今週のまとめでは、CTIが、エンタープライズグレードのSOHO（小規模オフィス／ホームオフィス）向けルーターを標的としている「Cuttlefish」という名の新しいマルウェアについて取り上げます。 次に、CTIは、サイバー犯罪者とAPTが、プロキシの匿名化レイヤーやVPNノードに対してどのような共通の関心を持っているかを調査します。 最後に、CTIでは、脅威アクターがDocker Hubのリポジトリを利用してマルウェアや のフィッシング詐欺を拡散させている実態 — および、JFrogとDockerが対策に向けてどのように協力しているかについて解説しています。
1. 「Cuttlefish」マルウェアがSOHO向けルーターを標的にしています
「 Cuttlefish」（ ）という名の新しいマルウェアが、エンタープライズグレードのSOHOルーターを標的にしています。 このモジュール式のマルウェアは、プロキシまたはVPNトンネルを構築し、これらのデバイスを通るトラフィックを監視して、HTTP GETおよびPOSTリクエストから認証データ を に流出させます。
Lumen Technologies傘下のBlack Lotus Labsは、さらなる調査が必要な一連の悪意のあるファイルを発見した際、この活動を突き止めました。 Black Lotus社は、初期侵入の手口をまだ特定できていませんが、この脅威アクターがbashスクリプトを展開し、収集した情報を自身の「 C2」へ送信していることを確認しています。 このスクリプトは、「SOHO向けオペレーティングシステムで使用される主要なアーキテクチャすべて」向けにコンパイルされた「Cuttlefish」マルウェアをダウンロードし、実行する役割を担っています。
Cuttlefishは、特定のポート、プロトコル、およびIPアドレスへの送信接続を検査するためのパケットフィルタを導入します。 このシステムはトラフィックを監視し、特定の活動を検知した場合にのみ、そのトラフィックを乗っ取るように動作します。
悪意のあるBashスクリプト
このBashスクリプトは、対象のデバイスを調査し、ディレクトリ一覧、/etcディレクトリの内容、実行中のプロセス、アクティブな接続などを確認します。
この情報を取得し、ファイルに圧縮した上で、アクターが管理するドメインにアップロードします。 アップロードが完了すると、そのファイルはデバイスから削除されます。
Cuttlefishの主なペイロード
このファイルが最初に実行されると、他のプロセスによって使用されていない限り、ポート 61235 を開いてそのポートにバインドします。
Lumen Technologiesはこのファイルを分析し、既存のエージェントを削除すること、対象のルーター上のインターフェースを自動選択すること、デーモンとして実行するかどうかを指定することなど、あらかじめ設定されたいくつかのパラメータを特定しました。 このペイロードは、ルールセットのダウンロードおよび更新に使用される、 C2 への安全な接続を確立します。
このサンプルは、IPアドレス範囲を盗聴・乗っ取り、認証情報を収集する機能を備えています。 フィルタリングされたトラフィックを含むログファイルが指定されたサイズに達すると、gzip形式で圧縮され、 C2にアップロードされます。 研究者たちは、「 n2n」と呼ばれるオープンソースプロジェクトに基づいてVPN機能を提供するモジュールを1つ発見しました。 その他のサンプルでは、感染したデバイスを経由してトラフィックを戻す代わりに、プロキシ機能が使用されていました。
このサンプルは、拡張バークレー・パケット・フィルター（BPF）を生成することで、AliCloud、AWS、Digital Ocean、CloudFlare、BitBucketなどのサービスに関連する認証データを特定することができます。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
Cuttlefishは、ネットワークをスニッフィングしながら特定のクラウド認証データを検索し、関心のある情報のみを外部へ持ち出すという点で興味深いものです。
クラウドの認証情報に対するこうした関心は、攻撃の標的がクラウド環境へとシフトし始めていることから、脅威の全体像において高まりつつある傾向です。 Lumen Technologies社は、ネットワーク機器を標的とし、クラウドの認証情報を収集する行為は、「標的とされたエコシステムへの長期にわたる持続的なアクセス権を取得することを目的としている」と考えています。
