今週のまとめでは、CTIが、HTTPヘッダーの「refresh」エントリを悪用した、現在進行中のフィッシング攻撃について取り上げています。 続いて、CTIは、「Scattered Spider」グループに関する最新情報を提供します。同グループは、 といったソーシャルエンジニアリング攻撃を積極的に展開しており、 クラウドアカウントを標的としています。 最後に、CTIは、採用担当者を装い、求人情報を口実に被害者を狙う犯人「 UNC2970」について調査を行っています。
フィッシング攻撃では、HTTPヘッダーを悪用して認証情報を盗み出しています
パロアルトの研究者たちは、 が HTTP ヘッダーの「refresh」エントリを悪用して、 （新しいタブで開きます） といった偽装されたメールログインページを表示させる、現在進行中のフィッシング攻撃について警告しています。
このキャンペーンは、HTMLコンテンツを介して拡散される他の フィッシングキャンペーン（ ）とは異なり、HTMLコンテンツが処理される前にサーバーから送信されるレスポンスヘッダーを利用している点が特徴です。 5月から7月にかけて、研究者たちはこのキャンペーンに関連する悪意のあるURLを1日あたり約 2,000 件特定しました。
この手法の仕組み
攻撃者は、フィッシング攻撃を行う際、入手が容易なツールや手法を頻繁に活用しています。 現在、攻撃者はヘッダーリフレッシュの手法を用いて、フィッシングリンクを埋め込み、説得力のある餌を作り出しています。 これらの悪意のあるリンクは、HTTPレスポンスヘッダーの「refresh」フィールドにユーザーのメールアドレスを埋め込むことで、各ユーザーを標的にしています。 これにより、ユーザーの操作を必要とせずに、ブラウザが自動的にウェブページを更新または再読み込みするようになります。
この手法を、正規のドメインを模倣した偽装ドメインと組み合わせることで、攻撃者は被害者を騙して認証情報を提供させやすくなるでしょう。
ヘッダー更新を装ったフィッシング攻撃の例
この攻撃で使用された悪意のあるリンクは、正規のログインページとそっくりなサイトを利用して、被害者に認証情報を入力させようとします。 こうしたページでは通常、被害者のメールアドレスをユーザー名として事前入力し、パスワードの入力を求めることで、サイト上にその組織のメールアドレスを表示させています。
6月、 パロアルト校では、大規模なキャンペーンが実施されました。 （新しいタブで開きます）。 あるキャンペーンは、同じ送信元IPアドレスと、同じ偽装された差出人アドレスから送信された電子メールを使用していた点で注目に値しました。 このキャンペーンで最も多く見られたメールの件名は、「DocuSignで完了：ACH/EFTフォーム ***」でした。 これらの悪意のあるリンクは、受信者のメールアドレスが含まれたヘッダーリフレッシュURLを通じて送信されました。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
このヘッダー更新の手法は、攻撃者が新たな手法をどのように取り入れ、いかに迅速に攻撃の規模を拡大できるかを示す好例です。 このキャンペーンの背後にいる攻撃者は、わずか数ヶ月の間に複数の大規模な攻撃を実行し、1日あたり 2,000 のドメインを標的にしました。
これには多大な管理が必要であり、その実行者がこのような活動を継続するために必要なリソースを保有していたことを示唆しています。 これらの攻撃事例は、HTTPのrefreshヘッダーが悪用される可能性を浮き彫りにしており、防御側にとって注意すべき新たな手法を示しています。
「Scattered Spider」がクラウドアカウントを標的にしています
EclecticIQの研究者たちは、ランサムウェアの活動、特にクラウドインフラを標的としたものについて調査を進めてきました。 彼らは最近、これらの攻撃で確認されたインフラストラクチャやTTPの多くが、注目を集めたMGMへの攻撃やその他の高度なソーシャルエンジニアリング攻撃の背後にいる「Scattered Spider」グループと一致していることを突き止めました。
MGMへの攻撃（）以来、「Scattered Spider」は他にもさまざまなソーシャルエンジニアリング攻撃を行ってきました。 彼らは、ヴィッシング（音声フィッシング）とスミッシング（SMSフィッシング）の両方を利用して被害者を騙しており、ITサービスデスクやID管理者を標的にしていることが確認されています。 この攻撃者は、主に信頼を勝ち取り、それを悪用することを狙っています。
ユーザーアカウントからクラウドインフラストラクチャまで
EclecticIQの最新の調査によると、Scattered Spiderは、クラウドアカウントに対するソーシャルエンジニアリングの手法を用いて、頻繁にネットワークへの侵入を図っていることが明らかになりました。
このグループがクラウド環境へ不正アクセスを行う方法の一つは、認証情報の不注意による漏洩です。 この攻撃者は、コード内にハードコードされた認証情報が原因で、GitHubなどの場所に誤って公開されてしまったクラウド認証トークンを悪用します。
また、この攻撃者はフィッシング攻撃やソーシャルエンジニアリングを利用してアカウントを乗っ取り、ITサービスデスクの担当者やサイバーセキュリティチームを標的とする傾向があります。 これらの攻撃は、Entra ID、AWS EC2、SaaSアプリケーションなどのクラウドサービスを標的としています。
認証情報窃取ツールおよび初期アクセスブローカー
EclecticIQは、アンダーグラウンドのフォーラムでクラウドサービスの認証トークンや認証情報が販売されていることを確認しました。これにより、クラウドの認証情報やアクセス権を取得する新たな手段が生まれています。
