今週、CTIでは、脅威グループ「Scattered Spider」と、RansomHub によるランサムウェア・アズ・ア・サービス（RaaS）事業 （新しいタブで開きます） との新たな提携について取り上げます。 続いて、CTIでは、情報窃取型マルウェアが、ChromeにおけるGoogleのアプリ固有の暗号化を回避するためにどのように進化しているかを検証します。 最後に、CTIは、脅威アクター「Evasive Panda」が、クッキー窃取攻撃において、これまで未公開だった「CloudScout」と呼ばれる侵害後のツールセットをどのように利用しているかを解説しています。
Scattered SpiderがRansomHubと提携しました
最近のサイバーセキュリティインシデントにより、脅威グループ「Scattered Spider」が、現在、攻撃の実施にあたり「RansomHub」と連携していることが明らかになりました。
ReliaQuest（ （新しいタブで開きます））によると、この攻撃者は、標的組織のヘルプデスクに対してソーシャルエンジニアリング（ （新しいタブで開きます） ）を用いて2つの従業員アカウント（ ）への初期アクセスを獲得してから6時間以内に、暗号化段階に到達しました。
「スキャッタード・スパイダー」とは何ですか？
「Scattered Spider」という脅威グループは、少なくとも 2022年5月の時点から活動しています。 研究者らは、このグループには現在、およそ 1,000 人の英語を話す脅威アクターが所属していると見られています。
このグループは結成以来、メンバーがソーシャルエンジニアリングの技術を磨き続け、それをロシアと関連のあるランサムウェアの亜種と組み合わせて攻撃を実行し続けています。
このグループは、BlackCatランサムウェア組織が解散する前は、その組織の関連グループでした。 「Scattered Spider」は現在、攻撃にRansomHubランサムウェアを活用しています。
攻撃の分析
ReliaQuestは、今回のインシデントの際、以下のような興味深い挙動をいくつか確認しました。具体的には：
- その俳優は、執拗なソーシャルエンジニアリングを見せたのです。 ヘルプデスクの担当者を対象としたソーシャルエンジニアリングの手法を用いて初期アクセス権を取得し、CFOのアカウントへの不正アクセスを成功させました。 このアカウントには、攻撃の残りの段階を実行するために必要な権限がないことに気づいた後、攻撃者はヘルプデスクに戻り、同じソーシャルエンジニアリングの手法を用いてドメイン管理者アカウントを乗っ取りました。
- その他の注目すべき行動としては、通信インフラの悪用、ESXi環境内で仮想マシンを起動して横方向の移動を行うこと、および影響が表れるまでの時間が極めて短いことが挙げられます。 その俳優は、ヘルプデスクに連絡してから1時間以内に、CFOのアカウントとドメイン管理者アカウントへの不正アクセいに成功しました。
[関連記事：Active Directoryのセキュリティとは？ リスクとベストプラクティス] （新しいタブで開きます）
Scattered Spiderのソーシャルエンジニアリング戦術を詳しく見てみましょう
攻撃者は、同組織のITヘルプデスクに電話をかけ、同社のCFOが所有するアカウントのパスワードをリセットするよう説得しました。 その後、彼らはヘルプデスクに電話をかけ、別の担当者と連絡を取り、CFOのアカウントにおける の多要素認証（MFA）設定 (新しいタブで開きます) をリセットするよう説得しました。これにより、攻撃者は自身のデバイスをMFAに登録することが可能になりました。
そのアカウントには攻撃を成功させるために必要な権限が不足していることに気づいた後、彼らは組織のSharePointサイト全体をくまなく検索し、必要な権限を取得できるドメイン管理者アカウントを特定しました。 この目的を念頭に、その人物はヘルプデスクに再度連絡し、Oktaのスーパー管理者権限を持つそのドメイン管理者アカウントのパスワードをリセットするよう依頼しました。
Microsoft Teams を通じて身代金を要求する
この攻撃者は、ESXi環境を暗号化し、データを盗み出し、バックアップソリューションを標的とし、オンプレミスのバックアップを暗号化し、クラウドバックアップを削除するという二重恐喝攻撃を実行し、最終的に にて身代金を要求しました。 (新しいタブで開きます)。 その俳優は、Mega Cloudを通じて数ギガバイトのデータを外部へ持ち出すことに成功しました。
