今週、CTIは「Silk Typhoon」として知られる中国のスパイ集団について調査を行っています。このグループは現在、初期侵入の手段としてITソリューションを標的にしています。 次に、CTIでは、脅威アクターが実物の郵便を通じて経営幹部に偽の身代金要求書を送付するキャンペーンについて検証します。 最後に、CTIは、ClickFixの手法を用いた を標的としたフィッシングキャンペーン （新しいタブで開きます） について調査しており、このキャンペーンは、改変されたHavoc Demonエージェントを展開することを目的としています。
「シルク・タイフーン」が戦術を変更しました
マイクロソフトは最近、 （新しいタブで開きます） において、中国の諜報組織である「Silk Typhoon」グループによる標的選定や戦術・手法・手順（TTP）の変化を確認しました。 このグループは、初期侵入の手段として、リモート管理ツールやクラウドアプリケーションなど、一般的なITサービスを標的とする方向に焦点を移しています。
例えば、このグループは、盗んだAPIキーや認証情報――具体的には、特権アクセス管理（PAM）、クラウドアプリプロバイダー、およびクラウドデータ管理企業に関連するものを悪用し、 サプライチェーンを侵害しています。 (新しいタブで開きます)。
また、このグループは、盗難後に、さらに深く侵入し、侵害されたサプライチェーンを悪用するためのいくつかの行動をとっていることが確認されており、その結果、複数の組織にわたり広範な影響が及んでいます。その例としては、以下のものが挙げられます：
- 下流の顧客やテナントへのアクセス
- アクセス権を利用して、スパイ活動のための偵察を行うこと
- デフォルトの管理者アカウントのリセット
- ウェブシェルの埋め込み
- ユーザーの追加
マイクロソフトによると、この下流活動による被害を受けた組織は、主に の州政府および地方自治体 （新しいタブで開きます） 、ならびにITセクターに関連するものでした。
シルク・タイフーンとは誰でしょうか？
「Silk Typhoon」は、少なくとも 2020年から活動している中国のサイバー諜報グループです。 マイクロソフトによると、このグループは「発見された のゼロデイ脆弱性 （新しいタブで開きます） に対し、エッジデバイス上で迅速にエクスプロイトを実用化すること」で知られています。
以前は「Hafnium」として追跡されていたこのグループは、主に米国のさまざまな業界の組織を標的としており、その対象には、 テクノロジー （新しいタブで開きます）、政府機関などが含まれます。
マイクロソフトが指摘しているように、このグループは極めて高度な手口を用い、「中国の脅威アクターの中でも最大級の標的範囲を誇っている」とのことです。 この広範な標的選定は、主に同グループが脆弱性スキャン作業を通じて潜在的な被害者を選定するという、機会主義的な手法によるものです。 このグループは、クラウド環境内で円滑に業務を遂行できたことから、クラウド環境に対する理解を示しました。
パスワードスプレー攻撃と悪用
また、マイクロソフトは、この攻撃者がパスワードスプレー攻撃やその他のパスワード関連の手法を用いて初期アクセスを獲得していることも確認しました。
[関連記事：パスワードのセキュリティに関する新しい考え方に、きっと驚かれることでしょう] (新しいタブで開きます)
その俳優は、流出した企業のパスワードを利用して偵察活動を行います。
最近のTTP
最近の「Silk Typhoon」による攻撃では、攻撃者はゼロデイ攻撃を作成するか、脆弱性のあるサービスのインスタンスを特定して標的にすることで、初期アクセス権を取得しています。 この企業は、ITプロバイダー、 、ID管理 （新しいタブで開きます）、特権アクセス管理、およびRMMソリューションを主なターゲットとしているようです。 2025年1月において、マイクロソフトは、この攻撃者が特にIvanti社のPulse Connect VPNのゼロデイ脆弱性を悪用していることを確認しました。
初期アクセス権を取得した後、攻撃者は一般的な手口を用いて、オンプレミス環境からクラウド環境へと移動することが知られています。 その過程で、攻撃者が のActive Directory （新しいタブで開きます）をダンプし、キーボルトからパスワードを盗み出し、権限を昇格させている様子が確認されています。 マイクロソフトはまた、この攻撃の段階において、攻撃者がマイクロソフトのAADConnectサーバー（Entra Connect）を標的にしていることも確認しています。
