今週のまとめのトップを飾るのは、CTIによる「AlphaLock」の調査です。AlphaLockは、ハッカーを育成し、専用のアフィリエイトプログラムを通じてそのサービスを収益化しているロシアのグループです。 Next CTIでは、現在複数の業界を脅かしている新たなランサムウェア「 Rhysida（）」に関する、最近の共同アドバイザリについて解説しています。 CTIでは、Docker Engine APIの外部に公開されているインスタンスを標的とした新たなキャンペーンの概要を紹介して締めくくります。
1. AlphaLockはハッカーを育成し、そのサービスを通じて収益化を図っています
研究者たちは、 という名の新たなロシアのハッカー集団を発見しました。AlphaLock （新しいタブで開きます） この集団は、ペネトレーションテストの研修機関を運営しています。 このグループは、現在は非公開となっているTelegramの公開チャンネルで発見されました。
AlphaLockは、カスタマイズされたオンライン講座を通じてハッカーを育成しています。 また、専用のアフィリエイトプログラムを通じてサービスの収益化も行っています。これにより、サイバー犯罪のためのエンドツーエンドのマーケットプレイスが形成されています。
同社のビジネスモデルは、「Bazooka Code」のペネトレーションテスト研修と、「ALPentest」ハッキング・マーケットプレイスの2つの部分で構成されています：
- バズーカ・コード：同社のビジネスモデルの第一の柱は、トレーニングです。 ここでは、ハッカー向けに「バズーカ・コード」と呼ばれるカスタマイズされたオンライン研修コースを提供しています。 AlphaLockは、脅威アクターやサイバー犯罪者としての印象を与えないよう努めています。 その代わりに、このグループは、単にペネトレーションテスターを育成しているだけだと主張しています。
- ALPentestハッキング・マーケットプレイス：AlphaLockのビジネスモデルの第2の柱は、ダークウェブのフォーラム「XSS」と、同社が収益の大部分を稼ぐことを計画していると思われるアフィリエイトプログラムです。 彼らの計画は、新たに訓練を受けたハッカー、すなわちペネトレーションテスターを活用し、脅威アクターが特定の組織を対象としたテストサービスを購入できるマーケットプレイスを構築することです。
新しいマーケットプレイスのベータ版では、攻撃者がペネトレーションテストを実施したい対象を掲載できることが明らかになりました。 その後、他の攻撃者がその標的を攻撃し、証拠を公開して、金銭を受け取ることが可能になります。
このプラットフォームは、どうやら注目を集めすぎたため、攻撃者は、プログラム全体を「Matrix」と呼ばれる新しい分散型チャットアプリに移行することを伝える長いメッセージを投稿せざるを得なくなったようです。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
AlphaLockは、独自のオンライントレーニングコースやマーケットプレイスを一から構築し、自社ブランドの確立に向けて尽力しています。 興味深いことに、このグループは、純粋に技術的な高度さにこだわるよりも、ビジネスとして運営することに重点を置いています。
Bleeping ComputerでFlareが指摘しているように、これはサイバー犯罪の分野で現在進行中の多様化と役割の専門化という傾向と関連しています。 現在、サイバー犯罪者にとって規模の経済をもたらす、詳細かつ複雑なサプライチェーンが存在しています。
2。 Rhysidaランサムウェアに関する新たな共同勧告が発表されました
連邦捜査局（FBI）、サイバーセキュリティ・インフラセキュリティ庁（CISA）、および多州情報共有・分析センター（MS-ISAC）は、 、Rhysidaランサムウェアに関連する最新の動向を周知するため、共同サイバーセキュリティ勧告を発表しました。 （新しいタブで開きます）。
Rhysidaは、主に教育、医療、製造、情報技術、および政府機関を標的とする、新たに台頭しているランサムウェアです。
Rhysidaの初回アクセス
Rhysidaランサムウェアの攻撃者は、初期アクセスや持続性を確保するために、仮想プライベートネットワーク（VPN）などの外部に公開されたリモートサービスを利用しています。 この攻撃は、侵害されたものの有効な認証情報を使用して、内部のVPNアクセスポイントへの認証を試みることがよくあります。 これは、多くの場合、多要素認証が導入されていないことが原因です。
