今週のまとめのトップは、Snakeマルウェアに関する画期的な共同サイバーセキュリティ勧告についてです。このマルウェアは、ロシア連邦保安庁（FSB）の「センター 16 」からこれまでに登場した中で最も洗練されたサイバー諜報ツールであるとされています。 続いて、CTIは、Metaの各プラットフォームにおいてChatGPTを装ったマルウェアが増加していることを明らかにしたレポートについて詳しく解説します。 最後に、CTIは、Microsoft 365を利用している組織を標的とした「Greatness」と呼ばれる新たなフィッシング・アズ・ア・サービス（PhaaS）プラットフォームについて詳述した、Cisco Talosの脅威アドバイザリを調査しています。
1. CISAは、Snakeマルウェアの活動について詳述したサイバーセキュリティに関する共同勧告を発表しました
サイバーセキュリティ・インフラセキュリティ庁（CISA）は、米国司法省（DoJ）、FBI、NSA、米サイバー軍（USCYBERCOM）のサイバー国家任務部隊（CNMF）、英国の国家サイバーセキュリティセンター（NCSC）、オーストラリアのオーストラリア・サイバーセキュリティセンター（ACSC）、カナダ・サイバーセキュリティセンター、およびニュージーランドの国家サイバーセキュリティセンターが共同で作成したサイバーセキュリティ報告書を発表しました。
本報告書では、「ロシア連邦保安庁（FSB）のセンター 16 によって設計・使用された、最も洗練されたサイバー諜報ツール」と評される「」スネークマルウェア（ （新しいタブで開きます））に関する詳細な背景情報を提供しています。
その後のNSAおよび司法省（DoJ）のプレスリリースでは、上記の組織が「スネーク」の運用インフラを特定し、その活動を阻止するために取り組んだ省庁横断的な取り組みについて説明されています。
「Snake」マルウェアとは何ですか？
BleepingComputerによると、Snakeは当初、「 」「Uroburos」 （新しいタブで開きます）という名称で追跡されていました。その開発は早くも 2003 年後半に始まり、インプラントの最初の完成版は翌年の初めに完成したと報じられています。 その後まもなく、ロシア政府の支援を受けたハッカーによるものとされる、このマルウェアを用いたスパイ活動による攻撃が相次ぎました。
CISAは、Snakeの高度さを主に3つの側面によるものと分析しています。
- Snakeは、ホストとなるコンポーネントやネットワーク通信において、極めて高いレベルのステルス性を実現しています。
- Snakeの内部技術アーキテクチャにより、新しいコンポーネントや交換用コンポーネントを容易に組み込むことができます。 これにより、異なるホストOS上で動作するSnakeインスタンスの開発や相互運用性も促進されます。 著者らは、Windows、MacOS、およびLinuxの各オペレーティングシステムを標的とするよう設計された、相互運用可能なSnakeインプラントを確認しました。
- Snakeは、綿密なソフトウェア工学に基づく設計と実装が特徴です。 このインプラントには不具合がほとんどありません。
このインプラントの極めて高い有効性に加え、FSBの開発チームは、スネークの戦術、技術、手順（TTP）に関するオープンソースの情報に基づき、新機能や技術を迅速に実装できる能力を備えています。
この共同勧告書の執筆者たちは、Snakeの継続的な改変が、Snakeおよびその関連アーティファクトの特定と収集における繰り返される障害となっていると指摘しています。その結果、ホストおよびネットワークベースの防御ツールで活用できる信頼性の高い検知手法を構築しようとする真剣な取り組みが、結局のところ阻害されてしまっています。
「スネーク」のように効果的で、驚くほど長期間にわたり機能し続けるサイバースパイ用インプラントを作成するには、何よりもまず、長期にわたってステルス性を維持できる能力が不可欠です。 このレベルのマルウェアは、標的システム内に数ヶ月、あるいは数年もの間、検知されることなく潜伏し続け、貴重な情報への継続的なアクセスを確保するとともに、その収集・持ち出しを容易にすることを目的としたスパイ活動のために設計されています。
こうした点を踏まえると、「スネーク」は、情報要件（IR）を支援するため、重要標的に対して無期限に秘密裏にアクセスできるようにすることを目的とした、FSBによる断固たる取り組みの「他に類を見ないほど洗練された」成果であると言えます。
「Snake」マルウェアの責任は誰にあるのでしょうか？
この共同勧告書の共著者たちは、「スネーク」作戦の主体を「FSB第 16 センター内の既知の部隊」であると指摘しています。
スネーク以外にも、この組織は、ロシアの支援を受けているとされる悪名高い脅威グループ「トゥルラ」が所有しているとみられるツールセットの、その他のさまざまな要素を利用できると報じられています。 Snakeは同社のツールセットにおいて常時採用されており、このインプラントがFSBの現代的なサイバー作戦の多方面に多大な影響を与えていることが示されています。