このグループは、MSGraphを介して電子メール、OneDrive、およびSharePointのデータを盗み出すために、サービスプリンシパルやOAuthアプリケーションを悪用していることが確認されました。 さらに、マイクロソフトは、Silk Typhoon によってマルチテナント型アプリケーションが侵害された事例を確認しました。 さらに、このグループは、その悪意のある活動を隠蔽するために、秘密のネットワークを活用していることが知られています。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
重要なポイントの一つは、攻撃者が、下流の顧客を抱える組織を標的にすることで、さらなる侵害を引き起こし、脅威を大幅に増大させることができることに気づき始めているという点です。
さらに、Silk Typhoonは専用のインフラストラクチャを使用していません。 その代わりに、このグループは侵害されたネットワークやプロキシなどを利用し、悪意のある活動を正当な業務に紛れ込ませやすくするでしょう。 この点に加え、同グループが状況に応じて標的を選定していることも相まって、Silk Typhoonは間違いなく注視すべき存在です。 また、他の攻撃主体が「Silk Typhoon」の標的選定やTTPを模倣し始める可能性もあります。
マイクロソフトは、 （新しいタブで開きます） において、関連する活動を特定するのに役立つ有用な推奨事項、ハンティングのガイダンス、クエリ、およびさまざまなDefenderアラートを紹介しています。
[関連記事：脅威ハンティングとは？ 【実例を用いた概要】 （新しいタブで開きます）
サイバー攻撃者は、実物の身代金要求書を用いて経営幹部を標的にしています
GuidePoint Securityには、実物の郵便物を通じて偽の身代金要求書が送付されている件について、さまざまな組織から複数の報告が寄せられました。 (新しいタブで開きます) これらの手紙は米国の住所から経営陣宛てに送られており、デジタルで受け取る身代金要求書によく含まれる詳細が記載されています。
その偽の身代金要求書には何が書かれているのでしょうか？
各手紙の内容は、通常、侵害されたデバイスに置かれる身代金要求書のようなものです。 この手紙の冒頭部分では、犯人が被害者の企業システムに侵入し、機密情報を徐々に持ち出していたと述べられています。 ほとんどの身代金要求書と同様に、この手紙も受取人に対して支払いを求めています。 この場合、支払いはビットコインでの請求となり、ウォレットアドレスが記載されたQRコードが添付されています。 GuidePointによると、身代金の要求額は250,000 ドルから350,000ドルの間でした。
封筒には「TIME SENSITIVE READ IMMEDIATELY（至急・直ちに開封）」と記載されており、アメリカ国旗の「フォーエバー」切手が貼られています。
身代金要求文の特徴
この手紙の筆者は、 の「BianLian」グループ（ （新しいタブで開きます）、、）と関係があると主張しています。 しかし、GuidePoint社は、この手紙が正規のBianLianグループから送られたものではないと考えています。
最も疑問が残る点は、ランサムウェアグループが実物の身代金要求書を送付するのはこれが初めてとなるという事実です。 さらに、この手紙の実際の文言や内容は、BianLianがこれまでに送ってきた身代金要求書とは異なっており、今回のものはほぼ完璧な英語が用いられ、複雑な文構造が見られます。
もう1つ目立つ違いは、この手紙には、身代金の交渉や、電子メールやダークウェブを通じて犯人と連絡を取る手段が記載されていないという点です。 最後に、GuidePointの報告によると、これらのビットコインウォレットアドレスは新しく作成されたものであり、これまでいかなるグループとも関連付けられていなかったとのことです。
[関連記事：ランサムウェア交渉のテクニック] (新しいタブで開きます)
最も重要な点として、GuidePointは、「こうした書簡の送付が確認された事例において、ランサムウェア攻撃を反映する既知または疑わしい侵入活動は確認されていません」と指摘しています。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
脅威アクターたちが、実物の郵便で手紙を送るといった、ごく基本的かつ昔ながらの手法に再び頼り始めているのを見ると、不思議な感じがします。 通常、攻撃者は、デバイスに接続するとマルウェアが実行されるUSBメモリを、郵便で送付してきます。
この興味深い動きとして、攻撃者は、実際の悪意のあるコンテンツの代わりに、 といったソーシャルエンジニアリング用のコンテンツ（ （新しいタブで開きます）、、 ）を郵便で送付しています。 しかし、これは従来の手口にひねりを加えたものではなく、単に別の犯人が有名なランサムウェア組織を装っているだけかもしれません。
