今週のまとめでは、CTIが「Xeon Sender」というツールを取り上げます。このツールは現在、SMS フィッシング およびスパムキャンペーンに利用されています。 次に、CTIは、UAT-5394として追跡されている、北朝鮮政府が支援する一連のアクターによる最新のインフラについて検証します。 最後に、CTIは、クラウドやソーシャルメディアのアプリケーションに関連する認証情報を含む、一般に公開されている環境変数（.env）ファイルを悪用した大規模な恐喝キャンペーンについて調査を行っています。
1. Xeon SenderはクラウドAPIをターゲットとしています
最近、ある脅威アクターが、SMSフィッシングやスパムキャンペーンにおいて、「 Xeon Sender」（ ）と呼ばれるクラウド型攻撃ツールを使用していることが確認されました。
Xeon Sender（別名： XeonV5 、SVG Sender）は、脅威アクターが有効な認証情報を使用して、さまざまなSaaSプロバイダーを通じてメッセージを配信することを可能にします。 このツールは、Amazon Simple Notification Service（SNS）、Nexmo、Plivo、Proovl、 Send99、Telesign、Telnyx、TextBelt、Twilioなど、複数のサービスプロバイダーを利用しています。
Xeon Senderは、少なくとも 2022 年から存在しており、現在はTelegramを通じて配布されています。 もう一つのバージョンは、GUIを備えたWebサーバー上でホストされており、技術的な知識があまりないユーザーでもこのツールにアクセスして利用できるようになっています。
Xeon Senderの仕組み
Sentinel Oneによると、Xeon SenderにはシンプルなCLIが備わっており、これにより攻撃者はAPIを介してサービスと通信し、ほとんど手間をかけずに攻撃を実行することができるとのことです。 アクターがこのツールを使用するには、対象となるサービスに対応する適切なAPIキーを持っている必要があります。
各プロバイダーは、オペレーターまたはアクターに対して、APIキー、シークレットキー、AWS SNS用のAWSリージョン、Telesign用の顧客ID、送信者ID、メッセージ内容、およびテキストファイルに保存された対象電話番号のリストなど、複数の値の提供を求めます。 これらの値は、対象のサービスへのAPIリクエストで使用されます。 このスクリプトは、電話番号が記載されたテキストファイルを、すべての電話番号が処理されるまで繰り返し処理し、ループの各反復の間に50ミリ秒の待機を行います。
関連するユーティリティ
Xeon Senderには、さまざまなSMS送信方法に加え、その他の関連ユーティリティも備わっています。 例えば、アカウントチェッカーツールは、NexmoやTwilioのアカウントの認証情報を検証します。 さらに、Python を使用して指定された長さの電話番号を生成する電話番号生成機能も備えています。 また、APILayer[.]comの「Number Verification API」を利用して電話番号を照合し、その番号が有効かどうかを確認する電話番号チェッカーも備えています。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
このツールは、正規のサービスを利用して一括処理を行うため、検知が難しくなります。
現在、正規のサービスの利用が急増しており、さまざまな種類のランサムウェアやマルウェアが、検知を逃れるためにこれらの正規のサービスを悪用しています。
2。 シスコ・タロスがUAT-5394のインフラストラクチャを公開しました
Cisco Talosは、 UAT-5394として追跡されている、北朝鮮政府の支援を受けるとみられる攻撃グループが使用しているとみられるインフラの詳細を公開しています。。
このインフラストラクチャは、「MoonPeak」と呼ばれるXenoRATマルウェアの亜種を利用する攻撃キャンペーンと関連があります。 この攻撃者は、マルウェアを展開する前に仮想マシンを使用してテストを行っており、最近では正規のクラウドサービスの利用から方向転換しています。
UAT-5394 インフラストラクチャ
研究者たちは、このキャンペーンのインフラを調査する過程で、数台の新しいサーバーを発見しました。 このインフラストラクチャには、リモートアクセス機能や C2 台のサーバー、ペイロードをホストするためのサイト、およびマルウェアを配布する前にテストするための仮想マシンが含まれています。
クラウドサービスからの移行
Cisco Talosによると、この攻撃者は、ペイロードをホストするために正規のクラウドストレージプロバイダーを利用しなくなったとのことです。 6月、同俳優は独自のサーバーとシステムの運用を開始しました。 Cisco Talosは、より技術的な詳細に関心をお持ちの方のために、この攻撃で悪用されたサーバーの多くについて、レポートの中で詳しく解説しています。
テスト用の仮想マシン
この事業者の最新のインフラの一部には、パブリックIP上でホストされている仮想マシンが含まれています。 これらは、マルウェア自体に設定されたポートを介して、さまざまなMoonPeak C2 サーバーに接続しようとする動きが確認されています。
