今週のまとめでは、CTIが「Sniper Dz」というフィッシング・アズ・ア・サービス（PhaaS）プラットフォームについて、そのインフラや手口を含め、概要を解説しています。 続いて、CTIがElastic Security Labsの「 2024 Global Threat Report」から得られた重要なポイントを紹介します。 CTIはまた、米国内の複数の組織が、「アンダリエル（別名ストーンフライ）」として知られる北朝鮮の国家支援型攻撃主体から標的とされたという、最近の証拠についても検証しています。
「Sniper Dz」は、ソーシャルメディアやオンラインサービスを標的としています
パロアルトは、 （新しいタブで開きます） 、Sniper Dz 、フィッシング・アズ・ア・サービス（PhaaS）プラットフォーム （新しいタブで開きます） を綿密に監視しており、同プラットフォームのインフラストラクチャおよび戦術に関する分析結果を公開しています。
Palo Altoによると、「Sniper Dz」は人気のあるソーシャルメディアプラットフォームやオンラインサービスを標的としており、これに関連するフィッシングサイトは少なくとも 140,000 件あるとのことです。
Sniper Dzプラットフォームを詳しく見てみましょう
Sniper Dzプラットフォームを利用すれば、攻撃者は のフィッシング攻撃を （新しいタブで開きます） を容易に実行できます。これは、同プラットフォームの管理パネルにより、攻撃者がフィッシングページを迅速に生成できるためです。 管理パネルにアクセスするには、出演者はメールアドレスを使ってアカウントを作成する必要があります。 このアカウントを使用することで、さまざまなブランドやユーザーを標的とした、さまざまなフィッシングページにアクセスすることができます。
プラットフォームへのアクセス権を取得した後、攻撃者は2つの方法で攻撃を仕掛けることができます：
- Sniper Dzのインフラ上でホストされているフィッシングページ
- 他のインフラ上でホストされている、ダウンロード可能なフィッシング用テンプレート
Sniper Dzのフィッシングページ／テンプレート
この手口では、攻撃者はサイトをホストするためにWebサーバーを立ち上げる必要がなく、フィッシングページのコンテンツはプロキシサーバーの背後に隠されています。 もし攻撃者が、代わりに自身のインフラ上でダウンロード可能なフィッシングテンプレートを使用する場合、多くの選択肢があります。
[関連記事：ビジネスメール詐欺（BEC）とは何ですか？] BEC攻撃のコスト高について知っておくべきこと] (新しいタブで開きます)
インフラと戦術
Sniper Dzは、パブリックプロキシサーバーを利用してフィッシングコンテンツを隠蔽しています。 このサービスは、正規の公開プロキシサーバーである proxymesh[.]com を悪用しています。
このグループは、直接通信を行わずにフィッシングコンテンツを自動的に読み込むよう、プロキシサーバーを設定しています。 このようにすることで、ブラウザはフィッシングサイトの読み込み元をプロキシサーバーと認識するため、このグループは自社のバックエンドサーバーを保護することに貢献しています。
さらに、このグループはフィッシング用テンプレートのコードを難読化し、盗み出した認証情報をSniper Dzが所有する一元管理されたインフラストラクチャへ流出させています。
被害者とテンプレートの追跡
Sniper Dzは、組み込まれたカスタムJavaScriptと分析サーバーを利用して、攻撃対象を追跡しています。
このスクリプトは、正規の分析サーバーからトラッカーを読み込み、自社のインフラ上でホストされているリンクや、他のインフラ上でホストされているリンクにアクセスした被害者を追跡します。
Sniper Dz を利用した既知の攻撃
2023以降、パロアルトはSniper Dzに関連する 140,000 件以上のフィッシングページを発見しました。
このグループはこの間も活動を続けてきましたが、 2023年の終わり頃がピークだったようです。 Sniper Dzには数千人の顧客がおり、 2024年8月時点でのTelegramチャンネルの登録者数は 7,156 人です。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
