しています。付録Bには、パラメータを含む各コマンドの詳細な内訳が記載されています。

図5 は、感染したホストとC2間のC2通信の例を示しています。この例では、C2 サーバーはコマンド exec_this_comm~whoami を送信し、感染したホストにコマンド whoami を実行するように指示します。その後、感染したホストはコマンドの出力で応答します。

図 5: DRAT V2コマンド実行要求と対応 Wiresharkが記録・表示するパケット(情報源: Recorded Future)

DRAT vs DRAT V2

この比較分析では、オリジナルのDRATとDRAT V2の技術的および運用上の違いを強調しています。開発プラットフォームの移行は、マルウェアのコンパイル、実行、そして潜在的な検出方法に影響を与える重要なアーキテクチャの転換を示しています。両方の亜種は軽量RATとしての同様のコア機能を維持していますが、DRAT V2はコマンド構造、C2難読化技術、通信プロトコルにおいて重要な強化を導入し、文字列難読化の使用を最小限に抑えています。これらの適応は、TAG-140が回避能力、モジュール性、搾取後の作戦における柔軟性を向上させるために、ツールを進化させ続けていることを反映していると考えられます。

コマンドヘッダーのバリエーション

どちらの DRAT バリアントもリモート管理用に同様のコマンドを実装していますが、各バージョンではコマンド ヘッダーに異なる命名規則が使用されます。たとえば、DRAT のシステム情報コマンドには getInformitica というラベルが付けられていますが、DRAT V2 では initial_infotonas が使用されます。DRAT V2 では、感染したホスト上で任意のシェル コマンドを実行できるようにする新しいコマンド exec_this_comm も導入されましたが、これは元の DRAT には存在せず、エクスプロイト後の機能が拡張されたことを示しています。以下の比較表(表2)は、両方のバージョンのリクエストヘッダーと対応ヘッダーの詳細な行ごとの内訳を示しています。 この表では、緑色で強調表示されているコマンド マッピングは、両方のバリアントで機能的に保持されているコマンドを示し、黄色で強調表示されている項目は、DRAT V2 専用の新しい追加を表しています。

表2: DRATとDRAT V2のコマンド比較 (情報源: Recorded Future)

C2 Communicationsにおけるテキストフォーマット

両方のバージョンは、C2インタラクションにテキストベースの通信プロトコルを活用しています。しかし、エンコード要件が異なります。DRAT V2はUnicodeとASCIIの両方でコマンドを受け付けますが、常にASCIIで応答します。一方、オリジナルのDRATは入力と出力のどちらにもUnicodeを義務付けています（図6）。

図6：Wiresharkで記録・表示されたDRAT V1のボリューム一覧表示のリクエストと対応（情報源：Recorded Future）

システム情報の相違点

システム情報対応 どちらのバージョンにも多くの類似点が含まれていますが、いくつかの違いには、Unicode のテキスト、異なるコマンド要求ヘッダー、および win-def の代わりに WinDefender が含まれており、どちらもハードコーディングされています。 最後に、システム情報対応におけるWindows版のフォーマットは、DRATとDRATV2で異なる。 DRAT はレジストリ キー Software\Microsoft\Windows NT\CurrentVersion\ProductName から値を返すだけですが、DRAT V2 は API 呼び出し GetVersionExW() を使用して Windows バージョンを取得し、情報源コードで Base64 でエンコードされたカスタム文字列を返します。 表 3 は 、2 つのコマンドの違いの概要を示しています。

表3: DRAT vs DRAT V2 システム情報要求および対応フィールド (情報源: Recorded Future)

C2難読化の相違点

どちらのDRATの亜種でも、C2情報はBase64でエンコードされています。DRATはC2 IPアドレスを直接エンコードしますが、DRAT V2は、Base64エンコードの前に次の文字列のいずれかをIPアドレスの先頭に追加することで、C2の難読化手法を変更します。

• <><><><><><><><><><><>
• XXXXXXXXXXXXXXXXXXXXXX

これらの先頭に追加されるパターンは、初歩的な整合性チェックとして機能したり、アナリストや自動化ツールによる些細なデコードを防ぐのに役立つ可能性があります。

文字列の難読化

文字列の難読化戦略はバリアント間でも異なります。DRAT は、コマンドと操作文字列の両方をエンコードするために、置換アルゴリズムを使用したより広範な方式を採用しています。一方、DRAT V2 は、Windows バージョンや C2 情報などの文字列を選択的に難読化しますが、コマンドヘッダーはプレーンテキストのままにします。DRAT V2におけるこの限定的な難読化アプローチは、ステルス性と構文解析の信頼性の間のトレードオフを示している可能性があります。

検知

検知

Snort

• DRATマルウェアのアウトバウンドC2通信の検出：これらのSnortルールを使用して、アウトバウンドDRATおよびDRAT V2 C2通信を検出します。

Sigma

• 実行キーを使用したTAG-140の永続性の検出：このSigmaルールを使用して、バッチファイルのコマンドに終了引用符がない場合に、レジストリの実行キーを作成して永続性を確立するTAG-140攻撃を検出します。

