今週のまとめでは、CTIが、JetBrainsのTeamCityソフトウェアの既知の脆弱性を悪用した、最近のBianLianランサムウェア攻撃について取り上げています。 続いて、CTIは、 2023年第4四半期に攻撃件数がわずかに減少したにもかかわらず、ランサムウェア攻撃が依然として急速なペースで発生し続けている実態について分析しています。
最後に、CTIは、GitGuardians社の最新レポート『State of Secrets Sprawl』から得られた主な調査結果をご紹介します。
1. BianLianの攻撃者は、JetBrains TeamCityの脆弱性を悪用しています
の「BianLian」ランサムウェア攻撃（ ）は、現在、JetBrainsのTeamCityソフトウェアに存在する既知の脆弱性を悪用し、身代金要求のみを目的とした攻撃を行っています。 今回の攻撃は、これらの脆弱性を悪用することから始まり、最終的にBianLianのバックドアのPowerShell実装が展開されるという結果となりました。
BrianLian 初回アクセス
BianLianは、脆弱性のあるTeamCityサーバーを介して被害者の環境に侵入し、 CVE-2024-27198 および CVE-2024-42793 を活用しました。
このグループはTeamCityにユーザーを作成し、同製品のサービスアカウントを使用して悪意のあるコマンドを実行しました。 初期アクセスを獲得した後、脅威アクターはWindowsのネイティブコマンドを使用して、その他のインフラを特定しました。 これにより、彼らはさらなる攻撃の標的として有望な2台のビルドサーバーを発見することができました。
winpty-agent.exe および winpty.dll を使用して、これらのサーバー上でコマンドをリモート実行し、その結果、追加のツールが展開されました。 導入された追加ツールの一つに、PowerShellスクリプト「web.ps1」がありました。 C2 サーバーとの通信に必要なその他のツールや、認証情報をダンプするためのツールも導入されました。
PowerShellへの移行
この攻撃者は、普段使用しているGoバックドアを複数回実行しようとしましたが、そのたびに失敗しました。 何度か失敗を重ねた後、この脅威アクターは、従来のGo言語製のバックドアと非常に似た動作をするPowerShell版のバックドアへの切り替えを決断しました。
PowerShellスクリプトの難読化を解除した後、GuidePointはそのスクリプトを分析することができました。 このスクリプトに含まれる要素の一つに「cakes」関数があり、これはパラメータとして指定された内容に応じてIPアドレスを解決するために使用されました。 IPアドレスが確認されると、そのIPアドレスを使用して、通信用のTCPソケットが確立されます。
また、ネットワーク接続の管理の大部分や、バックドア自体による一部の実行に使用されるクッキー機能もありました。 この時点で、研究者たちは、このバックドアの目的が、遠隔の攻撃者が「Go」の亜種と同様の方法で、任意の操作を実行できるようにすることにあると特定することができました。
犯人は：BianLian
GuidePointは、PowerShellスクリプトの最終行から、この攻撃がBianLianによるものであると特定しました。その行には、特定のパラメータが指定された状態でcookies関数が呼び出されていることが示されていました。
これを変換したところ、IPアドレスが判明しました。 このIPアドレスは、つい最近 2024年3月6日の時点でも、BianLian Goバックドアを実行しているサーバーに関連付けられていました。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
当社がBianLian について報じたのは、今回が初めてではありません。 BianLianは、被害者ごとにカスタマイズされた独自のGo製バックドアを使用していることで知られており、これは同グループがいかに適応力に優れているかを示しています。 今回の攻撃は、計画していた「Go」バックドアが成功しなかったことに気付いた後、迅速にPowerShell／LotLの手法へと切り替えることができたことから、彼らの適応力の高さをさらに裏付けています。
この例が示すように、脅威アクターは、特に新たな脆弱性に関して、変化し続ける環境に対応し続ける能力をますます発揮しています。
2。 ランサムウェア攻撃はますます増加の一途をたどっています
シマンテックによると、 ランサムウェアによる攻撃（ ）は、2023年第4四半期に攻撃件数がわずかに減少したにもかかわらず、依然として急速なペースで発生し続けています。
最新の調査によると、ランサムウェアの攻撃者は、法執行機関による取り締まりへの対応として、自らのTTPを適応・洗練させる能力を高めていることが示されています。 証拠によると、脆弱性の悪用が現在、ランサムウェア攻撃の主な感染経路となっているようです。
シマンテックのレポートにおける主な調査結果
シマンテックによるランサムウェアの流出サイトの分析によると、 2023 年には約4,700 件、2022年には 2,800 件のランサムウェア被害が発生しました。 2023年の第4四半期には攻撃件数がわずかに減少したものの、全体としては依然として前年比で増加傾向にありました。
この増加の背景にある理由の一つは、ランサムウェアの攻撃者が、さまざまな妨害や摘発に対応し、自らの目的を継続するために、TTPを戦略的に適応させているという事実です。
シマンテックは、ランサムウェアのリークサイトで報告されている被害者数と、同社が調査した実際のランサムウェアの活動状況との間に乖離があることを指摘しています。 収集されたデータによると、「Noberus」ランサムウェアの攻撃主体による攻撃の割合が最も高かったことが判明しました。
主なランサムウェアの感染経路
攻撃者は、ランサムウェア攻撃の初期侵入手段として、脆弱性の悪用を利用するようになってきています。
昨年、ランサムウェア攻撃につながった、最も多く悪用された脆弱性には、次のようなものがあります：
- CVE-2022-47966: ZOHO ManageEngine
- Microsoft Exchange Server のさまざまな脆弱性
- CVE-2023-2966：Citrix NetScaler ADC および NetScaler Gateway