パロアルト社の調査によると、多くの攻撃者が、Telegramのフォロワー数やインフラに応じて、Sniper Dz PhaaSプラットフォームを活用できる可能性があることが示されています。
Telegramは最近、プライバシーポリシーを更新し、今後、裁判所の命令に基づき、ユーザーの電話番号やIPアドレスを法執行機関に提供することになると明記しました。 この方針の変更により、脅威アクターが活動拠点を移すきっかけとなる可能性があります。
とはいえ、Telegram （新しいタブで開きます） で販売されている「」の悪意のあるサービス（Sniper Dz など）が、今後も Telegram やその他の場所で繁栄し続けるかどうか、注目されます。
Elastic Security Labsは、「 2024 Global Threat Report」を発表しました。
Elastic Security Labsは、「 グローバル脅威レポート（2023年 2024号）」（ （新しいタブで開きます））を発表しました。本レポートには、最新のサイバーセキュリティ脅威や 、生成AI（ （新しいタブで開きます））、マルウェア、エンドポイントの挙動、およびクラウドセキュリティに関する動向が盛り込まれています。
生成AI
Elasticは、脅威アクターが生成AIをいくつかの方法で悪用していることを確認しており、その中でも最も顕著な例の一つがフィッシング攻撃です。 当然のことながら、攻撃者はAIを活用して活動の規模を拡大し、 ソーシャルエンジニアリング （新しいタブで開きます） を強化することができます。これは、キャンペーンをより容易にパーソナライズできるためです。 この現象のさらなる広がりとして、 で報じられているように、現在ディープフェイクが急増しています。 （新しいタブで開きます）。
フィッシングに加え、攻撃者はマルウェアの開発にもAIを活用しています。 これはまだ広く普及してはいませんが、徐々に広がりつつあります。
[関連記事：GenAIの導入競争？ 「優れたセキュリティは優れたガバナンスから始まる」その理由をご覧ください] (新しいタブで開きます)
マルウェアの検出
Elasticのレポートでは、実環境で見られるさまざまな種類のマルウェアや、標的とされているオペレーティングシステムについても分析しています。 Windowsは依然として、最も標的とされるオペレーティングシステムです。
彼らは、マルウェアの種類やカテゴリに関するYARAシグネチャを分析し、データを分類しました。 彼らは、観測されたマルウェアの大部分をトロイの木馬が圧倒的に占めていることを突き止めました。
最後に、マルウェアのファミリーについて見てみると、上位のファミリーは、 、Cobalt Strike、 （新しいタブで開きます）、、 、およびMetasploitでした。
エンドポイントの挙動
Elasticは、Windows、macOS、Linuxの各プラットフォームで最も頻繁に確認された戦術、手法、手順（TTP）を調査しました。 彼らが観察したエンドポイントの挙動のほとんどは、防御回避に関連するものであり、観察された全戦術の 38.99％を占め、前年比で 6％減少しました。 次に、実行と持続性が主要な戦術として続き、その合計はおよそ 30％となりました。
Windowsにおいて最も一般的な手法は、プロセスインジェクション、システムバイナリのプロキシ実行、および防御機能の無効化でした。 Linuxの場合、「防御機能の無効化」が最も多く用いられた手法であり、次いでファイルおよびディレクトリの権限変更が続きました。
最後に、macOSにおいて最も多く見られた防御回避手法はリフレクティブ・コード・ローディングであり、次いで信頼制御の回避、そしてインジケーターの削除が続きました。
クラウドセキュリティ
Elasticの調査によると、多くの組織では依然として、 クラウド環境の設定ミスが発生しており、 （新しいタブで開きます） 適切なセキュリティ対策が実施されていないか、あるいはその両方が見受けられ、その結果、脅威アクターがこうした環境で勢力を拡大していることが判明しました。
彼らが確認した最も一般的な問題の一つはストレージに関連するもので、Azureの障害の 47％がストレージアカウントに起因し、AWSの障害の約 30％は S3 件のチェックに起因していました。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
Elasticのレポートは、世に出回っている他の多くのトレンドレポートよりも深く掘り下げており、具体的な戦術ごとに分析しています。
