今週、CTIでは、SharePoint、OneDrive、Dropboxといった正規のファイルホスティングサービスを悪用し、検知を回避しようとする攻撃キャンペーンが増加していることについて、マイクロソフトが最近発した警告をまとめました。 次に、CTIでは、現在進行中の フィッシングキャンペーンについて取り上げます。 （新しいタブで開きます） このキャンペーンでは、Microsoft 365 のログインページを模倣したHTML添付ファイルが利用されています。 最後に、CTIは「ダーク・エンジェルズ」ランサムウェアグループの概要を紹介して締めくくります。
ファイルホスティングサービスは、ビジネスメール詐欺攻撃を可能にします
マイクロソフトは、 （新しいタブで開きます） において、SharePoint、OneDrive、Dropbox などの正規のファイルホスティングサービスを悪用し、検知を回避しようとする攻撃キャンペーンが増加しているとして警告を発しています。
マイクロソフトによると、こうした攻撃では、アクセスが制限されたファイルや閲覧のみが許可されているファイルがますます多く利用されているとのことです。 これらのキャンペーンはそれぞれ異なりますが、いずれも同様の最終目的を共有しています。それは、ID情報を不正利用して、 BEC攻撃を実行することです。 （新しいタブで開きます）。
ファイルホスティングサービスは、BEC攻撃にどのように利用されているのでしょうか？
マイクロソフトは、正規のファイルホスティングサービスを悪用した数多くのキャンペーンを確認しました。 こうしたキャンペーンでは、アクセスが制限されているファイルや、閲覧のみが許可されているファイルをますます多用するようになっています。 これらのキャンペーンは、その性質上、好機を捉えたものであり、最終的にはBEC攻撃に利用可能な個人情報を取得することを目的としています。
ファイルは、電子メールや電子メールの添付ファイルなど、いくつかの方法で配信されます。 アクセスが制限されたファイルは、フィッシングメールを通じて送信され、指定された受信者のみがアクセスできるように設定されています。 そのため、受信者はファイル共有サービス（Dropbox、OneDrive、SharePoint）にログインしているか、再認証を行う必要があります。
閲覧専用制限がかけられたファイルは、電子メールによる攻撃システムを回避しようとするために使用されます。 これらのファイルは、ファイルのダウンロード機能を無効にするため、ツールがファイル内に埋め込まれたURLを検出するのが難しくなります。
初回アクセス
この攻撃は、通常、信頼できるベンダーのユーザーが侵害されたことから始まります。 その後、その俳優は、当該ベンダーのファイルホスティングサービス上にファイルをアップロードし、標的となる組織と共有します。
マイクロソフトの調査によると、これらのメールは通常、既存の会話や内容に基づいた件名を使用し、緊急性をアピールすることで、被害者にこれらのファイルを開かせるよう仕向けていることが判明しました。
[関連記事：サイバーセキュリティにおけるソーシャルエンジニアリングとは？ 【完全ガイド】 （新しいタブで開きます）
ファイルが共有されると、標的となった被害者には、正規のファイル共有サービスから、ファイルが共有されたことを知らせるメールが届きます。 そのメールは必ずしもフィッシングとは限りませんが、フィッシングのシナリオへとつながります。
個人情報の不正利用
被害者が共有ファイルにアクセスすると、ワンタイムパスワードによる本人確認を求められます。
承認後、リンクをクリックすることで、その文書を閲覧することができます。 このリンクをクリックするとフィッシングページにリダイレクトされ、そこで被害者には再度、ユーザー名とパスワードの入力が求められ、 の多要素認証（MFA） （新しいタブで開きます）を完了するよう促されます。 その過程で、この俳優はこのMFAトークンを盗み出しますが、このトークンはBEC攻撃の次の段階を実行するために使用される可能性があります。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
脅威アクターたちは、マイクロソフトが指摘したような正規のサービスを、すでにしばらくの間、悪用手段として利用しています。 マイクロソフトの報告書によると、アクセス制限や閲覧専用制限がかけられたファイルの利用など、新たな防御回避手法が追加されたことで、この傾向は続いているとのことです。