- CVE-2023-20269：Cisco ASA および Cisco FTD VPN
金型
脅威アクターは、検知を回避するために、カスタムツールやデュアルユースツールをポートフォリオに追加し、その範囲を拡大しています。 ランサムウェアの攻撃者たちはまた、「脆弱なドライバーを持ち込む（BYOVD）」という手法をより頻繁に活用するよう、戦略を転換しています。
最近のランサムウェア攻撃で見られるツールには、次のようなものがあります：
- HopToDesk：一般に公開されているリモートデスクトップツールです。 AnyDeskやAteraもよく使われています。
- TrueSightKiller：BYOVD 手法を利用し、セキュリティソフトウェアを無効化する、一般に公開されているツールです。
- GhostDriver：BYOVD 技術を利用し、アンチウイルスを無効化するツールです。
- StealBit：カスタムデータ流出ツール。LockBitと関連しています。
テクニック
シマンテックは、現在ランサムウェア攻撃で用いられている注目すべき2つの手法について言及しました。
- 1つ目は「esentutl」で、これはWindowsのコマンドラインツールを使用して認証情報をダンプする手法です。 この手法は現在、ブラウザから認証情報を抽出するために利用されています。
- もう一つの手法は、MicrosoftのData Protection APIを介して保存されているユーザーの認証情報を取得・復号化するために、悪意のあるツールを使用することです。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
ランサムウェアは、当分なくならないでしょう。 法執行機関による取り締まりによってランサムウェア攻撃が一時的に減少する可能性はありますが、それだけではランサムウェア攻撃者がもたらす脅威を軽減するには不十分です。
とはいえ、法執行機関の取り組みが無駄だと言っているわけではありません。 多くの場合、それらは脅威アクターの評判やインフラに損害を与えます。 さらに、さまざまなランサムウェア攻撃に関する膨大な公開情報は、防御側にとっては有益である一方で、脅威アクターに新たな手法を模索させる要因となり、その結果、脅威アクターは迅速に方向転換し、適応する能力を身につけてしまうのです。
3。 More than 12 million secrets and keys leak on GitHub
According to GitGuardian’s State of Secrets Sprawl report, more than 12.8 million authentication and sensitive secrets across 3 million public repositories were exposed by GitHub users in 2023.
漏洩した情報には、アカウントのパスワード、APIキー、TLS/SSL証明書、暗号化キー、クラウドサービスの認証情報、OAuthトークン、その他のデータが含まれています。 さらに、情報漏洩が判明してから5日後になっても、秘密鍵や公開鍵のほとんどは依然として有効なままでした。
注目すべき知見
ハードコーディングされた認証情報は、かなり長い間、セキュリティインシデントの根本的な原因となってきました。 GitGuardianは 2020年以降、ハードコードされた機密情報の追跡と報告を行ってきましたが、GitHub上で検出された機密情報が 2022 年から2023年にかけて 28％増加したことが判明しました。
また、研究者らは、漏洩した有効な秘密情報の 90％が、作成者が通知を受け取ってから5日間は有効なままであることも明らかにしました。 GitGuardian sent out 1.8 million email alerts last year that identified an exposed secret, of which only 33,242 were revoked within five days. この統計は、こうした活動を検知することと同様に、あるいはそれ以上に、是正措置が重要であるという事実を浮き彫りにしています。
GitGuardianは、データ漏洩が最も多かった国や業界を特定するため、データをさらに詳細に分析しました。 情報漏洩が最も多かった国はインドで、次いで米国、ブラジルでした。 IT分野が情報漏洩件数の 65.9％を占めました。
そのデータは、具体的な秘密と一般的な秘密に改めて分類されたところ、具体的な秘密が大部分を占めていることが判明しました。 これらの具体的なシークレットを詳しく調べたところ、100万件以上の有効なGoogle APIシークレット、 250,000 件のGoogle Cloudシークレット、および140,000 件のAWS IAMシークレットが特定されました。
機密情報が漏洩した後はどうなるのでしょうか？
機密情報が漏洩した場合は、さらなる影響を防ぐために、速やかにその情報を無効化することが極めて重要です。 前述の通り、GitGuardianによって特定された機密情報の 90％以上が、数日後にもなお有効でした。 さらに、通知メールが送信されてから1時間以内に無効化されたシークレットは、全体の 2.6％にとどまりました。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
誤って漏洩したとの通知を受けてから5日後になっても、秘密情報の 90％以上が依然として有効であったという事実は、衝撃的です。
この研究は、驚くべき統計データを提示しているだけでなく、多大な検知努力だけでは到底不十分であるという事実を浮き彫りにしています。 修正を担当するチームが、ミスの修正方法について適切な指導を受け、十分な知識を持っていない場合、検出の取り組みはあまり意味をなしません。
今こそ、機密情報の漏洩後、あるいは特定のセキュリティインシデントが確認された後に何が起こるのかについて、的確に説明できることが極めて重要です。
これらの記事について、何かご意見やご感想など、共有したいことはありますか？ にアクセスし、Taniumのディスカッションフォーラム（ ）で会話を始めてみてください。
さらに詳しくお読みになりたい方は、当社の最近の「」サイバー脅威インテリジェンスまとめ（）をご覧ください。