この勧告書では、スネークは、同部隊がFSBの管轄下で活動し始めて以来、ほぼ同期間にわたり、センター 16’s の活動の中核をなしてきたと主張しています。
Snakeマルウェアの被害実態
捜査の過程で、北米、南米、アフリカ、ヨーロッパ、アジア、オーストラリアの 50 カ国以上――米国やロシアを含め――において、この活動に関連するインフラが発見されました。
教育、民間企業、メディアをはじめ、政府施設、金融サービス、製造業、通信など、重要インフラに指定されている分野を含む、さまざまな業種にわたる米国を拠点とする組織が影響を受けました。
共同勧告より：
Snakeはあらゆる業界のインフラを活用していますが、そのターゲティングは目的意識が明確で、戦術的な性質を持っています。 例えば、感染したシステムがSnakeからの通信に応答しなかった場合、FSBの関係者は数日以内に戦略的にそのシステムを再感染させました。 世界的に見て、FSBは「スネーク」を用いて、政府のネットワーク、研究施設、ジャーナリストといった重要度の高い標的から機密情報を収集してきました。
スネーク法
の宣誓供述書 （新しいタブで開きます） および の捜索令状 （新しいタブで開きます） によると、米国政府機関は過去 20 年の大半にわたり、「スネーク」および「スネーク」関連のマルウェアや活動を監視してきました。この取り組みには、ロシアのFSB施設から「スネーク」を展開していたTurlaハッカーたちを厳重に監視することも含まれていました。
これらをはじめとする共同の取り組みにより、Snakeのアーキテクチャや、このインプラントを用いた作戦で採用されたその他のツールやTTPについて、重要な知見が得られました。
共同勧告より：
FSBは通常、ネットワーク上の外部に面したインフラストラクチャ・ノードに「Snake」を展開し、そこから内部ネットワーク上で他のツールやTTPを用いて、さらなる攻撃活動を行います。 標的となるネットワークへの侵入に成功し、その立場を固めた後、FSBは通常、ネットワークの調査を行い、管理者資格情報の取得やドメインコントローラーへのアクセス権の獲得を図ります。 ネットワーク内を横方向に拡散するために、ユーザーや管理者の認証情報を収集する目的で、キーロガー、ネットワークスニッファ、オープンソースツールなど、多岐にわたる手法が用いられてきました。
こうした攻撃は、事前にネットワークの偵察を行い――ネットワークの構造を把握し、標的となるドメインへのアクセスに必要な認証情報を取得する――FSBのハッカーたちによって実行されています。
Snakeは情報収集ツールとして非常に効果的であるため、オペレーターが追加の「重厚な」インプラントを使用することはほとんどありませんでした。その代わりに、主に軽量な内部リモートアクセスツールや、Snakeの対話型機能を補完するための小規模なリモートリバースシェルを時折利用していました。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
「少なくとも、共同勧告および、多国籍のサイバーセキュリティ機関や法執行機関のチームによる『Snake』のグローバルなマルウェアインフラの摘発に関する の各種プレスリリース （新しいタブで開きます） に含まれる情報は、次の2つのことを痛感させるものです：
- まず、ロシアの国家が支援するハッカーやマルウェア開発者たちは、現在活動している多くの大手ソフトウェアメーカーに匹敵するレベルで活動しています。 これは、『スネーク』の複雑さ、長寿、そして卓越した有効性から明らかです。
- 第二に、米国の情報機関が、外国の領土から活動するサイバー犯罪者（国家の支援を受けているか否かを問わず）に対して、より積極的な姿勢をとっていることは明らかです。」
2。 ハッカーたちは、ChatGPTを装った罠を利用して、Facebook上でマルウェアを拡散させています
Facebookの親会社であるMetaは、 自社の各プラットフォームにおいて、ChatGPTを装ったマルウェアの増加を (新しいタブで開きます) 確認しています。
2023年3月以降、Metaのセキュリティチームは、ChatGPT やその他のAI関連のテーマを利用してマルウェアを配布する、 の10 のマルウェアファミリーを特定しました。 これらのマルウェアファミリーには、Ducktailや
NodeStealerは、悪意のあるブラウザ拡張機能、広告、およびさまざまなソーシャルメディアプラットフォームを通じて、標的となる被害者を狙います。
以下に、主なポイントをいくつかご紹介します：
