今週のまとめでは、CTIが、「 APT40」として知られる中国と関連のある攻撃者に関するグローバルな脅威アドバイザリを取り上げています。 次に、CTIは、「CloudSorcerer」として追跡されている新たなスパイ活動を行う脅威アクターについて取り上げます。このアクターは、実行される環境に応じて動作を変更できるマルウェアを用いて、組織を標的にしています。 また、3月に登場したランサムウェア・アズ・ア・サービス（RaaS）組織「エルドラド」の概要についても掲載されています。
1. APT40 は、ネットワークの脆弱性を瞬く間に悪用します
オーストラリア、ドイツ、日本、ニュージーランド、韓国、英国、および米国のサイバーセキュリティ機関は、 中国に関連する APT40 について、共同勧告 を発表しました。
APT40 は長年にわたり事業を展開しており、幅広い業界や国を対象としてきました。 最新のアドバイザリ（ APT40 ）によると、新たに発見された脆弱性は、公開されてから数時間あるいは数日以内に、迅速に悪用される可能性があります。
この勧告では、オーストラリアのネットワークで確認された手口について詳しく説明しています。 同グループは、攻撃の好機を伺うため、注目しているネットワークに対して定期的に偵察活動を行っています。
注目すべきTTP
- APT40 は、オーストラリア、そしておそらくその他の地域での活動において、侵害されたデバイスを運用インフラやラストホップリダイレクターとして利用する傾向があります。
- このグループは、サポート終了済みやパッチが適用されていない小規模オフィス／ホームオフィス（SOHO）向けのデバイスを頻繁に標的としており、こうしたデバイスは脆弱性の悪用にとって格好の標的となっています。
- デバイスを乗っ取った後、攻撃者はそれを利用して攻撃を仕掛け、正当なトラフィックに紛れ込ませます。
2つの事例研究
この共同アドバイザリーでは、 APT40’s の機能を実証する2つの事例が紹介されています。
- 事例研究 1 『』：セキュリティ機関は、 2022 で発生した成功した侵害事例を分析し、その攻撃者の手口に焦点を当てました。
この事例では、攻撃者がホストを列挙して独自のネットワークマップを作成し、コマンドを実行する手段としてWebシェルを展開し、さらに追加のツールを展開している様子が確認されました。 APT40 はネットワーク内を横方向に移動しましたが、ネットワークの構造が比較的フラットであったため、この移動は容易に行われました。
- ケーススタディ 2「」：このアドバイザリでは、さらに APT40 件の攻撃についても取り上げています。この攻撃では、ある組織が、リモートアクセスソリューションのログインポータルとして機能していたインターネットに公開されているサーバーの1台で、悪意のあるソフトウェアを検知しました。
APT40 台のホストを列挙し、インターネットに公開されているアプリケーションを悪用し、Webシェルを活用し、ソフトウェアの脆弱性を悪用し、認証情報を収集して、さらなる横方向の移動を実現しました。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
APT40 は、定期的かつ日常的なネットワーク偵察活動を行っているため、新たな脆弱性を迅速に悪用することができます。
このグループは、単に機会を捉えて攻撃を行うという性質ではなく、標的とする被害者のリストを持っている可能性があります。後者の場合、脆弱性の悪用ではよくあるパターンです。
APT40’s という短期間で、脆弱性の概念実証（POC）を入手し、実環境での攻撃に成功させた能力は、このグループの高度な技術力を如実に物語っています。
2。 APT「CloudSorcerer」がロシアの組織を標的としています
「 」CloudSorcerer として追跡されている新たなスパイ活動を行う脅威アクターが、実行される環境に応じて動作を変更できるマルウェアを用いて、組織を積極的に標的にしています。
CloudSorcerer（ ）は現在、主にロシアの組織を標的としており、そのコマンド＆コントロール（C&C）運用においてパブリッククラウドサービスに大きく依存しています。
CloudSorcererとは何ですか？
この俳優は、『 2024年5月』で初めて注目を集めました。 このグループは、Microsoft Graph、Yandex Cloud、Dropboxなどのサービスを利用して、監視、データ収集、およびデータの持ち出しを行っています。 この企業は、自社の「 C2 」向けにこれらのパブリッククラウドサービスを利用していることで知られており、認証トークンを使用してAPI経由でこれらにアクセスする予定です。
SecureListによると、このマルウェアは、すでに感染しているマシン上で、攻撃者によって手動で実行される必要があります。 その機能は、実行されるプロセスによって異なります。 実行されると、どのプロセス内で実行されているかを判別するための関数が呼び出されます。 返されたプロセス名が、あらかじめ固定された一連の文字列と比較され、その比較結果に応じて、マルウェアは異なる関数を起動します。
プロセス名が「mspaint.exe」の場合、このマルウェアはバックドアとして機能し、データを収集したりコードを実行したりします。 プロセス名が「msiexec.exe」であると判明した場合、マルウェアは「 C2 」通信モジュールを起動します。 プロセス名に「browser」という文字列が含まれている場合、または特定の文字列と一致しない場合、初期プロセスを終了させる前に、msiexec.exe、mspaint.exe、またはexplorer.exeにシェルコードを注入しようとします。
CloudSorcererのバックドアモジュール
このバックドアモジュールは、マシンに関する情報を収集し、それを保存した上で、 C2に接続されている名前付きパイプに書き込みます。 受信したデータを読み取り、それに応じてアクションを実行します。 これによって実行可能な操作には、追加情報の収集、シェルコマンドの実行、ファイルのコピー・移動・名前の変更・削除などが含まれます。
