今週、CTIは、Googleコマンド＆コントロール（GC2）が最近の活動において APT41’s 回使用された事例を分析し、中国と関連のあるAPTによる一般公開されているツールの利用が着実に増加していることを明らかにしました。 次に、AuKillと呼ばれる新しい防御回避ツールの概要をご紹介します。このツールを使用することで、脅威アクターはバックドアやランサムウェアを展開する前に、エンドポイント検出・対応（EDR）ソリューションを無効化することが可能になります。 まとめとして、CTIは、3月に広く普及している「 3CX Desktop App」とそのユーザーに影響を及ぼし始めた、注目を集めたサプライチェーン侵害の真の根本原因を詳述した新たなレポートについて取り上げます。
ハッカーが、Googleのコマンド＆コントロール用レッドチームツールを悪用して攻撃を行っています
Google Cloudの「 2023 Threat Horizons Report」 （新しいタブで開きます） によると、中国政府が支援するスパイグループ APT41 が、現在、攻撃においてGoogleのGC2 レッドチームツールを悪用していることが明らかになりました。
GC2 は、Go言語で記述されたオープンソースプロジェクトであり、レッドチーム活動のために特別に設計されたものです。 Googleの脅威分析グループ（TAG）は、 APT41’s の最新のフィッシング攻撃 を阻止しました。この攻撃において、攻撃者はGoogleのインフラを広範囲に悪用しながら、 GC2 エージェントの配布を試みていました。
APT41 (新しいタブで開きます) — 「Wicked Panda」や「HOODOO」としても知られるこの人物は、時折、金銭的な動機による活動を行っています。 このグループは少なくとも 2007年から活動を続けており、数名のメンバーが米国司法省によって起訴されています。 このグループはこれまで、米国、台湾、インド、タイ、中国、香港、モンゴルなどの政府機関や民間組織を標的としてきました。また、「 APT41 」は、特にSQLインジェクション攻撃に対して脆弱なアプリケーションにおいて、脆弱性の悪用を巧みに活用する能力でも知られています。
キャンペーンの詳細
2022年10月によると、GoogleのTAGは、台湾のメディア組織を標的とした APT41 キャンペーンを阻止しました。このキャンペーンでは、というフィッシングメールが送信され、そのメールには、Drive上にホストされたパスワードで保護されたファイル へのリンクが含まれていました。 このキャンペーンのペイロードは GC2で、オープンソースのレッドチーム用ツールでした。
Go言語で記述されたこのツールは、悪意のある活動を隠蔽するために、Google スプレッドシートからコマンドを受け取ります。 その後、そのデータはGoogleドライブへ流出されます。 被害者のマシンにインストールされた後、このマルウェアはGoogleスプレッドシートにコマンドを問い合わせました。また、GC2 を利用することで、攻撃者はGoogleドライブから被害者のシステムに追加のファイルをダウンロードすることも可能です。 Googleのインフラストラクチャやコラボレーションアプリケーションを利用すると、企業環境内で悪意のあるトラフィックがほぼ見過ごされてしまう可能性が高まります。
Googleによると、この脅威アクターは昨年、イタリアの求人サイトを標的とする際にも同様の手法を用いていたとのことです。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
「GoogleのTAGは、このキャンペーンについて詳細をあまり公表していないため、侵害の兆候（IOC）として活用できる情報はほとんどありません。」 しかし、この攻撃キャンペーンからは、この中国のAPTグループが「 GC2」のような一般に公開されているツールを以前より多用していることが明らかになっています。
「中国のAPTは、攻撃において数多くの独自開発ツールを活用し、共有する傾向があります。」 また、彼らは一般に公開されているツールのカスタマイズ版にも独自の工夫を加えています。「 APT41’s use of GC2 」——カスタマイズは一切施されていない、いわゆる「オリジナルの状態」であるとのことですが——は、間違いなく、カスタマイズ不要の一般公開ツールへの移行を示すものです。 これは、アトリビューションの取り組みを混乱させるための戦術なのでしょうか、それとも手法における真の変化なのでしょうか？ 「それは時が経てば分かることでしょう。」
ランサムウェア集団が、Process Explorerのドライバーを悪用してセキュリティソフトウェアを強制終了させています
ソフォスの新しいレポートでは、 の防御回避ツール「AuKill」（ （新しいタブで開きます） ）について取り上げています。このツールは現在、脅威アクターによって、バックドアやランサムウェアを展開する前に、のエンドポイント検出・対応（EDR） ソフトウェアを無効化するために悪用されています。 このツールは、旧バージョンのProcess Explorerの脆弱性を悪用しており、今年に入ってから少なくとも3件のランサムウェア事件で使用されています。