マイクロソフトが報告書で指摘している手口では、被害者が本人確認のための認証を行ったり、追加のリンクをクリックしたり、フィッシングページに認証情報を入力したりするなど、いくつかの追加の手順を踏む必要があります。 これにより、被害に遭う可能性のある方々は、これが脅威であるかもしれないことに気づく機会がいくつか増えますが、それでも本質的には、信頼できるベンダーとの間で築かれた信頼関係を悪用しようとするものです。
マイクロソフトでは、この脅威の検知と対応に役立つ推奨対策 (新しいタブで開きます) および有用な検索クエリを提供しています。
「Mamba 2FA 」が世界中の組織を脅かしています
Sekoia社の最新レポート『 』（新しいタブで開きます） では、Microsoft 365 のログインページを模倣したHTML添付ファイルを用いた、現在進行中のフィッシング攻撃について詳しく解説しています。
フィッシングページ自体には多要素認証（MFA）の手法が記載されており、Socket.IOというJavaScriptライブラリを利用して、WebSocket経由でバックエンドサーバーと通信していました。 この攻撃は当初、 の「Tycoon 2FA 」フィッシング・アズ・ア・サービス（PhaaS）プラットフォーム（ （新しいタブで開きます）、、）に関連しているものと見られていました。 とはいえ、さらに詳細な調査の結果、これは「Mamba 2FA」と呼ばれる、これまで知られていなかった「Adversary-in-the-Middle（AiTM）」型のフィッシングキットに関連していることが判明しました。
特徴
10月現在、Mamba 2FA フィッシングキットに関連するURLは、{domain}/{m,n,o}/?{Base64という形式になっています。 string}。 フィッシングページは、有効な Base64 パラメータが存在する場合にのみ表示され、それ以外の場合は空白になります。
キットがサンドボックスを検出した場合、Google 404 のページにリダイレクトされます。 対象とするメールアドレスは、URLの末尾に追加することができます。 その場合、表示されたログインフォームにはメールアドレスが自動的に入力されます。 Sekoiaの調査によると、URLに含まれるパラメータに応じて、フィッシングページは4種類のうちのいずれかの形式で表示されることが判明しました。
2024年10月の時点で、Mamba 2FA’s のインフラストラクチャは、リンクドメインとリレーサーバーという2つの層で構成されています。
Mamba 2FA の機能
Mamba 2FA は、他の人気のあるフィッシングキットと同様の機能を備えており、具体的には以下の通りです：
- ワンタイムコードやアプリ通知といったMFA（多要素認証）方式における2段階認証に対応しています
- Entra ID、Active Directory Federation Services（AD FS）、サードパーティのSSOプロバイダー、および一般ユーザー向けMicrosoftアカウントに対応しています
- 組織のカスタムログインページのブランディングを、フィッシングページに動的に反映させることができます
- Telegramのボットを通じて、攻撃者に認証情報やクッキーを送信します
商用化
「Mamba 2FA 」は、のサービスであり、Telegram（ （新しいタブで開きます）、、 ）にて、サブスクリプションモデルとして販売されています。 このキットをご購入いただいたお客様には、フィッシングリンクやHTML添付ファイルの作成を支援する、関連するTelegramボットへのアクセス権が提供されます。
サーバー運営者は、ページをホストするインフラストラクチャを管理しており、ドメインは特定の顧客専用のものではありません。 その代わりに、これらは共有プールとして使用されます。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
「Mamba 2FA 」のようなフィッシングキットこそが、フィッシングが依然として最大の脅威の一つであり続けている主な理由です。 これらのキットを使えば、熟練度を問わず、あらゆるレベルの攻撃者が、実際のページやインフラを構築・維持する手間をかけずに、フィッシングメールを簡単に送信することができます。
また、セコイア社によると、Mamba 2FA が使用するドメインは通常、「使用開始から数日後にセキュリティソリューションによって報告・ブロックされる」ため、関連ドメインのブロックは「モグラたたき」のような状態になっているとのことです。