Cisco Talosの調査によると、ポート 9966、 9936、 8936、および 9999を介してMoonPeakの感染をテストするために、2台の仮想マシンが使用されていたことが判明しました。 また、感染のテストには3台目のマシンも使用されましたが、これは2つの目的を果たしており、 C2 台のサーバーへのRDP接続にも使用されていました。 これはあまり一般的ではない手法です。
MoonPeakマルウェアの変遷
Cisco Talosは、最近のMoonPeakのサンプルを分析した結果、このマルウェアが時間の経過とともに進化していることを突き止めました。
この進化は、新しいインフラストラクチャや、仮想マシンを通じて行われるテストと整合しています。 このマルウェアの新しいサンプルが出るたびに、難読化がわずかに強化され、通信内容にもわずかな変化が見られます。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
主なポイントは、この攻撃者が、正規のクラウドストレージプロバイダーにペイロードをホストしていた手法から、自ら管理するサーバーやシステムを利用する手法へと移行したということです。 この変化は、セキュリティ研究者が脅威の全体像を通じて観察してきた傾向とは正反対のものです。 ますます多くの攻撃者が、キャンペーンにおいて正規のクラウドサービスを活用し、周囲に溶け込んで検知を逃れようとしているようです。
現時点では、なぜこの俳優が従来の司会スタイルに戻っているのか、その理由は明らかではありません。 この転身が、この俳優にとってうまくいくのか、それともまた方向転換することになるのか、注目されます。
3。 攻撃者は、公開されている.envファイルを利用して被害者から金銭を脅し取っています
パロアルトは、クラウドやソーシャルメディアのアプリケーションに関連する認証情報を含む、一般に公開されている.envファイルを悪用した、大規模な による恐喝キャンペーン を明らかにしました。
このキャンペーンでは、侵害された組織のAWS環境内に 攻撃インフラストラクチャ（ ）を構築し、これを足掛かりとして、標的をスキャンし、関心のあるデータを収集しています。
初期アクセスと発見
この攻撃は、公開されていた.envファイルから取得されたAWS IAMアクセスキーが流出したことが原因でした。 犯行グループは、セキュリティ対策が不十分なWebアプリケーション上にホストされている.envファイルをスキャンしてこれらの鍵を入手し、その鍵を使用してホスティング先のクラウド環境にアクセスしました。
調査の一環として、攻撃者はさまざまなAPI呼び出しを行い、環境に関する情報を可能な限り収集するとともに、IAM、セキュリティ・トークン・サービス（STS）、 S3、およびシンプル・メール・サービス（SES）など、悪用可能なサービスを特定しました。
権限の昇格
このキャンペーンの担当者は、環境への初期アクセスを得るために使用された元のIAM認証情報には、すべてのクラウドリソースに対する管理者権限はなかったものの、新しいIAMロールを作成したり、IAMポリシーをロールに紐付けたりする権限は付与されていたことに気づきました。 これにより、この攻撃者はクラウド環境内で権限を昇格させることができました。
実行
権限を昇格させた後、攻撃者は2つの異なるインフラストラクチャ・スタックの構築を試みました。1つはAWSを使用し、もう1つはAWS Lambdaを使用するものでした。
その担当者は、セキュリティグループ、鍵ペア、および EC2 インスタンスの作成に失敗しました。 しかし、彼らは以前に作成したIAMロールを使用して、いくつかのラムダ関数の作成に成功しました。
インパクト
この攻撃者は、設定ミスのある、あるいは公開されている.envファイルを探すために、ドメインのリストをスキャンするLambda関数を作成し、それを活用しました。 一部の.envファイルには、環境内の複数のサービスに関する情報をアクターに提供する変数が複数含まれていました。
パロアルト社は、これらのファイル内で特定された認証情報をアプリケーションの種類に基づいて分類したところ、アプリケーションの認証情報が最も多いことが判明しました。 彼らは、アクセスキーやIAM認証情報を含む、漏洩した変数のユニークな組み合わせを 90,000 件以上特定しました。
情報流出
.env ファイルの悪用に加え、この攻撃者は「 S3 」というブラウザツールを利用して、S3 個のバケットからデータを盗み出していることも確認されました。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
このキャンペーンは、脅威アクターがクラウド環境への関心を高めていることを改めて示しています。 興味深いのは、このキャンペーンが初期アクセスを得るために脆弱性を悪用するのではなく、セキュリティ対策が不十分なWebアプリケーション上で、.envファイルがうっかり公開されていないかを探しているだけだということです。 このことを踏まえると、防御側にはこの攻撃から身を守る機会があります。
Palo Alto は、その投稿の中で、この攻撃のリスクを軽減するための推奨事項をで提示しています。
これらの記事について、何かご意見やご感想など、共有したいことはありますか？ にアクセスし、Taniumのディスカッションフォーラム（ ）で会話を始めてみてください。
さらに詳しくお読みになりたい方は、当社の最近の「」サイバー脅威インテリジェンスまとめ（）をご覧ください。
