In this week's roundup, CTI provides key takeaways from Google Cloud’s Threat Horizons report from the third quarter of 2023. 次に、CTIは、北朝鮮の国家系攻撃主体「BlueNoroff」と、これまで未報告だった「ObjCShellz」と呼ばれるmacOS向けマルウェアとの関連性について調査します。 CTIでは、クラウドサービスを標的とする、Pythonベースの新しい情報窃取型マルウェアおよびハッキングツール「Predator AI」の概要についても紹介しています。
1. Google Cloudが「 Q3 Threat Horizons」レポートを発表しました
Google Cloud’s latest Threat Horizons report (opens in a new tab) for the third quarter of 2023 is now available, offering cloud-specific research and recommendations from the company’s intelligence and security teams.
特筆すべき点として、同レポートでは、Googleカレンダーサービスを利用して「 C2 インフラストラクチャ」をホストする公開の概念実証（PoC）エクスプロイトを、複数の脅威アクターが共有していることについて警告しています。
攻撃者は、クラウド上でホストされているSaaS上のデータを標的にしています
組織がクラウド上でホストされるSaaSの導入を進めるにつれ、脅威アクターに対する攻撃対象領域は拡大し続けています。 ここ数ヶ月、Googleでは、脅威アクターがさまざまな手口を用いて、クラウド上でホストされているSaaSシステムにアクセスし、データを盗み出していることが確認されています。 また、Googleでは、攻撃者が一度に複数のシステムを悪用する攻撃も確認されています。
Googleカレンダーを駆使して「 C2 インフラストラクチャ」をホストする
また、この報告書では、脅威アクターが、悪意のあるインフラをホストするために、正規のクラウドサービスをますます好んで利用していることについても言及されています。 その理由の一つは、パブリッククラウドサービスが、企業が信頼を寄せる安価で信頼性の高いインフラストラクチャを提供しているからです。 攻撃者は、パブリッククラウドサービスを利用して、膨大な量の正当なトラフィックに紛れ込み、検知を回避しています。
For several years, threat actors have abused cloud-based storage to host campaign infrastructure, deliver malware, act as malware C2, and upload exfiltrated data. Googleカレンダーの悪用が、最近注目を集めているトレンドです。 2023年6月において、ある独立系開発者が「Google Calendar RAT」の概念実証コードをGitHubに公開しました。 Googleは、このGoogleカレンダー向けRATが実環境で使用されている事例をまだ確認していませんが、複数の脅威アクターがアンダーグラウンドのフォーラムでこれを共有していることを確認しており、一定程度の関心が寄せられていることが明らかです。
このツールは、Google カレンダーの予定を C2 通りの用途に活用します。 これにより、攻撃者はカレンダーイベントの説明欄にコマンドを埋め込むことが可能になります。 GoogleカレンダーのRATは、カレンダーのイベント説明文を定期的に確認して新しいコマンドがないかチェックし、それらを実行した上で、コマンドの実行結果をイベント説明文に反映させます。
このマルウェアの開発者は、検知を回避するために、Googleの正規のインフラのみを通じて通信を行っていると主張しています。
クラウドストレージプラットフォームにおけるタイポスクワッティングの悪用
攻撃者は、Google Cloud Storage、Amazon S3、Azure Blob といったクラウドストレージプラットフォームに対するタイポスクワッティング攻撃を取り入れるなど、その手口を進化させています。
クラウドストレージの名前は、クラウドプロバイダー間でグローバルに一意ですが、特定の組織に紐付けられているわけではありません。 このため、バケット名が利用可能な場合、攻撃者は企業の名前を偽装することが可能です。 同様に、会社名の正確な綴りが不明な場合、攻撃者はタイポスクワッティング攻撃に訴える可能性があります。 Googleが実施した調査によると、約 60％の組織において、タイポスクワッティングされたクラウドストレージのURLが1つ以上存在することが判明しました。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
GoogleカレンダーのRAT PoCの発見は、現時点では実環境での確認はされていませんが、クラウドサービスを悪用して正当なトラフィックに紛れ込ませようとする動きが依然として続いていることを明確に示しています。