最も興味深い気づきのひとつは、AIの影響――あるいはその欠如――についてElasticが述べたコメントでした：
人工知能の能力は、状況を一変させるようなことはなかった――良い方向にも悪い方向にも。新たな脅威が爆発的に増加することもなければ、すべての脅威が排除されるほどの優位性をもたらすこともなかったのです。
これは重要な注意点ですが、 AIについてはよく話題に上っていますが（ （新しいタブで開きます） ）、脅威アクターにとってメリットをもたらす可能性はあるものの、現時点では脅威の領域全体においてAIが爆発的に普及しているという状況には至っていません。
アンダリエルが米国の組織に対して金融攻撃を仕掛けています
シマンテックは最近、 （新しいタブで開きます） において、北朝鮮の「Andariel」グループが米国内の複数の組織を標的にしていたという証拠を明らかにしました。
シマンテックによると、この攻撃者は、 を通じて、被害者に対してランサムウェア (新しいタブで開きます) を展開することに失敗しました。 これらの攻撃は、この攻撃主体が最近起訴されたにもかかわらず、依然として攻撃を続けていることを示しています。
アンダリエルとは誰でしょうか？
アンダリエル・グループは、北朝鮮の軍事情報機関である偵察総局（RGB）とつながりがあります。
このアクターは、韓国や米国政府、金融機関のウェブサイト数カ所に対して、 DDoS攻撃 （新しいタブで開きます） を行った際、初めて「 2009 」として登場しました。
出典
シマンテックは、Andarielグループが、特に米国の組織を標的として、金銭を目的とした攻撃を継続して行っていることを突き止めました。
複数の攻撃において、攻撃者は、以前このグループによるものと特定されていた独自のマルウェア「Backdoor.Preft」を展開しました。 また、この攻撃では、マイクロソフトが以前、Andariel攻撃において特定していた「侵害の兆候」がいくつか残されていました。
2024年7月において、米国司法省は、先ごろ発生したAndariel攻撃に関連する容疑で、北朝鮮国籍の個人を起訴しました。 この人物は、米国の病院などを対象とした恐喝に関与した容疑で起訴されています。 2021 から2023の間 （新しいタブで開きます）、身代金収入のマネーロンダリング、およびその収入を、世界中の防衛、テクノロジー、政府部門に対するその他のサイバー攻撃の資金源として使用した容疑がかけられています。
こうした二次攻撃の標的には、米空軍の2つの基地やNASA監察総監室（NASA-OIG）などが含まれています。
アンダリエルはどのようなツールを使っているのでしょうか？
前述の通り、この攻撃者は「Preft」と呼ばれるマルウェアを頻繁に利用しています。これは、ファイルのダウンロードやアップロード、コマンドの実行、さらには追加のプラグインのダウンロードが可能な、多段階型のバックドアです。
また、このマルウェアは「Nukebot」と呼ばれる別のバックドアも使用しており、同様の機能に加え、スクリーンショットを撮影する機能も備えています。 このツールのソースコードは以前、流出したことがあり、おそらくこの攻撃者がツールへのアクセス権を得たのはそのためと思われます。
また、この攻撃者は、悪意のあるバッチファイル、Mimikatz、キーロガー、Sliver、Chisel、PuTTY、Plink、Megatools、 Snap2HTML、FRPといった、より一般的なツールを使用していることも確認されています。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
シマンテックが指摘しているように：
そのメンバーの一人が起訴されたにもかかわらず、同団体の活動は依然として続いています。
むしろ、この起訴によって、同グループは、とりわけ米国を標的とした活動を継続するよう後押しされたかのように見えます。このグループは10年以上も前から活動しており、これまでにも幾度もの妨害を乗り越えてきました。今後もしばらくの間、このグループが勢いを維持し続ける可能性が高いでしょう。
これらの記事について、何かご意見やご感想など、共有したいことはありますか？ 、Taniumのディスカッションフォーラム （新しいタブで開きます）、、 にアクセスして、会話を始めてみてください。
さらに詳しくお読みになりたい方は、 の最近のサイバー脅威インテリジェンスまとめ記事をご覧ください。 （新しいタブで開きます）。
