Operation PhantomCLR : Stealth Execution via AppDomain Hijacking and In-Memory .NET Abuse - CYFIRMACYFIRMA が高レベルの APT が Intel 利用ツール (IAStorHelp.exe) を不正に利用し、.NET AppDomainManager 機制を悪用してスティー ธな実行を実装する新たな攻撃手法を発見した。

• CYFIRMA が高レベルの APT が Intel 利用ツール (IAStorHelp.exe) を不正に利用し、.NET AppDomainManager 機制を悪用してスティー ธな実行を実装する新たな攻撃手法を発見した。
• 攻撃者は信頼されたバイナリの中での JIT ベルトのインメモリ実行と AppDomain 奪取を組み合わせ、従来の EDR や AV の検知を回避しつつ、完全なリモートアクセス権限を確立する。
• 社会工学に基づいた Spear Phishing と、地域固有の阿拉ビア語政府文書の巧妙な装飾を伴うマルチステージ攻撃で、エビデンス削除技術を含め、深刻な運用リスクを伴う。

信頼されたシステムバイナリを悪用した「AppDomain 奪取」と JIT イソのインメモリ実行は、従来の検知技術に対する劇的な防御ギャップを生み出す。