ソフォスは、脅威アクターが新しい「AuKill」ツールを使用してEDRクライアントを無効化しようとした複数のインシデントを調査したと報じられています。 このツールは、Microsoftの「Process Explorer」ユーティリティのバージョン 16.32 で使用されている、古いバージョンのドライバーの脆弱性を悪用しています。 1月と2月、攻撃者はAuKillを悪用した後、Medusa Lockerランサムウェアを展開しました。 2月、この脅威アクターが、LockBitランサムウェアを展開する前に、再びAuKillを使用していることが確認されました。
もちろん、脅威アクターがEDRエージェントを無効化するように設計されたソフトウェアを展開しているのが確認されたのは、今回が初めてではありません。 マイクロソフト、マンディアント、センチネルワン、ソフォスの各セキュリティ研究チームは、EDR製品を無効化するために特注のドライバーを用いた攻撃について、これまでに報告しています。 これらの最近の事件がこれまでの攻撃と異なる点は、AuKillが、正規のものであるものの、古くなっており、悪用可能なドライバーを悪用しているという点です。
ソフォスは、AuKillマルウェアの6つの異なる亜種を収集し、AuKillと別のオープンソースツールであるBackstabとの間に類似点を見出しました。その類似点には、派生したものとみられる特徴を示すデバッグ文字列や、ドライバとのやり取りに使用されるほぼ同一のコードフローロジックなどが含まれています。 ソフォスの研究者たちは、AuKillがBackstabの複数のコードスニペットを基に構築されたものだと考えています。
正規のドライバーの不正利用と procexp.sys
ドライバーのセキュリティ対策を回避するためには、攻撃者は、信頼できる／正規の証明書で悪意のあるドライバーに署名させる方法を考え出すか、あるいは正規の商用ソフトウェアドライバーを悪用する方法を考え出す必要があります。 ソフォスが観測した攻撃キャンペーンにおいて、攻撃者は、マイクロソフトが作成し、署名も行ったドライバーを悪用していました。
AuKillは、プロセックスプ.sysという名前のドライバを、そのマシンのC:\Windows\System32\drivers パスに配置します。 正規のProcess Explorerドライバーは、通常、この同じ場所にあり、「 procexp152.sys」という名前がついています。 Process Explorerが実行されているマシン上では、両方のドライバーが共存することができます。 AuKillのインストーラーは、自身の実行可能ファイルのコピーを「 System32 」ディレクトリまたは「temp」ディレクトリのいずれかに配置し、それをサービスとして実行します。
このプロセスを悪用するには、攻撃者がシステム上で管理者権限を使用する必要があります。 ただし、Windowsの重要なプロセスについては、攻撃者がそれらを無効化できないよう、追加の保護措置が講じられています。 これらの機能を回避するためには、攻撃者はさらに一歩踏み込んで、カーネルモードでドライバを実行する必要があります。 このケースでは、AuKillはProcess Explorerの正当なドライバーを悪用し、これらの機能を回避しました。
AuKillを使用するには、攻撃者が管理者権限を持っている必要がありますが、AuKill自体では攻撃者にその権限を与えることはできないという点に留意することが重要です。
Aukillマルウェアの変遷
ソフォスは数か月にわたり、AuKillマルウェアの6つのバージョンを収集し、各バージョン間の機能の変化を追跡しました。 とりわけ、コンパイラと対象となるセキュリティコンポーネントが変更されました。
ソフォスは、 v1 およびv6 のサンプルが最も頻繁に確認されたため、主にこれらに焦点を当てました。V6 については、ソフォスの研究者らによると、実験的なバージョンのようです。 これら2つのバージョンを比較することで、研究者たちは将来のバージョンがどのような方向に向かう可能性があるかについて、洞察を得ることができます。
- フェーズ1： サービスのインストール： 実行されると、マルウェアは管理者権限を持っているかどうかを確認します。 また、このファイルを実行するには、攻撃者がコマンドラインの最初の引数としてキーワード、あるいはパスワードのようなものを指定する必要があり、指定されない場合は実行が中止されます。 AuKillはまず、Windows Modulesのインストーラーコンポーネントである「Trusted Installer」サービスを起動します。 その後、TrustedInstaller[.]exeのトークンを複製し、プロセスが再起動した際にそのトークンを渡して、自身の権限をSYSTEMに昇格させます。 最後に、C:\Windows\system32に自身をコピーし、サービスとしてインストールして、そのサービスを開始します。
- フェーズ 2: セキュリティの無効化： サービスエントリを作成して永続性を確立した後、procexp.sys をディスクに書き込みます。 このドライバーは、AuKill にリソースとして組み込まれています。
EDRクライアントのコンポーネントが再起動するのを防ぐため、AuKillは複数のスレッドを起動し、これらのプロセスやサービスが無効な状態を維持するようにします。 各スレッドは異なるコンポーネントを対象としており、対象のプロセスやサービスが実行中かどうかを判断するために、それらを継続的に監視します。実行中の場合は、AuKillがそれらを無効化または終了させます。
