今週のまとめでは、少なくとも3つの異なる脅威グループが、BazarCallというコールバック型フィッシング手法をどのように悪用しているかについて解説します。 続いて、テクノロジー大手のシスコは先ごろ、 2022年5月 によるサイバー攻撃を受けたことを認めました。 さらに、CTIでは、 11 日間も検出されずにいた「BumbleBee」マルウェアを用いた攻撃に関する、DFIRレポートの最新の分析について検証しています。
1. AdvIntelは、TwilioおよびCloudflareへの攻撃を受け、BazarCallに関するアドバイザリを発表しました。
AdvIntelは、危険かつ効果的なコールバック型フィッシング手口である「BazarCall」（別名：BazaCall）を利用した、最新のサイバー犯罪活動について詳述したブログ記事を公開しました。
BazarCallは、当初、 2020 （新しいタブで開きます） に掲載され、後にContiと改称された悪名高いランサムウェア集団「Ryuk」のツールキットの一部として登場しました。 AdvIntelの調査によると、この手法に由来する独自の「 」フィッシング戦術 を採用し、さらに洗練させてきた、互いに無関係な3つの脅威グループが存在することが明らかになりました。それらは、Silent Ransom、Quantum、Roy/Zeonです。
最近では、 のCloudflare （新しいタブで開きます） および のTwilio （新しいタブで開きます） の両社において、従業員やその家族の自宅電話番号を把握している高度な脅威アクターによるフィッシング攻撃を含む、同様の攻撃が発生しました。
景観への影響
BazarCallは、従来のフィッシング手口とは一線を画し、ソーシャルエンジニアリングや標的型フィッシング（スピアフィッシング）に関する高度な知識を活用して被害者のネットワークに侵入する点で注目されています。
電話を介したソーシャルエンジニアリングの手法は――複雑で技術的なハッキング攻撃とは対照的に――明らかに勢いを増しており、あらゆる種類の脅威アクターに採用されていますが、とりわけランサムウェアや恐喝を目的とするアクターによって広く利用されています。 例えば、比較的未熟な「Lapsus$」グループがサイバー業界の巨頭をいくつか撃破した事例が見られましたが、前述のCloudflareやTwilioに対する最近の攻撃からも明らかなように、同グループの仲間たちの一部も同様の試みを行っているようです。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
「Silent Ransomは、前述の他の2つのグループと同様、Contiの元幹部メンバーで構成されていますが、彼らが先駆けて行った高度に洗練されたフィッシング攻撃を利用している脅威グループは、もはや彼らだけではないことは明らかです。」 また、本稿で言及した最近の攻撃事例からも明らかなように、音声フィッシング（通称「ヴィッシング」）の手法を活用しているのは、彼らだけではありません。 他の脅威グループも、こうした戦術の成功、効率性、および標的選定能力に注目し、リバースフィッシングキャンペーンを基本手法として採用し始め、この感染経路を独自の攻撃スタイルへと発展させています。
この傾向は今後も続く見込みであり、もしそうであれば、CloudflareやTwilioのように、さらに多くの被害者が名乗り出る可能性が高いでしょう。 奇妙なことに、まるでハッカーたちが用いる戦術が一周回って元に戻ったかのようです。 私たちが知る「ハッキング」の萌芽は、世界でも最も悪名高いハッカーであるケビン・ミトニックやその仲間たちが活躍した「電話フレイキング」の時代に芽生えました。当時、彼らに頼れるものは、機転と迅速な判断力、標的となるシステムに関する知識、そして何よりも自分の声だけでした。 攻撃者は、高度なソーシャルエンジニアリングの手法の可能性にようやく気づいたようです。フィッシング攻撃がますます巧妙になり、正当な通信と見分けるのが難しくなっているため、これは私たち全員にとって深刻な問題となります。」
2。 シスコが「Yanluowang」ランサムウェア集団による攻撃を受けました
