今週、CTIは現在進行中のソーシャルエンジニアリング攻撃に関する最新情報をお届けします。 次に、CTIは「Mad Liberator」と呼ばれる、比較的新しいランサムウェアの活動について取り上げます。 最後に、CTIでは、サイバー犯罪のアンダーグラウンドが長年にわたりどのように進化してきたかについて、その概要をまとめています。
1. 現在進行中のソーシャルエンジニアリング攻撃において、新たな手口が登場しています
Rapid7 は、ここ数ヶ月にわたり、現在進行中のというソーシャルエンジニアリング キャンペーンを追跡してきました。 現在、脅威アクターが使用するツールに変化が見られ、Windowsのネイティブバイナリから、スパムメールフィルターをダウンロードするふりをした.NET実行ファイルへの移行などが確認されています。
Rapid7によると、このキャンペーンを通じて、脅威アクターの誘引手法に変化は見られないようです。 この犯人は、被害者に大量のメールを送信し、通常はTeamsを通じて電話をかけ、「問題」の解決策を提示するふりをします。 犯人は被害者にAnyDeskをインストールするよう説得し、それによって端末にリモートアクセスして悪意のある行為を行うことになります。
その後、攻撃者は「antispam.exe」を実行します。このファイルは、スパムメールフィルターをダウンロードしているかのように装っています。 この偽のスパムフィルターでは、ユーザーに認証情報を入力するよう求めています。 このアクターは、 C2 サーバーに接続するために、一連のバイナリデータとスクリプトを実行します。 リバースSSHトンネルや、横方向の移動（Lateral Movement）に利用される「Level」リモート監視・管理（RMM）ツールに加え、いくつかの追跡ペイロードが確認されています。
技術的な詳細
この攻撃で利用された二次ペイロードを調査した結果、 Rapid7 は、それらのペイロードの多くが同じ証明書で署名されていたことを突き止めました。
Antispam.exe
前述の通り、これはメールスパムフィルターを装った認証情報収集型マルウェアです。 このプログラムは、ウィンドウに同じメッセージを 1,023 回表示するループを実行します。 この偽のループは、ユーザーに認証情報の入力を促し、偽の成功メッセージを表示することで終了します。
Updatex.exe
その後、この攻撃者は、「update」という単語に数字が続く一連の実行ファイルを実行します。 これらの実行ファイルはすべて同じ証明書で署名されていますが、それぞれが異なる機能を果たしています。
- Update1.exe は、クラウドストレージおよびファイル共有サービスである「Yandex Disk」のインストーラーを装っています。 このペイロードは、ローカルPEインジェクションを介して、2つ目の実行ファイルを復号し、実行します。 この第2段階の実行ファイルはビーコンであり、GolangのHTTPクライアントリクエストを介して C2 サーバーに接続を試みます。Rapid7 は、埋め込まれた文字列に基づいて、接続先のサーバーがSOCKSプロキシとして機能していると判断しています。
- Update4.exe は、トレンドマイクロ社のウイルス対策スキャナ「APEX Scan」の偽装版であり、悪意のあるコードが含まれています。 これが実行されると、 C2 に接続し、SOCKSプロキシとして機能するシェルコードが起動します。
- Update6.exe（ ）は、ドメインコントローラーに脆弱性がある場合、マシンアカウントを追加する手段として、CVE-2022-26923 の脆弱性を悪用しようとします。 このソースコードは、一般に公開されているCobalt Strikeのモジュールからコピーされたものとみられています。
- Update7.exe（）は、 Update8.exeと同様に、SystemBCマルウェアを含んでいます。 このマルウェアは、SOCKSプロキシとして機能するだけでなく、追加のペイロードを配布するドロッパーとしても機能します。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
攻撃者は、攻撃に使用するツールやペイロードを変更していますが、最初の餌については変更していません。 攻撃者は、被害者に大量のメールを送りつけ、その後電話をかけて、自ら引き起こした問題の解決策を提示していることから、ある程度の成果を上げていることは明らかです。
とはいえ、この仕掛けが成功を収めつつあるかもしれないと思うと、驚きです。 組織は、こうした電話を事前に予測し、不正行為に警戒を怠らないようにしなければなりません。
2。 「Mad Liberator」ランサムウェアは、AnyDeskユーザーを標的としています
ソフォスは最近、「 Mad Liberator」（）と呼ばれる、比較的新しいランサムウェアの活動について調査を行っております。 このアクターは最初に「 2024年7月 」に登場し、AnyDeskがインストールされている被害者を標的に、被害者が接続リクエストを受け入れることを期待して、一方的な発信を行っています。
多くのランサムウェア攻撃と同様に、「Mad Liberator」もデータの窃取に重点を置いています。 ソフォスでは、この攻撃者がデータを暗号化した事例はまだ確認されていませんが、他の調査によると、このグループは時折暗号化を使用している可能性があるとのことです。 この俳優は、被害者の情報を公開するためのデータ漏洩サイトを運営しており、初期アクセスを得るために主にソーシャルエンジニアリングの手法を用いています。
マッド・リベレーターの攻撃の流れ
この脅威アクターは、AnyDeskの利用に大きく依存しており、すでにAnyDeskがインストールされている被害者を標的にしています。 ソフォスは、攻撃者が特定のAnyDesk IDをどのように標的にしているか特定できておらず、被害者が不審なAnyDesk接続リクエストを受信する前に、攻撃者と被害者の間にどのような接続や接触があったかも特定できていません。
