今週、CTIでは、ソフォスと複数の中国の脅威アクターとの間で続いている攻防について取り上げます。 続いて、CTIは「CRON#TRAP」と呼ばれる新たなキャンペーンについて調査しています。このキャンペーンは、単純な「 」というフィッシングメールから始まります。 （新しいタブで開きます）。 最後に、CTIでは、Microsoft Bingを利用して銀行の認証情報を狙う新たなフィッシングキャンペーンの概要についてまとめました。
ソフォスは、複数の中国の脅威アクターと戦っています
ソフォスは先日、 （新しいタブで開きます） において、複数の中国の脅威アクターとの継続的な戦いに関する詳細を公表しました。 5年以上にわたり、攻撃者たちは、ソフォス製の機器を含め、世界中のネットワーク機器を標的にしてきました。 同社は、特定の活動群を、 （Volt Typhoon）、、 APT31、および （APT41）、といったアクターによるものと特定しました。
[関連記事：APT？ IOCとは？ LOLBins？ 15 【今こそ知っておくべきサイバーセキュリティ用語（あなたとCEOのために）】 （新しいタブで開きます）
攻撃者の行動の変遷
ソフォスは、攻撃者の行動において、主に3つの新たな傾向を特定しました：
- 第一に、標的を特定せずに機会を捉えて行われる広範囲にわたる目立つ攻撃から、特定の標的を標的としたより目立たない攻撃へと、その焦点が移行していることです。
- 2つ目の傾向は、ステルス性と持続性の進化にあり、現地リソースを活用した活動、バックドア化されたJavaクラス、およびメモリ専用のトロイの木馬への注目が高まっています。
- 最後の指摘は、作戦上のセキュリティ（OPSEC）の改善に関するものです。
初期の侵入と偵察
2018年に発生した、初めて確認された攻撃は、ネットワーク機器ではなく、インドにあるソフォスの施設を標的としたものでした。 この攻撃では、後に「 Cloud Snooper」 と名付けられた複雑なルートキットと、設定ミスのあるAWS SSMエージェントを介してクラウドインフラストラクチャへ侵入する手法が利用されました。
当時、この攻撃は特定の攻撃主体によるものとは特定されていませんでした。 現在、研究者たちは、この攻撃が、さらなる攻撃を支援するための情報を収集し、ネットワーク機器を標的とするマルウェアを作成するための、中国による試みであったと考えています。
ステルスモードへの切り替え
2022年、関係者は戦略を転換し、より的を絞って特定の分野に注力するようになりました。 これらの攻撃では、多様なTTPが用いられ、コマンドやマルウェアの手動実行を伴う自動化ではなく、より能動的な攻撃手法が採用されていました。 これらの攻撃では、ステルス的な潜伏手法やCVEの悪用が随所で用いられました。
OPSECの改善
これらの攻撃者は、デバイスからソフォスへのデータ送信を遮断することで、自らの活動を隠蔽する手口をますます巧妙にしています。 2020年以降、攻撃者たちは、侵害されたデバイスのホットフィックス機能を妨害しようと試み、その後、デバイスのテレメトリシステムを標的にし始めました。 全体として、作戦上のセキュリティ対策は時間の経過とともに改善されました。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
中国の国家が支援する脅威アクターは、特に互いにツールや手法を共有する傾向があるため、かねてより脅威となっています。 ソフォスによると、これらの攻撃者は「十分なリソースを持ち、忍耐強く、創意工夫に富み、デバイスのファームウェアの内部アーキテクチャについて並外れた知識を有している」とのことです。
エッジネットワーク機器は、今後も攻撃者にとって重要な標的であり続ける可能性が高いと考えられます。
CRON#TRAPは、Linux仮想マシン（VM）を介してWindowsに感染します
「 CRON#TRAP」 と名付けられたキャンペーンにおいて、攻撃者はフィッシングメールを利用して、特注のQEMU（Quick Emulator）Linux環境を展開しています。
Securonix によると、フィッシングメールに含まれるLNKファイルが、QEMUをエミュレートするLinux環境を起動させるそうです。 この攻撃で使用されたLinuxインスタンスには、攻撃者の C2 サーバーに自動的に接続するようにあらかじめ設定されたバックドアが組み込まれています。
初感染
確認は取れていませんが、Securonix社は、この攻撃が、.zipファイルをダウンロードするためのリンクが記載されたフィッシングメールから始まったものと考えています。 この.zipファイル自体はアンケートを装ったもので、ファイルサイズは 285MB.