YARA

• TAG-140によって使用されるBroaderAspect Loaderを検出：このYARAルールを使用して、BroaderAspectマルウェアに関連する文字列を含むファイルを検出します。対象ファイルには、.pdfや.batが含まれます。ファイル拡張子と特定のマルウェア識別子。
• TAG-140が使用するDRATマルウェアのDotNetおよびDelphiの亜種を検出するには、これらのYARAルールを使用してDRATおよびDRAT V2を検出します。

軽減策

• 3232、6372、7771など、DRAT V2がC2操作に使用する一般的でない宛先ポートへのアウトバウンドTCP接続をブロックまたは監視します。大きな番号のポートを狙う、既知のプロトコルに一致しない異常なTCPトラフィックを監視します。
• ネットワークトラフィックを検査し、Base64、ASCII、またはUnicode形式でエンコードされたアウトバウンドコマンド対応とインバウンドシェルコマンド指示（付録B）を確認します。特に通常とは異なるポートに確立されたTCPセッションにおいて、トラフィックのデコードと検査に重点を置きます。
• このレポートの検知ルールを使用して、レジストリ実行キー、ファイルベースのローダー、エンコードされたC2パターンを介してDRAT V2の実行と永続性を特定します。カスタムのYARAルールを展開し、.NETおよびDelphiでコンパイルされたDRATサンプルを両方とも検出します。
• 検知ロジックを監視にデプロイし、リモートスクリプトを呼び出したり、セカンダリペイロードを起動したりします。 これは感染チェーンの重要なコンポーネントであり、悪意のあるHTAスクリプトがBroaderAspectのようなDRATローダーを取得して起動します。
• レジストリ変更イベント、特に HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run に関連するイベントを監視します。TAG-140 は、C:\Users\Public</span> の偽装ファイル名を介して DRAT V2 を実行することにより、これらを永続化に使用します。

今後の展望

TAG-140によるDRAT V2の導入は、同グループの長年の慣行である、幅広く互換性のあるリモートアクセス型トロイの木馬スイートの維持と一致しています。この継続的な多様化は、アトリビューション、検知、監視活動を複雑にしています。DRAT V2は決定的な進化ではなく、別のモジュールの追加であるように見えます。これにより、TAG-140がキャンペーン間でRATをローテーションし続け、署名を隠蔽し、運用の柔軟性を維持する可能性が高まります。

これらの課題にもかかわらず、DRAT V2 感染チェーンは、防御回避や分析回避技術の使用が限られています。コードの難読化、サンドボックス回避、または複雑なローダーの動作がないことにより、基本的なテレメトリと静的分析を通じて早期検知の可能性が高まります。セキュリティチームは、マルウェアツールや感染チェーンにおける継続的な実験を予測しておく必要があります。TAG-140の活動の可視性を維持するためには、特定のマルウェアファミリーではなく、スピアフィッシングインフラストラクチャ、ローダーの再利用、行動指標を監視することが重要です。

付録A：侵害を示す指標

付録B：DRAT V2コマンドパラメータと対応

システム情報

initial_infotonas コマンドは、ユーザー名、OS バージョン、タイムスタンプ、作業ディレクトリなどのホスト環境の詳細を要求することにより、システムレベルの偵察を開始します。対応は7つの分野にまたがって構成されています。

エコー/接続テスト

sup コマンドは、侵害、ハッキング ホストとのアクティブな通信を確認するために使用されます。

ボリューム一覧表示

lst_of_sys_drvsコマンドを使用すると、DRAT V2はターゲットマシン上でアクセス可能な論理ドライブを列挙できます。

属性を含むディレクトリを一覧表示

here_are_dir_details コマンドは、ディレクトリとファイルの構造化メタデータ (名前、サイズ、タイムスタンプ、パスなど) を取得します。特に、この実装には、フルパスが後続のエントリと不適切に連結され、演算子の解析に影響を与える可能性があるという欠陥が含まれています。

ファイルサイズ

filina_for_down コマンドは、指定されたファイルのバイト・サイズを取得するために使用されます。

ファイルアップロード

file_upl~ コマンドは、C2 からターゲット ホストへのファイルの転送をサポートします。このコマンドでは、ファイル パスとサイズの両方を指定する必要があるため、ペイロードのステージングやセカンダリ ツールの展開が容易になります。

ファイルの実行

this_filina_exec コマンドは、ホスト・システム上で指定されたファイルを実行します。この機能により、追加のペイロードの配信や、ローカルファイルシステム内の既存のバイナリの実行が可能になります。

ファイルダウンロード

fil_down_confirmina コマンドを使用すると、被害者のシステムから C2 サーバーへのファイルの流出が可能になります。他の対応とは異なり、対応ヘッダーはなく、生ファイルの内容のみがC2に送信されます。

コマンドの実行

exec_this_commコマンドは、感染したホスト上で任意のシェルコマンドを実行できます。これにより、インタラクティブな操作に大きな柔軟性が加わり、リアルタイムのタスク処理とオンデマンドのエクスプロイト後のアクティビティが可能になります。

分析全文を読むには、ここをクリックしてレポートをPDF形式でダウンロードしてください。