また、DNSキャッシュのクリア、プロセスの作成、レジストリキーの削除、共有の列挙、ユーザーの削除、RDPの列挙など、その他のタスクも実行できます。
CloudSorcererの「 C2 」モジュール
C2 モジュールは、新しいWindowsパイプを作成し、C2 サーバーへの接続を設定します。 そのために、一連の Windows API 関数に引数を渡します。 C2 サーバーはGitHub Pagesであり、マルウェアによってメモリバッファに読み込まれます。 また、この俳優は、ロシアのクラウド型写真共有サイトからデータを取得しようと試みています。 このモジュールは、クラウドサービスと連携してデータを読み取り、コマンドを受信し、そのコマンドをデコードした上で、バックドアモジュールに送信します。
インフラ
この人物は、GitHubのページやロシアのクラウド型写真ホスティングサイトに加え、Yandex Cloud、Microsoft Graph、DropboxのクラウドURLも活用していることが確認されています。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
CloudSorcererは、 C2などの用途でパブリッククラウドサービスを活用し、クラウドの潮流に乗り出しています。 これは、現在の脅威情勢全体に見られる共通の傾向です。
異なる点は、このマルウェアが手動で実行され、かつマシンがすでに感染した後にのみ実行されるという点です。 この攻撃者が、侵害されたマシンへのアクセス権をどのように取得するのかについては、あまり情報が公開されていないようです。
とはいえ、実行されるプロセスに応じて主な機能や目的を選択するマルウェアの使用は、ある程度の高度さを示しています。
3。 Eldoradoは、WindowsおよびLinuxシステムに脅威をもたらしています
「Eldorado 」は、による新たなランサムウェア・アズ・ア・サービス（RaaS） であり、3月にアンダーグラウンドのフォーラムに投稿し、チームに参加するペネトレーションテスターを募集したことで登場しました。 このマルウェアにはWindows版とLinux版があり、出現以来、すでに複数の業界で 16 件の被害を出しています。
エルドラドの出現
RAMPのアンダーグラウンドフォーラムで「$$$」というハンドルネームを使用しているユーザーが、2024年3月年半ばに、Eldoradoランサムウェアのアフィリエイトプログラムを立ち上げました。
このユーザーの投稿によると、その俳優はロシア語を話すようです。 ランサムウェアのサンプルを生成するには、アフィリエイトは、標的となる企業の名称、ファイル名、身代金要求メッセージの本文、およびドメイン管理者のパスワードを指定する必要があります。
シンガポールを拠点とするサイバーセキュリティ企業、 のGroup-IB（ ）は、ある暗号化ツールを入手することに成功し、それがesxi、esxi_64、win、およびwin_64で利用可能であると報告しました。
標的選定と被害者学
「エルドラド」ランサムウェアは、複数の業界にわたる少なくとも 16 社を標的にしました。 16 件の攻撃のうち、13件は米国で発生し、2件はイタリアで、1件はクロアチアで発生しました。
技術的な詳細
この暗号化ツールは、マルチプラットフォームに対応できるよう、Golangで作成されました。 Eldoradoによって暗号化されたファイルには、すべてファイル名の末尾に「.00000001 」が付けられます。
このランサムウェアは、「ドキュメント」フォルダと「デスクトップ」フォルダに身代金要求メッセージを配置します。 そこには、被害者が特定のURLを通じて犯人とライブチャットを行うよう指示する内容が記載されています。
エルドラドのWindows版
Windows Eldoradoのこの亜種は、複数のコマンドライン引数を受け付けることができます。 Group-IBが分析したサンプルでは、一部のログがWebSocketを介して特定のIPアドレスに送信されていたことが判明しました。 暗号化において、このランサムウェアはファイルには Chacha20 を、生成された鍵にはRSA-OAEPを使用しています。
対象となるファイルごとに、32バイトの鍵と12バイトのノンスを生成し、これらはいずれもRSA-OAEPで暗号化されます。 このランサムウェアは、PowerShell コマンドを実行して暗号化モジュールを上書きし、その後、そのファイルを削除して活動の痕跡を消去します。 また、シャドウボリュームのコピーも削除されます。 このランサムウェアは、.00000001、.exe、.dll、.sys、.msi、.ini、.inf、.lnk といった特定のファイル拡張子を対象から除外します。
エルドラドのLinux派生版
このLinux用暗号化ツールは「-path」引数のみをサポートしており、非常にシンプルな作りになっています。 指定されたディレクトリ内のファイルを再帰的に処理します。 この亜種の暗号化アルゴリズムは、Windows版と同じです。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
Group-IBによると、Eldoradoは、BabukやLockBitといった過去に流出が確認されているビルダーに依存していないという点で、特にユニークな存在です。
新しいランサムウェアの亜種は頻繁に登場しますが、その多くは、こうした流出したビルダーを模倣したものです。 エルドラドの開発者は、このランサムウェアに明らかに多くの時間と労力を費やしており、一から構築することを選択しました。
このことに加え、このランサムウェアにはすでにWindows版とLinux版が存在すること、またすでに複数の被害者が出ているという事実から、Eldoradoはより深刻な脅威となっています。
これらの記事について、何かご意見やご感想など、共有したいことはありますか？ にアクセスし、Taniumのディスカッションフォーラム（ ）で会話を始めてみてください。
さらに詳しくお読みになりたい方は、当社の最近の「」サイバー脅威インテリジェンスまとめ（）をご覧ください。