この身代金要求メッセージは、従来の ランサムウェア攻撃とも異なっていました。 （新しいタブで開きます）。 この事例では、攻撃者は、以前に乗っ取られていたドメイン管理者アカウントから、Microsoft Teamsのメッセージを送信しました。 このメッセージには、身代金要求のリンクが含まれていました。 また、この俳優は同じアカウントから、「サイバー攻撃に関する緊急のお知らせ」という件名のメールも送信しました。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
この『Scattered Spider』キャンペーンには、興味深い要素がたくさんあります。 何よりもまず、この俳優の動きが速く、さらに速くなっていることは明らかです。 彼らのソーシャルエンジニアリングの手口も、一見些細なものに見えますが、実に効果的です。
さらに、この例の身代金要求メッセージは、従来のREADMEファイルとして配信されたものではありませんでした。 その代わりに、その俳優はTeamsや電子メールを使ってそのメモを伝えました。
また、ReliaQuestは、この最新の提携が示すように、ロシア語圏と英語圏の脅威アクターが現在協力し合っていることについても言及しています。 歴史的に見て、この2つのグループが協力することはあまりありませんでした。
Scattered SpiderとRansomHubは、決して軽視できない脅威であり、特に両者が連携している場合はなおさらです。
情報窃取型マルウェアは、パッチが適用されたChromeの防御機能を回避しています
今年初め、Googleはマルウェアに対するクッキーの保護を強化するため、Chromeブラウザにアプリ限定の暗号化機能を導入しました。 これは主に、クッキーの窃取を目的とした情報窃取型マルウェアの増加に対応するために導入されました。
Elastic Security Labs (新しいタブで開きます) はその後、このことが脅威の状況にどのような影響を与えたかを調査し、この保護機能を回避して競争力を維持するための新しいコードを備えた情報窃取型マルウェアを特定しました。
背景と経緯
研究者らは、Stealc/Vidar、MetaStealer、Phemedrone、XenoStealer、Lummaなど、ごく一部のマルウェアがGoogleのアプリ固有の暗号化機能を回避するために用いているいくつかの手法を特定しました。
これらの手法には、DevTools によるリモートデバッグ、Chrome ネットワークサービスプロセスのメモリの読み取り、 SYSTEM への権限昇格、そして app_bound_encryption_key の復号化などが含まれます。
これらのマルウェアの種類と、その仕組みについて、時系列で見ていきましょう：
- Stealc/Vidar： Elasticは、9月末頃、Stealc情報窃取型マルウェアにおいて、このクッキーバイパス手法に特に関連する新たなコードを確認しました。これは、 Googleによる発表 (新しいタブで開きます) からわずか数ヶ月後のことでした。 これらのサンプルは、条件分岐チェックを行う以前のStealcのサンプルとは異なっていました。
埋め込まれたバイナリは、隠しデスクトップを作成し、すべてのchrome.exeプロセスをスキャンして終了させ、新しいデスクトップ上で新しいchrome.exeプロセスを作成します。 このマルウェアは、Chromiumの「CookieMonster」と呼ばれる機能に対して、適切なシグネチャパターンを選択します。 このマルウェアは、Chromeの子プロセスの一つから、暗号化されていないクッキーの値を抽出する原因となっています。 - Metastealer： この情報窃取型マルウェアは、Googleによる新たな対策が講じられた後も、Chromeのデータを窃取するためにコードを更新していることが確認されました。 9月30日において、Metastealerの作成者はTelegram上で、Chromeの最新の変更があってもクッキーを窃取する機能を強化したと発表しました。
- フェメドロン： このオープンソースの情報窃取ツールは、つい先日、Windows SmartScreenの脆弱性 を悪用したことで大きな注目を集めました。 （新しいタブで開きます）。
9月に提出されたマルウェアの新バージョンには、Chrome専用の新たなクッキー窃取機能が含まれているようです。 - Xenostealer： これもオープンソースのステラーの一つで、現在も活発に開発が進められています。 Elasticによると、Chromeのバイパス機能は 9月26日で導入されたとのことです。
- Lumma： 10月中旬、Lummaの新しいバージョンでは、Chromeの新しいクッキー保護機能を回避するための新たな手法が追加されました。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