この攻撃者は、 フィッシングキャンペーン を実行しているほか、MicrosoftのNetlogonリモートプロトコルに存在する重大な権限昇格の脆弱性「 CVE-2020-1472 」を悪用していることが確認されています。
自然の恵みで暮らす
多くの脅威アクターと同様、Rhysidaも攻撃において「リビング・オフ・ザ・ランド」の手法を活用しています。 これには、横方向の移動のためのリモートデスクトッププロトコル（RDP）接続の確立、VPNアクセスの設定、およびPowerShellの使用が含まれます。 この俳優は、環境を列挙したり情報を収集したりするために、ipconfig、whoami、nltest、およびさまざまなnetコマンドを頻繁に使用しています。
ライシダの道具
Rhysidaは、攻撃において、一般に公開されている正当なツールをいくつか使用しています。 これにより、防御側が悪意のある活動を検知することがより困難になります。
例としては、次のようなものがあります：
- Cmd.exe：標準のコマンドプロンプトユーティリティです。
- PowerShell.exe: コマンドプロンプトウィンドウで Windows PowerShell セッションを実行するためのネイティブのコマンドラインツールです。
- PsExec.exe：PsTools スイートに含まれる、プロセスをリモートで実行するためのツールです。
その他にも、mstsc.exe、PuTTy.exe、PortStarterなどのツールがあります。
実行
あるRhysidaランサムウェア攻撃において、攻撃者はC:\ドライブに「in」と「out」という名前の2つのフォルダを作成しました。 これらのフォルダは一時保存先として機能し、悪意のある実行ファイルが格納されていました：
- 「in」フォルダには、スキャンツールを介して取り込まれたとみられる、被害者のネットワーク上のホスト名と一致するファイル名が含まれていました。
- 「out」フォルダには、ネットワーク全体の暗号化を支援するために展開されたさまざまな悪意のあるファイルが含まれていました。
データ恐喝
今日のほとんどのランサムウェア攻撃者と同様に、Rhysidaも二重恐喝攻撃を行っており、まずデータの復号化のための支払いを要求し、被害者が支払わない場合はデータを公開すると脅迫します。
このグループは、「CriticalBreachDetected」という名前のPDFファイルとして身代金要求書を残し、被害者にTorベースのポータルを通じてグループに連絡するよう指示します。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
「Rhysidaランサムウェアは登場してからまだ数ヶ月しか経っていませんが、すでに によると、約 50 人の被害者を出しています (新しいタブで開きます)。
このグループは、攻撃の複数の段階を通じて正規のツールに大きく依存しており、そのおかげで、環境内でより長期間にわたり検知を免れていると考えられます。
また、Rhysidaのアクターたちは、 のRaaS（Ransomware-as-a-Service）サービスの一環として活動していることが確認されています。 （新しいタブで開きます）。このことから、今後、Rhysidaに関連するさらなるアクターが現れる可能性もあります。
3。 OracleIVは、Docker Engineの公開APIを対象としています
Cado Security（ ）の研究者らが、Docker Engine APIの外部に公開されているインスタンスを標的とした新たな攻撃キャンペーンを発見しました。
攻撃者が、設定ミスを悪用して悪意のあるDockerコンテナを配信していることが確認されています。 このマルウェアは、さまざまなDoS攻撃を実行できるDDoSボットエージェントとして機能します。
OracleIVへの初回アクセス
多くの同様の攻撃と同様に、初期アクセスは、DockerのAPIの/images/createエンドポイントに対するHTTP POSTリクエストから始まりました。
このアクションは、ホスト上で `docker pull` コマンドを実行し、Docker Hub から指定されたイメージを取得します。 その後に、プルしたイメージからコンテナを起動するために使用される、別のコンテナ起動コマンドが続きます。
ここで使用されたコマンドは以下の通りです：POST /v1.43/images/create?tag=latest&fromImage=robbertignacio328832/oracleiv_latest
悪意のあるDocker Hubイメージ