- ここ数ヶ月、Metaは、ChatGPTやAI関連機能に対する人々の関心を悪用していた複数のマルウェアの亜種について調査を行い、対策を講じました。 Metaが確認した最新の攻撃では、Facebookだけでなく、Dropbox、Google Drive、Mega、MediaFire、Discord、AtlassianのTrello、OneDrive、iCloudといったファイル共有サービスも標的とされ、マルウェアのホストとして利用されていました。
- Metaが確認したある事例では、攻撃者は、ChatGPTベースのツールを提供すると謳う悪意のあるブラウザ拡張機能を作成し、公式のウェブストアで公開していました。 その後、これらのブラウザ拡張機能は、ソーシャルメディアサイトやスポンサー付き検索結果を通じて宣伝され、被害者をだましてマルウェアをダウンロードさせました。
- 場合によっては、これらの拡張機能には、マルウェアに加えて、ChatGPTの正規の機能も含まれていました。 これを受けて、Metaは、自社のプラットフォーム上で共有されるChatGPTを題材とした1,000件以上の悪意のあるURLをブロックしました。
「Ducktail」マルウェアとは何ですか？
「Ducktail」というマルウェアはかなり前から存在しており、ブラウザのクッキーを盗み出し、認証されていないFacebookのセッションを悪用するように設計されています。 また、LinkedInを標的として、ソーシャルエンジニアリングの手法で被害者にマルウェアをダウンロードさせたり、ファイルホスティングサービスを利用してマルウェアをホストしたりしています。
Metaは長年にわたり、Ducktailのさまざまなバージョンを追跡し、ブロックしてきました。 最新のバージョンでは、Ducktailの運営者は、攻撃者が送信した広告関連の操作リクエストに対して、処理を迅速化しようとする試みとして、自動的にビジネス管理者権限を付与するようになりました。
NodeStealerというマルウェアの亜種とは何でしょうか？
Metaは最近、「NodeStealer」と呼ばれる新たなマルウェアの亜種を発見し、その活動を阻止しました。 2023年1月のセキュリティチームは、Windowsデバイス上のインターネットブラウザを標的とし、クッキーや保存されたユーザー名・パスワードを盗み出すことを目的としたマルウェアを確認しました。 NodeStealerは、ベトナム発祥とみられるカスタムJavaScriptマルウェアです。
Metaは、NodeStealerが展開されてから2週間以内とされる時期に、その活動を阻止するための措置を講じました。 彼らは、これらの脅威アクターの標的となったサードパーティのレジストラ、ホスティングプロバイダー、およびアプリケーションサービスに対し、複数の削除要請を提出しました。 Metaによると、これらの措置により、マルウェアの活動を阻止することに成功したとのことです。
NodeStealerは通常、正当なアイコンやファイル名を装った偽装されたPDFやExcelファイルとして配布され、ユーザーを騙して悪意のあるファイルを開かせるように仕向けられます。
その目的は、Chromiumベースのブラウザから保存されているパスワードやCookieのセッション情報を盗み出すことにあります。 このマルウェアは、Chrome、Opera、Microsoft Edge、およびBraveといったブラウザを対象に、この情報を狙っています。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
「 のChatGPTやAI関連技術（ ）に対する一般の関心は高まり続けており、脅威アクターたちがこの高まる関心を悪用しようと躍起になっているのも当然のことでしょう。」
「Metaは、NodeStealerマルウェアファミリーの活動を阻止したと主張していますが、これは確かに喜ばしいことではありますが、次のChatGPT関連のサイバー攻撃が発生するのは時間の問題でしょう。」
3。 新たな「フィッシング・アズ・ア・サービス」ツールが実環境に登場しました
Cisco Talosは、 の新たなフィッシング・アズ・ア・サービス（PhaaS） （新しいタブで開きます） プラットフォーム「Greatness」について詳述した脅威アドバイザリを公開しました。
このプラットフォームは、Microsoft 365を利用している組織を標的としていることが確認されており、被害者の多くは米国に所在しています。このサービスには、被害者のメールアドレスを事前に入力したり、組織の実際のMicrosoft 365 ログインページから抽出された適切な会社のロゴや背景画像を自動的に表示したりする機能が含まれています。
このフィッシングキットは、Greatness API と連携して被害者から情報を要求し、正規の Microsoft 365 ページへのログインをリアルタイムで試みます。
「Greatness PhaaS」プラットフォームとは何でしょうか？