ソフォスが確認したこの事件では、被害者は、自組織のIT部門が「AnyDesk」を正当に使用していることを知っており、その接続要求はITチームの通常の業務の一環であると想定していました。 被害者が接続リクエストを受け入れると、攻撃者は悪意のあるバイナリファイルをその端末に転送し、実行することができました。
転送されたバイナリは、不審を抱かれないよう「Microsoft Windows Update」と名付けられており、被害者にはWindowsの更新プログラムを装った画面さえ表示されていました。 その後、その俳優はAnyDeskの機能を利用して、ユーザーのキーボードやマウスからの入力を無効にし、実行を妨害しようとする試みを阻止しました。
ユーザーに偽のWindowsアップデートが表示されている間に、攻撃者は被害者のOneDriveアカウントにアクセスしました。 彼らは「AnyDeskFileTransfer」オプションを使用して、OneDriveアカウントからファイルを盗み出しました。 その後、その俳優は「Advanced IP Scanner」を使用して、ネットワーク内の他のデバイスに横方向のアクセスが可能かどうかを確認しました。 データの持ち出し後、攻撃者は複数の身代金要求メッセージを作成し、被害者の端末だけでなく、複数の場所にそれらを配置しました。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
「Mad Liberator」を機能させるには、エンドユーザーがまず、一方的に送信されたAnyDeskの接続リクエストを受け入れる必要があります。 この手法は、エンドユーザーにとって不審に思われるはずです。
もしこの攻撃者が、初期侵入の手法においてさらなるソーシャルエンジニアリングを活用するよう進化すれば、ユーザーにAnyDeskの接続リクエストを受け入れさせることに、これまで以上に成功する可能性が高いでしょう。
3。 ビットディフェンダーは、進化を続けるサイバー犯罪のアンダーグラウンドの世界を調査しています
Bitdefenderが最近発表したレポートでは、サイバー犯罪組織「 」（ ）がどのように進化し続けているかについて考察しています。
「（比較的）無害だった『自慢のためのハッキング』の時代は終わりました」とビットディフェンダーは述べています。
「現在、脅威アクターたちは、組織として円滑に機能する集団の一員として活動しており、組織を直接侵害したり、技術力の劣る他の攻撃者にサービスを提供したりすることで、年間数百万を稼ぎ出しています。」
Bitdefenderによると、この変化は、デジタル攻撃対象領域の拡大、ダークウェブ上のマーケットプレイスの増加、大量のデータ漏洩、SignalやTelegramといったプライベートな通信プラットフォーム、仮想通貨、そして報酬額の増加といった要因によって引き起こされたとのことです。
今日では、ダークウェブを活用するさまざまな種類のサイバー犯罪組織が存在しています。 その範囲は、個人の活動家や中小規模のグループから、コンティのような大規模なグループにまで及びます。 どのような種類のグループであれ、彼らは金儲けのためにサイバー犯罪のアンダーグラウンドを利用しがちです。 これは、エクスプロイトや盗まれたデータ、マルウェア、ランサムウェア、侵害された組織やサービスへのアクセス権などを販売することで、しばしば行われます。
Bitdefenderは、サイバー犯罪のアンダーグラウンドにおける活動を後押ししている具体的な要因をいくつか挙げています：
- スパムやフィッシング関連のサービス「 」は、サイバー犯罪のアンダーグラウンドにおいて大きな割合を占めています。 これらのサービスは通常、ダークウェブやその他の通信プラットフォームを通じて提供されており、多岐にわたるサービスが含まれる場合があります。 これらのサービスの利用者は、一括メール配信リスト、侵害されたサーバーへのアクセス権、フィッシングキットなど、サービスのさまざまな要素を購入することができます。
- の「プロキシ代行サービス」も、闇市場のもう一つの構成要素です。 悪意のあるプロキシは、悪意のある活動の発信元を隠蔽するために、感染したネットワークを利用することがよくあります。 攻撃者はこれらのプロキシを利用して攻撃を仕掛け、防御側がその活動の真の発信元を特定することを困難にしています。 また、それらは実行者にある程度の匿名性を提供します。
- APTグループ「 」は、ランサムウェアを利用してスパイ活動を隠蔽しようとすることが多く、犯行の特定を避けるために他の攻撃者のTTPを模倣することがあります。
最近の進展
Bitdefenderは、状況がいかに変化し続けているかを示すいくつかの傾向を把握しました。 例えば、情報の共有において、ある傾向が見られます。 組織が、特定のセキュリティ上の脅威から世界全体を守るために情報を公に共有しているのと同様に、攻撃者たちもまた、他の攻撃者が摘発されるのを防ぐために、法執行機関の捜査手法に関する教育情報や注意喚起を共有しています。
もう一つの傾向として、AIの導入が挙げられます。技術力の低い攻撃者たちが、AIをより高度な攻撃を実行するための「チートコード」として利用しているのです。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
脅威アクターは、その有効性を維持するために、周囲の刻々と変化する状況に適応し続け、地政学的状況や技術の進歩に対応しています。
Bitdefenderによると、脅威アクターがもたらすリスクを完全に排除できるような、唯一の答えや解決策は存在しません。 しかし、「彼らの手口や動機、そして組織に対してどのように積極的に攻撃を仕掛けているかを理解することで、包括的なサイバーレジリエンス戦略を策定する際に、より的確な判断を下すことができます。」
これらの記事について、何かご意見やご感想など、共有したいことはありますか？ にアクセスし、Taniumのディスカッションフォーラム（ ）で会話を始めてみてください。
さらに詳しくお読みになりたい方は、当社の最新の「」サイバー脅威インテリジェンスまとめをご覧ください。