Googleのレポートでは、さらに、クラウド環境を侵害するためのさまざまなTTPについて述べられています。 興味深いのは、彼らのデータによると、クラウド上の被害者は、画期的に複雑あるいは高度な攻撃によって侵害されているわけではなく、多くの場合、一般的かつよく知られたTTP（戦術・技術・手順）が原因となっているという点です。 これにより、防御担当者やセキュリティ専門家が、検知の取り組みをどこに優先すべきかを把握する際に役立ちます。
2。 BlueNoroffは、ObjCshellzマルウェアを用いてmacOSマシンをハッキングしています
Jamf Threat Labsの研究者らは、北朝鮮の BlueNoroffという国家系攻撃主体 （新しいタブで開きます） による活動を、これまで未報告だった「ObjCShellz」と呼ばれるmacOS向けマルウェアによるものと特定しています。 このマルウェアは、「RustBucket」マルウェアキャンペーンの一環として使用されており、同キャンペーンは 2023年4月で初めて明らかになりました。
発見と背景
Jamfは最近、「ObjCShellz」と呼ばれる の新たなマルウェア亜種を特定しました。 （新しいタブで開きます）。同社は、このマルウェアをBlueNoroff APTグループによるものと特定しています。 BlueNoroffは、ラザロ・グループの傘下組織であると考えられており、金銭を目的とした攻撃を行う傾向があります。 この俳優は、投資会社や銀行、仮想通貨取引所などを頻繁に批判しています。
Jamfは、定期的な脅威ハンティングの過程で、この新しいマルウェアの亜種を発見しました。 このケースでは、以前に悪意があると判断されたドメインと通信していたMach-Oユニバーサルバイナリが特定されました。 この実行ファイルは、最初に発見された際、VirusTotalでは悪意のあるファイルとして検出されませんでした。
「ProcessRequest」というバイナリは、その場しのぎの署名が行われており、swissborg[.]blog と通信していることが確認されました。 このマルウェアは、 C2 個のURLを2つの別々の文字列に分割し、それらを連結することで、静的な検出を回避します。 このドメインは、これまでBlueNoroffに関連付けられてきた他の活動と一致しています。具体的には、「 」のRustBucketキャンペーン（ （新しいタブで開きます）、、）です。
ブルー・ノロフと「ラストバケット」との関わり
「RustBucket」キャンペーンでは、攻撃者は投資家やヘッドハンターを装い、被害者に提携に関心があるふりをしたり、何かを提案したりして接触してきます。
その後、BlueNoroffは、信頼できるネットワーク活動に紛れ込むため、正規の仮想通貨企業に属しているかのように見えるドメインを作成します。 swissborgドメインは、swissborgが正規の仮想通貨取引所で使用されていることから、この活動と一致しています。
「swissborg[.]blog」ドメインは 2023年5月 で作成されたものであり、このマルウェアの通信に使用されている追加のURLがいくつか明らかになりました。 また、このドメインは、BlueNoroffが使用したマルウェアと以前関連付けられていたIPアドレスにも解決されます。
技術的な詳細
- このマルウェアはObjective-Cで記述されています。 これは、攻撃サーバーから送信されたシェルコマンドを実行することを目的とした、かなりシンプルなリモートシェルです。
- 現時点では、最初のアクセスについては確認されていません。これは、このマルウェアが、システムが侵害された後の段階において、手動でコマンドを実行するために使用されているためです。
- このマルウェアは、RustBucketキャンペーンに含まれる他の種類のマルウェアとは異なりますが、基本的なリモートシェル機能を提供しているようです。
- このマルウェアが実行されると、「sendRequest」という関数を呼び出し、ハードコードされたswissborgのURL宛てにPOSTリクエストを送信します。 その後、macOSのバージョンを特定する前に、マルウェアのプロセス自体に関する情報を取得します。
- このプログラムの主な機能は、繰り返しタイマーを設定する前に、ProcessRequest クラスのインスタンスを初期化することです。 タイマーは、一定の間隔で sendRequest メソッドを呼び出し、ネットワークリクエストが定期的に行われるようにします。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
このマルウェアは機能が限定的であるようで、単純なリモートシェルを提供し、受信したシェルコマンドを実行するだけのようです。 その単純さと、初期アクセスに関するデータが不足していることから、すでに侵害されたシステム上で、後段階のマルウェアとして使用されていると考えられています。
とはいえ、BlueNoroffが一般的に用いるさまざまなTTPを理解しておくことが重要です。 そのTTPを把握しておくことで、ObjCShellzが展開されるかなり前に、悪意のある活動を検知することが可能です。