シスコは先日、ランローワン（Yanluowang）ランサムウェアグループが5月下旬に同社の社内ネットワークに侵入し、犯行グループが盗んだファイルをオンライン上で流出させると脅して金銭を要求しようとしたことを確認しました。シスコによると、同社は直ちにこの脅威を排除するための措置を講じたとのことです。
同社によると、攻撃者は、侵害された従業員のアカウントにリンクされていたBoxのフォルダから、機密性のないデータのみを持ち去ることができたとのことです。
「シスコは、この事象による当社の事業への影響は一切確認されておらず、シスコの製品やサービス、顧客の機密データや従業員の機密情報、シスコの知的財産、サプライチェーンの運営などへの影響もありませんでした」と同社は声明で述べています。 （新しいタブで開きます）。 「 8月10日において、悪意のある攻撃者たちは、今回のセキュリティインシデントに関連するファイルの一覧をダークウェブ上に公開しました。」
シスコが「Yanluowang」ランサムウェア集団によるハッキング被害に遭い、 2.8GB 台が盗まれたと報じられています - @serghei bleepingcomputer.com/news/security/…
この回答には、Cisco Talosによる詳細な分析「」へのリンクが記載されています。 （新しいタブで開きます）。この分析には、この攻撃に関する洞察が記載されています。 シスコ・タロスのレポートは、称賛に値する透明性を示しており、攻撃チェーンの各段階について驚くほど詳細に解説しています。
キーポイント
以下のリストは、この攻撃の注目すべき点をすべて網羅したものではありませんが、この事件の特徴を把握する上で参考となる、いくつかの興味深い項目をまとめたものです：
- 攻撃の全期間を通じて、情報を持ち出そうとする試みが確認されました。
- 攻撃者は、従業員へのパスワード再設定が義務付けられた後、パスワード変更の習慣が不十分な点を繰り返し狙い、以前のパスワードから1文字だけ変更したと見なしたユーザーを標的にしました。
- 攻撃者は、Torなどのトラフィック匿名化サービスを利用しました。
- その環境から排除された後、攻撃者は経営陣に対して繰り返し電子メールでの連絡を試みましたが、具体的な脅迫や恐喝の要求は一切行いませんでした。
攻撃の全過程を通じて、攻撃者はシステムに対して一連のペイロードを投入しました。 これらの中にはまだ分析中のものも多いですが、少なくともいくつかは調査が行われ、その目的が特定されています。 その中には、JSONブロブ形式で送信された C2 サーバーからの指示を、Windowsコマンドプロセッサを介して受信・実行するように設計された、単純なバックドアが含まれています。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
「シスコは、今回の攻撃に関する一連の出来事を透明性を持って説明した点で、称賛に値します。」 これほど深く詳細な情報の共有は、今後、同様の攻撃が他の組織に被害を及ぼすのを防ぐ一助となるかもしれません。
Yanluowangランサムウェアは、 （新しいタブで開きます） あたりで初めて確認され、 2021年10月頃、企業ネットワークに対する標的型攻撃に利用されました。 一連の攻撃において、攻撃者は、AdFind Active Directory クエリツールなどの正規のツールが使用された後に、アナリストが不審な活動を検知したことで、しばしば発見されました。 2022年4月によると、カスペルスキーは、このランサムウェアの暗号化アルゴリズムに脆弱性を発見し、これにより暗号化されたファイルを復元できるようになったと発表していました。 カスペルスキー は、その直後に、Yanluowangの被害者向けに無料の復号ツールを公開しました。 （新しいタブで開きます）
シスコの調査において、ランサムウェアのペイロードが一切発見されなかったことは、何かを物語る兆候であるかもしれません。 攻撃の多く（すべてではないにせよ）が、人間による操作であったように見えたという点についても、同様のことが言えます。 Yanluowangは、仲間のLapsus$と同様に、暗号化を行わない恐喝モデルへと移行した、単なるもう一つのランサムウェア集団に過ぎないのかもしれません。 もしそうであるならば、ヤンルオワンも同様に脅威と見なすべきでしょう。」