少なくとも2022年半ば以降、さまざまなフィッシングキャンペーンにおいて「Greatness」が確認されており、特に 2022年12月 および 2023年3月 ではその件数が急増しています。 このサービスには、 のより高度なPaaSサービスに見られる機能と同様のものが組み込まれており、 の多要素認証（MFA） のバイパス、IPフィルタリング、Telegramボットとの連携などが含まれています。
現在、このツールはMicrosoft 365 のページに焦点を当てており、アフィリエイト向けに、説得力の高いログインページを作成するための添付ファイルおよびリンク生成ツールを提供しています。 前述の通り、この手口では、被害者のメールアドレスを事前に入力し、正規のログインページから抽出した適切な会社のロゴや背景画像を自動的に表示することが可能です。 このため、Greatnessは、ビジネスユーザーを標的としたフィッシング攻撃を企てる脅威アクターにとって魅力的な標的となっています。
「Greatness」を利用するアフィリエイトは、提供されたフィッシングキットをAPIキーとともに導入・設定する必要があります。これにより、技術に不慣れな攻撃者であっても、このサービスを利用できるようになります。 このフィッシングキットとAPIは、Microsoft 365 認証システムへのプロキシとして機能し、中間者攻撃を実行して、被害者の認証情報やクッキーを盗み出します。
「The Greatness PhaaS」は、管理パネルを含むフィッシングキット、サービスAPI、およびTelegramボットまたはメールアドレスの3つのコンポーネントで構成されています。
活動と被害者学
- VirusTotalで入手可能な添付ファイルのサンプル数によると、「Greatness」は2022年半ばに、 2022年12月 および2023年3月での急増をきっかけに初めて確認されたようです。
- 調査対象となった各キャンペーンは、それぞれ地理的な重点地域がわずかに異なります。 しかし、全標的のうち 50％以上が米国に拠点を置いていました。
- 「Greatness」は、Microsoft 365 のユーザーを標的とするように設計されており、その潜在的な被害者の範囲は非常に広くなっています。 シスコ・タロスによる調査によると、製造業、医療、テクノロジー分野が「Greatness」による攻撃の標的として最も多く挙げられました。
「グレートネス」の攻撃の流れを見てみましょう
Greatnessが関与するキャンペーンの攻撃の流れは、被害者が悪意のあるメールを受信した時点で始まります。 こうしたメールには通常、HTMLファイルが添付されており、被害者にそれを開かせるよう仕向けています。
被害者がHTMLファイルを開くと、ウェブブラウザは、攻撃者のサーバーへの接続を確立するために、難読化された短いJavaScriptコードを実行します。 この接続により、GreatnessはフィッシングページのHTMLコードを取得し、同じブラウザウィンドウ内でユーザーに表示することができます。 このコードには、ぼやけた画像と回転するホイールが含まれており、ドキュメントが読み込まれているかのような印象を与えています。 このページは、被害者をMicrosoft 365 のログインページにリダイレクトします。そのページには、被害者のメールアドレスと、その会社が使用しているカスタム背景やロゴが事前に入力されています。
被害者がパスワードを入力すると、Greatnessは被害者の認証情報を使用してMicrosoft 365 へのログインを試みます。 被害者が多要素認証（MFA）を有効にしている場合、サービスは被害者に対して認証を求めるプロンプトを表示します。
サービスがMFAリクエストを受信すると、裏で被害者を装い続け、ログインプロセスを完了させ、認証済みのセッションクッキーを取得します。 その後、これはサービス提携先のTelegramチャンネル、またはウェブパネルを通じて直接配信されます。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
「Greatness PhaaSの最も興味深い点は、従来のフィッシングのように、単に認証情報を盗むだけで終わらないということです。 Greatnessは、盗み出した認証情報をリアルタイムで正規のMicrosoftログインページに送信し、これにより攻撃者は被害者のアカウントに即座にアクセスできるようになります。
「『Greatness』のメールによる誘引がどのようなものかについては、現時点ではまだあまり情報が公開されていませんが、CTIでは、新たな情報が明らかになり次第、随時お知らせいたします。」
これらのストーリーについて、何かご意見やご感想など、お聞かせいただけませんか？ または Tanium のディスカッションフォーラム にアクセスして、会話を始めてみてください。
さらに詳しくお読みになりたい方は、 の最近のサイバー脅威インテリジェンスまとめ記事をご覧ください。