AuKillには、EDRコンポーネントを無効化するために使用する4つの機能があります。それは、「Procexpによる終了」、「強制終了」、「サービスの無効化」、および「ドライバのアンロード」です。 ソフォスは、レポートの中でこれら4つの機能それぞれについて詳しく解説しています。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
「AuKillは、さらなる悪意のある活動の前兆であると考えられ、ネットワーク内でAuKillの兆候が見られた場合は真剣に受け止めるべきですが、脅威アクターがすでに管理者権限を持っていない限り、AuKillは実行できないという点も忘れてはなりません。」 とはいえ、ネットワーク上でAuKillの活動が確認されたことは、LockBitランサムウェアなどの別の危険なペイロードがまもなく展開される兆候である可能性が高く、したがって、AuKillが依然として深刻な脅威となり得ることが証明されています。」
以前のソフトウェア・サプライチェーンへの侵害をきっかけとして発生した3CX 件のソフトウェア・サプライチェーンへの侵害
セキュリティ調査会社のマンディアントは、3月に同社の広く普及しているデスクトップアプリソフトウェアに影響を与えた、注目を集めた 3CX のサプライチェーン侵害事件について、その最初の感染経路は、サードパーティのウェブサイトから3CX’s のネットワークにダウンロードされたマルウェアであったと結論づけました。
マンディアント社は、あるソフトウェア・サプライチェーン攻撃が別のソフトウェア・サプライチェーン攻撃を引き起こすという事態を今回初めて確認したと指摘しています。これはまさに『インセプション』のような、ロシアのマトリョーシカ人形を思わせる、悪夢のようなサイバー攻撃の連鎖としか言いようがありません。
Mandiant社提供の、おさらい用の資料をご紹介します：
2023年3月の後半、ソフトウェアサプライチェーンへの侵害が発生し、 のウェブサイトからダウンロード可能だった 3CX’s 種類の正規ソフトウェア のトロイの木馬化されたバージョンを通じて、マルウェアが拡散しました。 影響を受けたソフトウェアは、 3CX DesktopApp 18.12.416 およびそれ以前のバージョンであり、これらには、ダウンローダー「SUDDENICON」を実行する悪意のあるコードが含まれていました。このダウンローダーは、GitHub上にホストされた暗号化されたアイコンファイルから、追加のコマンド＆コントロール（C2）サーバーの情報を取得していました。 復号化された C2 サーバーは、ICONICSTEALERと特定された第3段階のプログラムをダウンロードするために使用されました。これは、ブラウザ情報を盗み出すデータマイナーです。
また、マンディアント・コンサルティング社は、 3CX 社に対するサプライチェーン侵害に関する継続的な調査の結果、最初の侵入経路を突き止めたと主張しています。マンディアント社は、この一連の事態の根本原因を、3CX 社に配布された感染したソフトウェアにあると特定しました。これは、トレーディング・テクノロジーズ社が提供する正規のソフトウェアパッケージ「X_TRADER」の、悪意を持って改変されたインストーラーを用いたサプライチェーン攻撃によるものでした。
マンディアント社は、かなり高度なロードプロセスが最終的に、VEILEDSIGNALマルウェア（マンディアント社はこれを「多段階モジュール型バックドア」と表現しています）およびその付属モジュールの展開につながったと結論づけました。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
「マンディアットは、上記の悪意のある活動を、 UNC4736 として追跡されている脅威グループによるものと特定しています。マンディアットは、このグループが、CISAによって『AppleJeus』と名付けられた、金銭を目的とした北朝鮮のサイバー犯罪活動と関連している可能性が中程度の確信度で高いと考えています。」
「このことは、GoogleのTAGによる報告でも裏付けられています。同報告では、 2022年2月においてwww.tradingtechnologies[.]comが侵害されたことが報告されており、その直後に、同サイトから改ざんされたX_TRADERのアップデートが配布されました。」 さらに、 UNC4736 とAPT43の間にもインフラ面での重複が見られます。102は、CTIが現在も「脅威アクター・プロファイル（TAP）」を公開している、もう1つの北朝鮮の脅威アクターです。」
「マンディアントが指摘しているように、 APT43 は仮想通貨の利用者や関連サービスを頻繁に標的としており、こうした攻撃キャンペーンが北朝鮮と関連するサイバー攻撃者たちの間で広く行われていることが浮き彫りになっています。」
「北朝鮮の国家支援を受けたグループが、別のソフトウェア・サプライチェーン攻撃に直接つながった初のソフトウェア・サプライチェーン攻撃の犯行に関与している可能性があることは、重要な点です。」 また、セキュリティ研究者たちは、これまで北朝鮮と関連のあるサイバー脅威の攻撃者を過小評価していた可能性もあります。 「この事件は、『隠遁国家』が依然として手ごわい脅威となっていることを改めて思い知らせるものです。」
これらの記事について、何かご意見やご感想など、共有したいことはありますか？ または Tanium のディスカッションフォーラム にアクセスして、会話を始めてみてください。
さらに詳しくお読みになりたい方は、当社の最新の「」サイバー脅威インテリジェンスまとめをご覧ください。