また、「Scattered Spider」は、Stealc、Raccoon Stealer、Vidar Stealer、RedLine Stealerなど、よく知られた認証情報を盗み出すマルウェアも使用しています。
SIMスワッピングと重要なSaaSアプリ
この攻撃者は、 の多要素認証（MFA） の保護機能を回避し、重要なSaaSアプリケーションにアクセスするために、SIMスワッピングを頻繁に利用しています。
ユーザーアカウントへのアクセスに成功した後、攻撃者はクラウドインフラを標的とし、場合によっては仮想マシンを作成して、既存のセキュリティ対策を回避しようとします。
クラウドの偵察にオープンソースツールを活用する
M365のSSO対応ダッシュボードを介してクラウドインフラへのアクセス権を取得した後、攻撃者は広範囲にわたる偵察を行います。
この担当者は、クラウド環境内の統合アプリケーションを調査し、CRMシステム、文書管理プラットフォーム、パスワード管理ソリューション、コードリポジトリなどに重点を置いて検討します。 また、「Scattered Spider」は、恐喝に利用したり、被害者と関係のある第三者を標的にしたりできる情報も探し出そうとします。
クラウドインフラストラクチャにおける永続性
2024の開始以来、このアクターはMicrosoft Entra ID内のテナント間同期（CTS）を悪用していることが確認されています。
また、このアクターは、永続化のために、Entra IDおよびOktaのテナントにあるフェデレーテッドIDプロバイダーを活用しています。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
EclecticIQの調査では、 2023 年から2024年第2四半期にかけての同グループの活動について検証しています。 彼らの調査結果によると、「Scattered Spider」がこれほど成功を収めてきたのは、その巧みなソーシャルエンジニアリングに大きく起因していることが示されています。また、EclecticIQの調査では、このグループがクラウド環境におけるランサムウェアの展開に重点を置いていることも明らかになっています。
なお、 2024年7月において、「Scattered Spider」グループと関係のある人物が逮捕されたことは特筆すべき点です。 この作戦が今後も成功し続けるかどうかは、時が経てば分かることでしょう。
UNC2970 は、米国の求職者を搾取しています
マンディアント社は、「 UNC2970」として知られる攻撃者を追跡しています。 (新しいタブで開きます)。 この犯人は採用担当者を装い、求人情報を口実に被害者を狙っています。
最近、この俳優はメールやWhatsAppを通じて被害者と接触し、暗号化されたPDFファイルとトロイの木馬化されたPDFビューアアプリケーションを含む悪意のあるアーカイブファイルを共有しています。 このファイルは、同梱されているトロイの木馬化されたSumatraPDFでのみ開くことができ、バックドアを仕込むことを目的としています。
UNC2970’s の感染連鎖
マンディアント社は、被害者がWhatsApp経由で受け取ったパスワードで保護されたZIPアーカイブをダウンロードして開いたという事案について調査を行いました。 このアーカイブには、5つのファイルが含まれていました。具体的には、被害者に表示されたおとりファイルとMISTPENバックドアを含むPDFファイル、トロイの木馬化されたDLLファイル、2つの正規のDLLファイル、そして正規のオープンソースであるSumatraPDFビューアアプリケーションの実行ファイルです。
マンディアント社は、当該ユーザーが、トロイの木馬化されたPDFビューアプログラムが含まれたPDFファイルを開くよう指示されたと考えています。 これはSumatraPDF自体の脆弱性ではなく、トロイの木馬化されたバージョンによるものである点にご留意ください。 MISTPENのペイロードは、最終的にメモリに読み込まれます。
- BURNBOOK は、SumatraPDF.exe 実行ファイルによって読み込まれます。 これは、ファイルに保存されている暗号化されたペイロードを実行し、それをディスクに書き込むランチャーです。 このファイルには、ユーザーがおとり用のPDFファイルを開いた際に実行される悪意のあるコードが含まれています。
- MISTPEN「 」バックドアは、PEファイルをダウンロードして実行しようとします。 このマルウェアは、Notepad++のbinhexプラグインの改変版であり、バージョン v2.0.0.1です。 このシステムは、いくつかのMicrosoft Graph APIとHTTPを介して通信します。 このツールは、解析、メモリへの読み込み、受信したPEペイロードの実行、プロセスの終了、設定内のスリープ時間の更新など、複数のコマンドに対応しています。
- TEARPAGE ローダーは、BURNBOOKのリソースセクションに組み込まれています。 これは、DLLの検索順序の乗っ取りによって読み込まれ、暗号化されたブロブを復号化します。 復号された出力は、MISTPENバックドアです。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
攻撃者は常に新しいソーシャルエンジニアリングの手口を探しており、最新のものは求人担当者を装う手口であるようです。
一部の悪質な人物は、マルウェアを仕込んだ偽のコーディングテストを求職者に送りつけています。 被害者はテスト段階に至ることはなく、求人要項のPDFファイルだと思い込んでファイルを開いただけで、被害に遭ってしまいます。
これらの記事について、何かご意見やご感想など、共有したいことはありますか？ または Tanium のディスカッションフォーラム にアクセスして、会話を始めてみてください。
さらに詳しくお読みになりたい方は、 の最新のサイバー脅威インテリジェンスまとめ記事をご覧ください：。