ランサムウェアグループ「ダーク・エンジェルズ」が標的型攻撃を展開しています
Zscalerの報告（ （新しいタブで開きます））によると、ランサムウェアグループ「Dark Angels」は 2022年4月 に攻撃を開始し、それ以来、標的型攻撃を続けています。
Zscalerは、このグループが他のランサムウェア組織よりも「より目立たず、より洗練された戦略」を用いて活動していると指摘しています。 このグループは、注目を最小限に抑えるため、限られた数の標的に対して、極めて的を絞った ランサムウェア攻撃 (新しいタブで開きます) を行っています。
「ダーク・エンジェルズ」ランサムウェアグループについて
このグループは、ロシア語圏を拠点に活動しているとみられ、米国、欧州、南米、アジアの被害者を標的にするものとされています。
以前の「Dark Angels」ランサムウェア攻撃では、Windowsシステムを標的としてランサムウェアを展開しており、これらは流出したBabukのソースコードを基にしていたものです。 このグループが盗んだデータを公に公開し始めたのは、 2023年の初めになってからでした。
このグループはその後、Windowsシステムに対するランサムウェア攻撃にはRTM Lockerの亜種を、Linux/ESXiシステム上のファイルを暗号化するにはRagnar Lockerの亜種を使用するようになりました。
ダーク・エンジェルズの活動体制
このランサムウェアグループは、初期アクセスを得るために、フィッシングや脆弱性の悪用といった手口を用いています。
他の多くのランサムウェア攻撃グループとは異なり、Dark Angelsは攻撃をアフィリエイトに委託したり、初期アクセスブローカーを利用したりしないため、標的型攻撃をわずか数件しか実行できません。
彼らの攻撃は通常、多額の身代金の支払いを引き起こし、1件から 100TB 件のデータが流出することになります。例えば、昨年ジョンソン・コントロールズ社に対して行われたによるサイバー攻撃（ （新しいタブで開きます） ）では、同グループが27TB 件のデータを盗み出しました。
ファイルの暗号化
前述の通り、このグループは当初、RTM Lockerの亜種を使用する前に、Babukのビルドを用いてWindowsシステムを標的にしていました。 このランサムウェアは、楕円曲線暗号（ECC）を使用しています。 暗号化されたファイルに短い拡張子を付加する代わりに、 Curve25519 でエンコードされた公開鍵を付加します。
このグループは、Linux/ESXiシステム向けに「Ragnar Locker」の亜種を使用しています。 このランサムウェアは、暗号化に非対称のECCと対称の256ビットAESを組み合わせて使用しています。 暗号化パラメータは、各暗号化ファイルのフッターに、そのファイルごとに作成された身代金要求メッセージとともに記載されます。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
「ダーク・エンジェルズ」ランサムウェアグループは、他のほとんどのグループとはいくつかの点で異なりますが、最も興味深いのは、 のランサムウェア・アズ・ア・サービス（RaaS） （新しいタブで開きます）/affiliate モデルを採用していない点です。
このグループは、外部に委託することなく、従来通りの手法で攻撃を実行し続けており、それによって、極めて標的を絞った攻撃を継続することができています。 Dark Angels received a record-breaking ransom payment of $75 million (opens in a new tab) earlier this year.
Zscsaler氏の指摘にもあるように、彼らがめったにニュースの見出しにはならないにもかかわらず、過去最高額の身代金を受け取ったという事実は、極めて懸念すべきものであり、彼らが極めて目立たない活動を続けることに注力していることを物語っています。
これらの記事について、何かご意見やご感想など、共有したいことはありますか？ 、Taniumのディスカッションフォーラム （新しいタブで開きます）、、 にアクセスして、会話を始めてみてください。
さらに詳しくお読みになりたい方は、当社の最近の「」サイバー脅威インテリジェンスまとめをご覧ください。 （新しいタブで開きます）。