3。 「BumbleBee」マルウェアによる攻撃が 11 日間も検知されずに済んでいました
DFIRレポートでは、BumbleBeeマルウェア （新しいタブで開きます） について、詳細な技術的分析を行うとともに、脅威アクターが 11 日間も検知されることなく標的ネットワーク内で活動した、最近の侵入事件において同マルウェアが果たした役割についても解説しています。
「今回の侵入において、脅威アクターはISOファイルとLNKファイルを利用してアクセス権を取得し、複数の横方向移動手法を用い、3つの異なる方法で認証情報をダンプし、ドメイン管理者アカウントに対してケルボロース攻撃を行い、権限昇格の経路を特定するための特注ツールを配置・実行しました」と、DFIRは説明しています。
BumbleBeeがドメイン管理者権限を獲得するまでの経緯 ➡️初期アクセス：BumbleBee（ZIP形式のISOファイル／LNK＋DLL付き） ➡️永続化：AnyDesk ➡️脆弱性の発見：VulnRecon、Seatbelt、AdFindなど ➡️認証情報：Kerberoast、comsvcs.dll、 ProcDump ➡️C2：BumbleBee、CobaltStrike、AnyDesk thedfirreport.com/2022/08/08/bum…
DFIRの研究者たちは、今回の侵入の際、データの持ち出し、暗号化、または破壊は確認されませんでした。 しかし、確認されたTTPには、「脅威アクターに十分な時間があれば、ドメイン全体を対象としたランサムウェア攻撃につながりかねなかったであろう、一般的なサイバー犯罪脅威アクターの手口」が見受けられます。
CTIは以前、BumbleBeeマルウェアについて報告しました。これは、 が最初に報告し、 （新しいタブで開きます）で観測されたマルウェアローダーであり、Googleの脅威分析グループ（TAG）による 2022年3月 で取り上げられました。 Googleは、このマルウェアを「Exotic Lily」と呼ばれる初期アクセスブローカー（IAB）によるものと特定しています。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
「DFIRレポートは、その驚くほど綿密な分析で知られていますが、今回も例外ではありません。CTIでは、さらなる技術的な詳細については、レポート全文をご覧になることをお勧めします。」
BumbleBeeマルウェアは、今年初めに初めて確認された際、大きな話題を呼んだようです。研究者たちは、これを「」と評し、「次のBazarLoader (新しいタブで開きます)」であると説明するとともに、初期アクセスブローカー（IAB）からなる組織的な犯罪グループとの明らかな関連性についても大きく取り上げていました。
BumbleBeeに関連する活動は、その出現以来減少傾向にあったようですが、このマルウェアは最近再び台頭し、ランサムウェアやその他のペイロードを配信する深刻かつ効果的な手段として、かつての地位を取り戻しています。 このマルウェアは、脅威アクターの間でますます広く利用されるようになっており、その理由は一目瞭然です。 BumbleBeeは非常に洗練されており、検知回避に重点が置かれています。実際、BumbleBeeは従来の防御ソリューションを回避する能力が非常に高いため、前述の侵入事件の背後にいた脅威アクターは、 11 日間も検知されずに済んだのです。 「これだけでは長い期間には聞こえないかもしれませんが、こう考えてみてください。もし泥棒が 11 日間もあなたの家の中をうろついているとしたら、そんな状況は望みますか？」
次へ：Taniumコミュニティをご覧ください
これらの新たな課題について、ご質問やご意見はございますか？ のユーザーコミュニティ（ （新しいタブで開きます）、、 ）にアクセスして、ディスカッションフォーラムに参加したり、サイバーセキュリティに関する最新のベストプラクティスをご確認ください。
また、Taniumをぜひお試しいただき、当社の「Converged Endpoint Management（XEM）」ソリューションが、高度な脅威からお客様のビジネスをどのように守ることができるか、その実力を体感していただければ幸いです。 無料トライアルをお試しください （新しいタブで開きます）。