これは、脅威アクターと防御側の間で繰り返される終わりのないサイクルを如実に示す好例です。脅威アクターは制御や機能を回避する方法を見つけ出し、防御側やベンダーはそうした活動を防ぐための新機能を開発し、それに対して脅威アクターは新たな回避戦略を考案するという流れです。
Elasticは、Chromeのアプリ固有の暗号化を回避する方法を積極的に開発しているマルウェアのファミリーをいくつか特定しました。 近いうちに、他のマルウェアのファミリーも同様の機能を発揮する可能性が極めて高いと考えられます。
「Evasive Panda」が最新のクッキー攻撃でCloudScoutを利用しています
ESETの （新しいタブで開きます） によると、「Evasive Panda」として知られる高度持続的脅威（APT）の攻撃者は、現在、これまで未報告だった「CloudScout」と呼ばれる侵害後のツールセットを攻撃に利用しているとのことです。
CloudScoutツールセット（ ）は、盗まれたWebセッションクッキーを利用して、さまざまなクラウドサービスからデータ（ （新しいタブで開きます）、、 ）を取得し、攻撃者の特徴的なマルウェアフレームワークであるMgBotと連携します。
「Evasive Panda」について
「Evasive Panda」は少なくとも 2012年から活動を続けており、主にサイバー諜報活動を行ってきました。
「 2023 （新しいタブで開きます）」の冒頭で、この攻撃者は、認証済みのWebセッションを乗っ取ることでパブリッククラウドサービスにアクセスするように設計された、これまで知られていなかった3つの.NETモジュールを展開しました。 この手法は、ブラウザのデータベースからクッキーを盗み出し、それを特定の方法で利用することで、クラウドサービスへのアクセス権を取得するものです。
テクニカル分析
CloudScoutは、さまざまなクラウドサービスを標的とする複数のモジュールで構成される.NETマルウェアフレームワークです。
現在までに、ESETはCloudScoutのモジュールを7つ特定しましたが、これら7つはいずれも、感染したマシン上ではまだ確認されていません。 CloudScoutには「 2020 」という著作権表示があり、この頃に開発された可能性があることを示しています。
ESETは、分析対象となった3つのモジュールに共通する「 RC4 」という暗号化キーを特定しました。 これをもとに、モジュールの一つであるCGMが、Evasive Pandaが使用するMgBotプラグインによって展開されたものであると特定しました。
CommonUtilities パッケージ
CloudScoutの中核となるのは、「CommonUtilities」というパッケージです。 このパッケージには、各モジュールを実行するために必要な低レベルライブラリが含まれています。 このパッケージは、モジュールのリソースセクションに格納されており、「ModuleStart」関数の実行中に読み込まれます。
CommonUtilitiesには、類似のオープンソースの選択肢が数多く存在するにもかかわらず、数多くの独自開発のライブラリが含まれています。 これらのライブラリは、他のオープンソースの代替手段とは対照的に、マルウェア開発者に対し、埋め込み型プログラムの内部動作に対するより高い柔軟性と制御力を提供します。
認証とデータ取得
Webプラットフォームでは、クッキーについて必ずしも十分に説明されているとは限りません。 CloudScoutは、セッションがまだ有効な場合、Google Drive、Gmail、およびOutlookからクッキーを盗み出すことができます。 認証後、このツールは、それぞれ異なるハードコードされたWebリクエストを持つモジュールを活用して、侵害されたサービスをスキャンします。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
「Evasive Panda」は、長きにわたり高度な手口を用いる攻撃者です。 CloudScoutのツールセットは複雑に見え、大きな影響を与える可能性も秘めているようですが、Googleがその後、CloudScoutと同様に、クッキー窃取型マルウェアから保護するための機能をChromeに実装したことは注目に値します。
ESETが指摘しているように、これにより、このツールは将来的に役立たなくなる可能性があります。 しかし、他のことと同様に、関係者がそこに価値を見出せば、こうした対策を回避する方法を模索し続けるでしょう。
これらの記事について、何かご意見やご感想など、共有したいことはありますか？ 、Taniumのディスカッションフォーラム （新しいタブで開きます）、、 にアクセスして、会話を始めてみてください。
さらに詳しくお読みになりたい方は、当社の最近の「」サイバー脅威インテリジェンスまとめをご覧ください。 （新しいタブで開きます）。
