今週のまとめでは、CTIがQRコードを利用した最新のフィッシング手口について指摘しています。 続いて、CTIでは、新たなランサムウェア「Babuk Locker 2.0 」について取り上げます。 最後に、CTIでは、MSPの下流顧客を標的とした最近のサプライチェーン攻撃の概要についてまとめます。
1. 手口が進化するにつれ、QRコードを使ったフィッシングが急増しています
パロアルトは、QRコードを含む「 」フィッシング文書で用いられている新たな手口を調査しています。
新たな手口としては、オープンリダイレクトを悪用してフィッシングの最終的な行き先を隠したり、リダイレクトの過程で人間による確認を組み込むことで検知を回避し、被害者に認証情報を入力させるよう仕向けるものなどが挙げられます。
パロアルトでは、フィッシングサイトが特定の被害者を標的としている事例も確認されており、これは攻撃に先立ってある程度の偵察が行われていたことを示唆しています。
QRコードフィッシングとは何ですか？
QRコードフィッシング（通称「クイッシング」）とは、悪意のあるQRコードを作成し、被害者にモバイル端末でそれをスキャンさせる手口のことです。
QRコードを用いたフィッシング攻撃では、攻撃者は、セキュリティ対策が不十分なユーザーが管理するデバイスを悪用しようと試みます。 QRコードを使ったフィッシングは極めて効果的であることが実証されており、そのため、その手口はますます一般的になりつつあります。
フィッシングURLによるリダイレクト
Palo Alto社は、最近のキャンペーンで使用されたQRコードのURLを分析した結果、それらのURLでは、正規のウェブサイトのオープンリダイレクトを悪用するURLリダイレクトが頻繁に利用されていることが判明しました。 これは、フィッシングサイトに直接リンクするURLを埋め込むのとは異なります。
URLのリダイレクトは決して新しい手口ではなく、ユーザーがリンクをクリックする前にそのURLを確認するよう指導されることが多い理由の一つでもあります。 URLのリダイレクトは、QRコードと組み合わせると扱いが難しくなります。なぜなら、QRコードにマウスを合わせてもURLが表示されないからです。
Palo Altoが説明しているように、リダイレクトを利用することで、正規のウェブサイトは、元のソースを維持したまま、ユーザーを外部ページへ簡単にリダイレクトさせることができます。 また、攻撃者はGoogleのリダイレクトURL内に追加のテキストを埋め込むことで、スマートフォンでQRコードをスキャンした際に、実際のフィッシングサイトが隠れるようにすることもできます。
フィッシング詐欺の手口
パロアルト社は、これらのフィッシング攻撃が、リダイレクト、人間による確認、認証情報の収集という3つの段階から構成されていることを突き止めました。
- リダイレクトにより、被害者は本来のサイトへと誘導されます。 一部の攻撃者は、身元を特定されにくくするために、複数のリダイレクトを利用することがあります。
- 人間による認証では、CAPTCHAやCloudflare Turnstileなど、多くのユーザーが慣れ親しんでいる正当な認証手順を悪用します。 攻撃にCloudflare Turnstileを利用するには、攻撃者は同サービスの無料プランに登録するだけで済みます。
- 認証情報の窃取は、「Microsoft 365」のようなログインページを装ったフィッシングページを通じて行われます。 一部のページでは会社のロゴが表示され、被害者のメールアドレスがあらかじめ入力されている場合もあり、被害者はパスワードを入力するだけで済むようになっています。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
フィッシング攻撃やソーシャルエンジニアリングは絶えず進化しており、パロアルトのレポートでは、その最新の傾向のいくつかが取り上げられています。
報告書で取り上げられた3つの主な活動は、過去数か月にわたり個別に確認されてきましたが、パロアルトでは現在、これらが組み合わせて行われていることが確認されており、成功の可能性はさらに高まっています。
新しいフィッシングの手口については、常にそうであるように、意識の向上とセキュリティ対策の両方が必要となります。
2。 LockBit 3.0 は、Babuk Locker 2.0 ランサムウェアへと名称を変更しました
Rapid7 は最近、「Babuk Loader」（）を名乗るランサムウェアグループのチャンネルを発見しました。このグループは、 2021年に活動を停止していました。
「Babuk Locker 2.0」について言及している地下フォーラムやチャンネルがRapid7 件発見されたほか、最近のランサムウェア攻撃の犯行声明を出している者たちも確認されました。 彼らは最終的に、これは同グループの再結成ではなく、LockBit 3.0 が新しい名称で活動しているものであると判断しました。
演算子
調査の過程で、 Rapid7 はバブクの復帰の可能性に関するいくつかの議論を目撃しましたが、そのほとんどは「スカイウェーブ」と「ビョルカ」という2つの異なるグループに関連するものでした。
これらのグループは、いくつかのランサムウェア攻撃の犯行声明を出し、さらにはバブクによる情報漏洩を助長していました。 Rapid7 は、これらをバブクの関連グループ、あるいは主要な運営者であると見なしています2.0。
バブク・ロッカー 2.0
Rapid7 では、「Babuk Locker 2.0」に関連する名称を持つTelegramチャンネルが数十件特定されました。 前述のグループの一つである「Skywave」は、複数のチャンネルの運営権を主張しており、もう一方の「Bjorka」については、Babukに関連するコンテンツが広く拡散されています。