現時点では、BianLianランサムウェアの運営側がこれらの手紙を送信しているという確認は得られていません。 これは、通常の攻撃に見られるような技術的に高度な手法を一切用いることなく、手っ取り早く金儲けをしようとしている、単なる別の脅威アクターに過ぎないのかもしれません。
ハッカーたちは「ClickFix」の手口を利用して、改変されたHavoc Demonエージェントを展開しています
フォーティネットは、 （新しいタブで開きます） において、改変されたHavoc Demonエージェントを展開しようとする、ClickFix型のフィッシングキャンペーンを発見しました。
このキャンペーンの特徴は、攻撃者がSharePointを利用してマルウェアの各段階を隠蔽し、Microsoft Graph APIを活用して C2 の通信をシームレスに統合している点にあります。
初回アクセス
フォーティネットによると、この攻撃は、HTMLファイルが添付された従来のフィッシングメールから始まります。 このメールは、添付された通知を確認しなければ「業務上の課題」に直面する可能性があることを受信者に伝えることで、緊急性を喚起しています。 添付ファイル「Documents.html」は、 による典型的な ClickFix 攻撃です。 （新しいタブで開きます）。 このマルウェアには、被害者をだまして悪意のあるPowerShellをコピー、貼り付け、実行させてしまう偽のエラーメッセージが表示されます。
ペイロード
このペイロード（PowerShellスクリプト）は、SharePoint内にホストされています。 被害者がこのスクリプトを実行すると、まずサンドボックス環境で実行されているかどうかを確認した上で、「HKCU:\Software\Microsoft」配下の、名前が「zr_」で始まるレジストリキーを削除します。
その後、指定されたプロパティを感染マーカーとして追加します。 このスクリプトは、Pythonインタプリタであるpython.exeがデバイス上に存在することを確認した上で、リモートのPythonスクリプトを取得して実行します。 これは、被害者に疑いを抱かせないよう、非表示のウィンドウで実行されます。
シェルコードローダー
フォーティネットによると、このPythonスクリプトはSharePoint上にもホストされており、デバッグ情報が含まれており、ロシア語で記述されているとのことです。 このスクリプトはシェルコードローダーとして機能し、ターミナル内のPythonインタプリタを通じて実行されます。
「KaynLdr」と呼ばれるGitHubのシェルコードローダーは、埋め込まれたDLLをリフレクティブにロードします。 その主な目的は、分析を困難にすることにあります。これは、修正された DJB2 アルゴリズムを用いたAPIハッシュ処理と、マッピングおよびメモリ割り当てのために解決済みのntdll APIを使用しているためです。
Havoc Demon DLLについて
Havocは、 のレッドチーム活動で広く利用されているオープンソースの C2 フレームワークです。 （新しいタブで開きます）。
このケースでは、攻撃者はHavocとMicrosoft Graph APIを組み合わせて、 C2 件の通信を隠蔽しています。 このアクターは、改変されたHavoc Demon DLLと、Graph APIを活用した別の関数を使用して、SharePointサイト上のファイルを初期化します。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
ClickFix型の攻撃は、被害者の操作に大きく依存しているにもかかわらず、その人気が高まっているというのは興味深いことです。 被害者は、フィッシングメールによって騙されるだけでなく、悪意のあるPowerShellをコピー、貼り付け、実行し続ける必要があります。
この特定の攻撃では、Microsoft Graph API や SharePoint といった正規のサービスを利用するといった、もう一つの一般的な手口も用いられています。 こうした信頼性が高く、馴染みのある情報源は、成功率の向上に寄与する可能性があります。
これらの記事について、何かご意見やご感想など、共有したいことはありますか？ 、Taniumのディスカッションフォーラム （新しいタブで開きます）、、 にアクセスして、会話を始めてみてください。
さらに詳しくお読みになりたい方は、当社の最近の「」サイバー脅威インテリジェンスまとめをご覧ください。 （新しいタブで開きます）。