と大きくなっていました。被害者がファイルを解凍すると、ショートカットと、QEMUのインストールディレクトリを含む「data」ディレクトリが表示されます。 このショートカットファイルはPowerShellを起動し、ダウンロードしたファイルを解凍してバッチファイルを実行するコマンドを実行します。 このバッチファイルは、QEMUプロセスを実行してLinux環境を起動する際、ユーザーに偽のサーバーエラーを表示します。
Lureドキュメント／QEMU
偽のサーバーエラーが、被害者に対して説得力のある餌として表示されます。 QEMUのプロセス名は変更されましたが、これは正規のものであり、有効な証明書によるデジタル署名が行われています。
PivotBox – 攻撃者のLinux環境
Securonixは、自動ログインが有効になっていたため、オペレーティングシステムとやり取りすることができました。 メッセージバナーには、「PivotBox」と「オプション」コマンドが表示されます。 このオプションコマンドは、ホストとやり取りするための2つのコマンドを表示します。
デフォルトでは、Linuxは実行されたすべてのコマンドのログをユーザーのプロファイルディレクトリ内に保存します。 研究者たちは、どのようなコマンドが使用されたかという記録を突き止めることができました。これは、この攻撃者が基本的な運用セキュリティを欠いており、履歴を消去していなかったことを意味します。
コマンドの完全なリストは、Securonixのレポートでご確認いただけます。 大まかに言えば、ツールのインストール、ペイロードの操作や実行、持続性の確立、データの持ち出しなどを行うコマンドが含まれていました。
ノミ
Linux QEMUインスタンスの起動時に、バイナリが実行されます。 研究者らは、このバイナリが「WebSocketsを介してリモートの C2 サーバーに接続するように設計された、あらかじめ設定済みのChiselクライアント」であると特定しました。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
このキャンペーンは、単なるフィッシングメールから、Linux環境のエミュレーションへと急速に拡大しました。 俳優がQEMUを悪用したのは今回が初めてではありませんが、 の暗号通貨マイニング以外の目的で悪用されたのは、今回が初めてに近いようです。。
この攻撃キャンペーンはフィッシングから始まる可能性が高いという事実により、防御担当者やエンドユーザーは、事態が深刻化する前に脅威を特定することができます。
攻撃者はフィッシング攻撃にBingを利用しています
Malwarebytesは最近、銀行の認証情報を狙う新たなフィッシングキャンペーン「 」を特定しました。 このキャンペーンは、特にマイクロソフトの検索エンジン「Bing」上で、マルウェアを含む広告（マルバタイジング）を利用して被害者を狙っています。
フィッシングページは検索結果の1ページ目に表示され、場合によっては検索結果のトップに表示されることもあります。
Malwarebytesは、 11月29日 においてこのフィッシングキャンペーンを特定しました。 ユーザーがBingで「KeyBank ログイン」と検索すると、検索結果の1番目に、正規のKeyBankログインサイトを装った悪意のあるリンクが表示されます。 そのドメインは、およそ2週間前に登録されました。
インデックス登録とクローキング
悪意のあるリンクにアクセスしたWebクローラーやスキャナーは、脅威アクターが関心を寄せていないユーザーを対象としたサイトへと誘導されます。これらのクローラーやスキャナーは、そのページのコンテンツを収集・インデックス化し、そのページを「安全なページ」として識別します。 しかし、被害者はIPアドレスなどのユーザー属性に基づいて、直ちに本物の悪意のあるサイトへリダイレクトされてしまいます。
このフィッシングサイトは、KeyBankの正規のブランドイメージを使用しており、本物のログインページを忠実に模倣しています。 このサイトのフォームに入力すると、そのデータが直ちに攻撃者に送信されます。
MFAのバイパス
多くのフィッシング攻撃では、 の多要素認証（MFA）を回避しようと試みています。 このキャンペーンでは、フィッシングページに、被害者に対して「インターネット接続の状態が悪い」というメッセージが表示されます。 このメッセージは、実際に何が起きているかを隠すための目くらましです。
裏では、犯人が被害者のアカウントにログインし、多要素認証（MFA）コードの入力を求められます。 別の画面では、被害者にワンタイムパスワードの入力が求められ、そのパスワードは直ちに攻撃者に送信されます。
さらに一歩踏み込んで、このフィッシングキャンペーンでは、被害者にセキュリティ質問への回答も求めています。 攻撃者は、この情報をさらに悪用する可能性があります。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
このキャンペーンはBingに限定されたものですが、同様のフィッシング手口が現在、ほとんどの検索エンジンで横行しています。
Malwarebytesが指摘している点の一つは、悪意のあるサイトがいかに迅速に検索結果の上位に表示されるようになるかということです。 このケースでは、正規の銀行のウェブサイトよりも上位に表示されるようになるまで、わずか2週間しかかかりませんでした。
これらの記事について、何かご意見やご感想など、共有したいことはありますか？ や、Taniumのディスカッションフォーラム にアクセスして、ぜひご意見をお寄せください。
さらに詳しくお読みになりたい方は、 の最新のサイバー脅威インテリジェンスまとめ をご覧ください。