3。 ChatGPTを活用した情報窃取型マルウェアがクラウドプラットフォームを標的にしています
研究者らは、 というPythonベースの情報窃取型マルウェア (新しいタブで開きます) および、クラウドサービスを標的とする「Predator AI」と呼ばれるハッキングツールを発見しました。
Predator AIの開発者は、ツールの使いやすさを向上させ、各機能間の統一されたテキストベースのインターフェースとして機能させるため、PythonスクリプトにChatGPTを活用したクラスを実装しました。 この情報窃取型マルウェアは、まだ実運用段階には至っていないようですが、脅威アクターがワークフローの改善のためにAIを現実的に取り入れ始めている実態を如実に示しています。
「プレデターAI」とは何でしょうか？
「Predator AI」は、ハッキングに関連するさまざまなTelegramチャンネルで宣伝されています。 その主な目的は、コンテンツ管理システムや、Amazon Simple Email Service（SES）などのクラウドメールサービスなど、さまざまな技術に対するWebアプリケーション攻撃を容易にすることです。 これは、現在も活発に開発が進められている多目的ツールです。
Predator AIに関する技術的な詳細
- Predatorは、 11,000 行以上のコードからなるPythonアプリケーションです。
- これは、Tkinter ベースの GUI を通じて動作します。 スタンドアロンのコマンドラインインターフェースモードは存在せず、この点が他の多くの類似ツールとは一線を画しています。
- このスクリプトには、さまざまな機能を分類するための 13 のグローバルクラスが定義されています。 これには、ファイルサイズの水増し、偽のエラーメッセージの作成、Windows PE形式の情報窃取型マルウェアの構築、OpenAI APIへのクエリ送信などが含まれます。
- PredatorのWebアプリ攻撃は、一般的な弱点、設定ミス、および脆弱性を狙っています。 Drupal、Joomla、Laravel、Magento、OpenCart、osCommerce、PrestaShop、vBulletin、WordPressなどの技術を対象としています。
GPTjクラス
GPTjクラスには、Predator AIの実際の機能が含まれています。 この機能は、ユーザーをPredatorの機能へとつなぐ、チャットのようなテキスト処理インターフェースです。 APIの利用量を削減するため、OpenAI APIにクエリを送信する前に、ローカルでの解決策を優先して探します。
GPTjクラスは、ユーザーからの入力の中から、既知のユースケースに関連する文字列を検索します。 Sentinel Oneは、Predatorが社内で、あるいは無料のサードパーティ製サービスを通じてデータを処理していた事例を 100 件以上発見しました。 このクラスには、AWS SESおよびTwilioに関連する、一部実装済みのユーティリティに加え、IPアドレスや電話番号に関する情報を収集するためのユーティリティも含まれています。 Predatorは、受け取った入力を処理するためのテストケースが存在しない場合にのみ、ChatGPT APIにクエリを送信します。
AWSの機能
この中核となるユーティリティは、現在スクリプト内に含まれています。 ただし、AWSに関連しない機能も利用可能です。 Sentinel One社は、これらの機能がまだ開発中であるためだと考えています。
このスクリプトは、入力データに「aws.c」が含まれているかどうかを解析し、含まれている場合は以下の関数を呼び出します：
- AWS SES 環境内のすべてのメールアカウントを確認してください。
- 送信クォータを確認してください。
- 新しいアカウントを作成し、管理者権限を割り当て、古いアカウントを削除してください。
StealerBuilder クラスについて
StealerBuilder クラスには、情報窃取型マルウェアを構築するために必要な設定変数が含まれています。 先月、開発者がこの情報窃取ツールの作成プロセスを詳しく解説した動画を公開しました。 また、開発者は、この実行ファイルが完全に検出不可能であることを確認しました。
このステラーは、 C2 通信にDiscordまたはTelegramのウェブフックのいずれかを使用するように設定できます。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
AIやLLMをめぐる話題の高まりを考えると、「プレデターAI」のようなものが登場するのは、まさに予想通りのことです。
このツールは、脅威アクターによるAIの採用拡大に向けた一歩ではありますが、Predator AIの機能は限定的です。 Sentinel Oneが指摘しているように、現時点では、この統合によって攻撃者の能力が大幅に向上するわけではありません。
これらの記事について、何かご意見やご感想など、共有したいことはありますか？ 、Taniumのディスカッションフォーラム （新しいタブで開きます）、、 にアクセスして、会話を始めてみてください。
さらに詳しくお読みになりたい方は、当社の最近の「」サイバー脅威インテリジェンスまとめ（）をご覧ください。
