2021年2月9日、Unit 42はこれまでに知られる中でも最も洗練されたサイバースパイツールの1つであるBendyBearの発見についての記事を公開しました。同ツールはその設計上非常にステルス性が高く、セキュリティ製品による検出や脅威リサーチャーによるリバースエンジニアリングが非常に難しいものとなっています。Unit 42は、このツールの機能に関する詳細なレポートを公開しました。それが「BendyBear: サイバースパイグループBlackTechとリンクされた新しい中国のシェルコード」です。

BendyBearは別のマルウェアWaterBearの亜種のようです。アクティビティを隠蔽して横展開を行う後者とは強い類似性が見られます。なお、Trend MicroやTeamT5などをはじめとするリサーチャーは、WaterBearを攻撃グループBlackTechに帰属させているのですが、このBlackTechは中国政府とリンクしていると評価されている攻撃グループで、早ければ2009年にさかのぼって、東アジアの政府や技術組織への攻撃に責任があると考えられています。

BendyBearは、RC4暗号の修正版を使用します。これにより暗号強度が増し、ネットワーク通信遮断はいっそう困難になります。またBendyBearはマルウェアにカメレオンのような機能を与えるポリモーフィックコードを使用しており、ランタイム実行中にバイト操作を行うことで、読み取りができず、読み取っても内容がわからず、検出が非常に難しいものになっています。同マルウェアはペイロードをファイルシステムではなくメモリに直接ロードするので従来型のフィンガープリントも残らず、脅威リサーチャーやセキュリティ製品がこうしたフィンガープリントをもとに見つけることができないようになっています。これらの機能のおかげで同マルウェアの検出は非常に困難です。

Unit 42はこのBendyBearに関する情報をCyber ThreatAllianceを含む信頼できる政府および業界パートナーとすでに共有済みです。共有データには、組織がBendyBearによって侵害されたかどうかを判断し、将来の攻撃をブロックするために使用できる侵入の痕跡（IoC）が含まれています。

パロアルトネットワークスは、この情報公開によって、BendyBearが十分な注目を集め、サイバースパイ活動上、いまよりずっと効果の低いツールとなることを期待しています。そのうえで、各組織の皆さまは高度な戦術で検出を回避してくるSolarWindsの攻撃のような攻撃者に対する警戒を怠らないようにお願いいたします。

パロアルトネットワークスは、本稿に概説したBendyBearの攻撃からの保護をCortex XDR、DNSセキュリティ、URLフィルタリング、WildFireサブスクリプションを備えた次世代ファイアウォールを通じて提供しています。

On Tuesday, Unit 42 disclosed the discovery of BendyBear, one of the most sophisticated cyber espionage tools seen to date. It is designed for extreme stealth, with features that allow it to evade detection by security products and make it difficult for threat researchers to reverse engineer. Unit 42 published a report with details on the malware’s capabilities, “BendyBear: Novel Chinese Shellcode Linked With Cyber Espionage Group BlackTech.”

BendyBear appears to be a variant of WaterBear, malware used for lateral movement while hiding its activities, due to strong similarities. Other researchers, including Trend Micro and TeamT5, have attributed WaterBear to BlackTech, a group with links to the Chinese government that is believed to be responsible for attacks on East Asian governments and technology organizations dating back to at least 2009.

BendyBear uses a modified version of RC4 encryption, which hardens the encryption and makes it more difficult to break its network communications. It also uses polymorphic code that gives the malware chameleon-like abilities: It alters its bytes after runtime execution, making it unreadable, meaningless and extremely difficult to detect. It loads payloads directly into memory, rather than a filesystem, which means it’s not leaving behind traditional fingerprints for threat researchers and security products to find. These features make it exceptionally difficult to detect.

Unit 42 has already shared information about BendyBear with trusted government and industry partners, including the Cyber Threat Alliance. That data includes Indicators of Compromise (IoCs) that organizations can use to determine if they’ve been compromised by BendyBear and also block future attacks.

Palo Alto Networks hopes that the release of this information will shed enough light on BendyBear to make it a far less effective tool for cyber espionage. Still, we urge organizations to remain vigilant against attackers utilizing advanced tactics to remain undetected, as exhibited by the SolarWinds attacks.

Palo Alto Networks offers protections from the BendyBear attacks outlined in this blog through Cortex XDR, as well as its DNS Security, URL Filtering and WildFire subscriptions for the Next-Generation Firewall.