研究者たちは、BabukとBjorkaの被害者に重複があることに気づき、Babuk 2.0の連絡先ページでSkywaveとBjorkaのロゴが並んでいるのを確認した後、両者の背後にいる攻撃者間の協力の可能性を突き止めました。
技術的な詳細
Rapid7 は、Telegramのチャンネルで、いわゆる「バブク2.0 」のサンプルと思われるものを見つけました。 サンプルを分析した結果、これはBabukとは関係がなく、LockBit 3.0 またはLockBit Blackであることが判明しました。 これは、Babuk 2.0 がLockBit 3.0の単なる新しい名称、あるいはブランド変更にすぎないことを示しています。
Babuk それとも LockBit 3.0？
Rapid7 では、「babuk.exe」というファイルを分析しました。このファイルは、Babuk 2.0として宣伝されています。 彼らは、このサンプルが完全にLockBit 3.0 に基づいており、以前に流出したBabukのコードとは無関係であることを確認しました。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
Rapid7’s の分析によると、Babuk Locker 2.0 は実際にはBabukグループによるものではなく、単にLockBit 3.0 に新しい名前が付けられたものに過ぎないことが示されています。
Rapid7 が指摘しているように、「ランサムウェアグループは消えることはありません。ただ、名前を変えたり、コードを再利用したりして、利益を上げ続けているのです。」 これにより、犯行の特定がより困難になり、防御側は、単なるブランド変更に過ぎない、あるいは攻撃者が注目を集めるための手段に過ぎない「新しい」ランサムウェアについて、無駄な労力を費やすことになってしまいます。
3。 Qilinの提携企業は、MSPの下流顧客をターゲットとしています
ソフォスのレポートによると、1月、 のMSP管理者が、ScreenConnect RMMツールの認証アラートを装ったフィッシングメール「 」を受信しました。 このメールにより、最終的に「Qilin」ランサムウェア攻撃グループは管理者の認証情報を入手し、MSPの顧客に対してランサムウェア攻撃を実行できるようになりました。 Qilin RaaSグループは 2022 年から活動しており、以前は「Agenda」という名称で知られていました。 このグループは、ロシアのフォーラムでメンバーを勧誘していることで知られており、データ流出サイトを利用して二重恐喝を行っています。
STAC4365について
ソフォスは、インフラストラクチャ、命名パターン、および同グループが他の攻撃で使用したさまざまなTTPが一致していることから、この最新のインシデントを「 STAC4365 」として追跡されているランサムウェアのアフィリエイトによるものと特定しています。
STAC4365 は、ソフォスが「2022年11月に遡る一連のフィッシングサイト群に共通する活動パターンおよび指標」と関連付けた脅威グループです。 この攻撃者が利用するサイトは、通常、正規のScreenConnectのURLを偽装しています。 この攻撃者は、「evilginx」と呼ばれるオープンソースのAitMフレームワークを使用して、フィッシングによる認証情報やセッションクッキーを収集しています。
STAC4365’s 麒麟の連撃
この攻撃で使用されたフィッシングメールは、MSPの管理アカウントに合わせて作成され、ScreenConnectのログイン通知を装うものでした。 管理者がメール内のリンクをクリックしてログインし、そのアラートを確認しようとしたところ、リダイレクトを経てフィッシングページに誘導されてしまいました。
ソフォスによると、この攻撃者は、標的となった被害者のみをフィッシングサイトに誘導するためにこのURLを使用し、それ以外の訪問者全員を正規のScreenConnectサイトに誘導していたとのことです。 この時点で、攻撃者は認証情報を傍受し、そのアカウントにログインすることが可能になります。
管理者のScreenConnectアカウントへのアクセス権を取得した後、攻撃者は、MSPの顧客数社に対して、攻撃者が管理するScreenConnectのインスタンスを押し付けました。 ソフォスによると、このインスタンスは、列挙、ユーザーの発見、アカウント認証情報のリセット、および他のツールへのアクセス権の取得に利用されていました。 十分なアクセス権限を取得した後、攻撃者は顧客環境からファイルを収集・持ち出し、シークレットタブで「easyupload[.]io」というサイトにファイルをアップロードしました。
また、ソフォスは、この攻撃者の手口についてもいくつか明らかにしています。具体的には、復元を阻止するためにバックアップを特定して標的にすること、MSPの顧客数社に対して「Qilin」ランサムウェアを展開すること、ボリュームシャドウコピーサービス（VSS）を無効化すること、シャドウコピーやWindowsイベントログを削除すること、実行後に自身を削除することなどが挙げられます。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
今回の攻撃は、あるMSPの顧客を標的としたものであり、サプライチェーン型攻撃に該当します。このような攻撃は、ますます一般的になりつつあります。
興味深いのは、その俳優がChromeのシークレットタブを通じて、どのようにデータを外部へ持ち出すことができたかという点です。 これは珍しいケースであり、防御側にとっては監視すべき情報漏洩の経路がまた一つ増えることになります。
これらの記事について、何かご意見やご感想など、共有したいことはありますか？ または Tanium のディスカッションフォーラム にアクセスして、会話を始めてみてください。
さらに詳しくお読みになりたい方は、当社の最近の「」サイバー脅威インテリジェンスまとめ（）をご覧ください。