この攻撃で使用されたコマンドは、ユーザー「 robbertignacio328832」によってDocker Hubにアップロードされた「oracleiv_latest」という名前のイメージを取得しました。
Cado Securityがこの画像を発見した時点で、その閲覧回数は 3,000 回を超えており、定期的に更新されているようです。 最新の変更は、報告書が公表されるわずか3日前に反映されました。
Cado Securityはイメージのレイヤーを分析し、脅威アクターが悪意のあるペイロード「oracle.sh」を取得し、それを生成されたイメージに組み込むために使用したコマンドを特定しました。 この画像には、XMRigのコピーと、それに関連するマイナーの設定ファイルを取得するためのwgetコマンドが追加されていました。
研究者らは、この悪意のあるコンテナによるマイニング行為は確認できませんでしたが、イメージにこれらのファイルが含まれていることから、将来的にそのような可能性は排除できません。
静的解析
研究者たちは、悪意のあるコンテナに埋め込まれた「oracle.sh」実行ファイルの分析に注力しました。 この実行ファイルの静的解析の結果、デバッグ情報が保持された64ビットの静的リンクELFファイルであることが判明しました。
彼らは、そのマルウェアがPythonで記述され、Cythonでコンパイルされたものであると特定しました。 コード自体は簡潔で、主にさまざまなDoS攻撃の手法に特化しています。
動的解析
ボットは、ポート 40320 でC2 サーバー（ ）に接続した後、プリミティブ認証を実行します。この認証において、ボットはC2 に対し、環境に関する基本情報とハードコードされたパスワードを提供します。
認証が成功すると、 C2 は「routine ping, greetz Oracle IV」というメッセージを継続的に送信します。 研究者らは、このボットネットが多くの標的に対してDDoS攻撃に利用されていることを確認しており、特にUDPベースのフラッド攻撃やSSLベースのフラッド攻撃が好んで行われていることが分かりました。 彼らは、ボットネットのエージェントをだまして、自分たちが用意した「mimic C2 」サーバーに接続させ、コマンドを発行したり、その活動を監視したりすることができました。
このボットネットには、以下のDDoS攻撃機能があります：
- UDP：このボットネットは、 40k バイトのパケットを用いたUDPフラッド攻撃を行います。 これにより閾値を超え、断片化が生じ、計算上のオーバーヘッドが増加することになります。
- UDP_PPS： この機能は現在、動作していないようです。
- SSL：SSL 機能は、TCP 接続を開き、大量のデータを送信した後、接続を閉じ、このプロセスを繰り返します。
- SYN：この機能はSSLと同一です。
- HTTPGET: この機能も動作しません。
- SLOW：これは、スローロリス型攻撃の一種であり、攻撃者がサーバーに対して複数の接続を確立し、接続を維持するために少量のデータを繰り返し送信するものです。
- FIVE：18バイトのパケットを用いたUDPフラッドで、おそらくFiveMサーバープロトコルの一部と思われます。
- VSE：20バイトのパケットを用いたUDPフラッドです。
- OVHの：OVHのDDoS防御機能を回避するように設計された、8バイトのパケットを用いたUDPフラッド攻撃です。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
この攻撃は、脅威アクターが依然として、設定ミスのあるインターネットに公開されたサービスを初期侵入の手段として利用することに関心を寄せており、今後もその傾向が続く可能性が高いことを示しています。
Cado Securityはこの脅威を非常に的確に要約しています：
コンテナ化がもたらす移植性により、ホスト自体の設定にかかわらず、Dockerホスト間で悪意のあるペイロードが確定的な方法で実行されることになります。 OracleIVは厳密にはサプライチェーン攻撃ではありませんが、Docker Hubのユーザーの皆様は、Dockerのイメージライブラリ内に実際に悪意のあるコンテナイメージが存在することをご承知おきください。
これらの記事について、何かご意見やご感想など、共有したいことはありますか？ または Tanium のディスカッションフォーラム にアクセスして、会話を始めてみてください。
さらに詳しくお読みになりたい方は、当社の最近の「」サイバー脅威インテリジェンスまとめ（）をご覧ください。