2。 国家とサイバー犯罪者は、侵害されたネットワークを共有しています
トレンドマイクロをはじめとする各社は、サイバー犯罪者や高度なAPT（標的型攻撃）の双方において、 プロキシによる匿名化 レイヤーやVPNノードに対する関心が共通して見られることに注目しています。
この共通の関心は、各主体が環境の中で自らの存在を隠し、発見されにくくする必要があることに由来しています。 その結果、最終的には、金銭的な動機とスパイ活動の両方に関連する悪意のあるトラフィックが混在することになります。
この共通の利害関係の例として、乗っ取られたUbiquiti EdgeRouterデバイスを利用したサイバー犯罪者のボットネットが挙げられます。 「Pawn Storm」と呼ばれるAPTは、このボットネット内のボットにアクセスし、それらを自らのスパイ活動に利用することができました。 このため、これらの侵害されたUbiquiti EdgeRouterは、複数の脅威アクターによって、SSHのブルートフォース攻撃から、 NTLMv2 ハッシュリレー攻撃におけるSMBリフレクター、さらにはスピアフィッシングメールの送信に至るまで、さまざまな目的で悪用されていました。
前述のボットネットは 2016 年から存在していましたが、2024年1月にFBIによって摘発されました。 そのコードは更新・拡張され、現在はバージョン 20.3となっています。 このボットネットは、Bashスクリプト、Pythonスクリプト、およびSSHDoorのような悪意のあるLinuxバイナリで構成されています。 このツールは、フォルダ、システムユーザー、処理能力、インストール済みのソフトウェア、パスワードなど、ホストに関する情報を取得することができます。
SSHDoorとは何ですか？
SSHDoorとは、バックドアが仕込まれたSSHサーバーのバージョンを指します。 このマルウェアは、正当な認証情報を盗み出すほか、「ハードコードされた認証情報やSSHキーを追加することで、権限のない第三者によるアクセスを許可してしまう」可能性があります。
研究者らは、「Pawn Storm」という脅威アクターが、SSHDoorを利用してEdgeOSベースのルーターにアクセスしたと見ています。 FBIによるボットネットの摘発は、「Pawn Storm」の攻撃活動に大きな影響を与えました。 しかし、すべてのEdgeRouterがクリーンアップされたわけではありませんでした。
EdgeOS上でNgiowebマルウェアが発見されました
トレンドマイクロは、Pawn Stormによって悪用された一部のEdgeRouter上でマルウェアを実行していた、別のLinuxボットネットを特定しました。
このLinuxボットネットはより高度なものであり、Ngiowebマルウェアの亜種であると判明しました。 このボットネットに含まれるボットは、市販されている一般家庭向けボットネットで使用されていました。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
脅威アクター同士が共通の関心事や目標を共有することは珍しくなく、時折、インフラを共有することもあり得ます。
現在、ますます目立つようになってきているのは、同じ侵害されたルーターが、異なる目的や最終目標のために利用されているという現象です。 これは、サイバー犯罪者の間において、ある種の新しいビジネスモデルとなりつつあります。脅威アクターが、侵害されたルーターを他のアクターに貸し出して利益を得ると同時に、参入障壁を下げているのです。
3。 悪意のある攻撃者は、Docker Hubを利用してマルウェアやフィッシング詐欺を拡散しています
JFrogとDocker（ ）は、マルウェアやフィッシング詐欺の拡散に利用されているのDocker Hubリポジトリ（ ）が発見されたことを受け、その対策およびクリーンアップ作業において協力しています。
Docker Hub currently hosts about 15 million repositories. JFrog discovered that roughly 19% of those repositories (2.8 million) host malicious content. 悪意のあるコンテンツには、スパムから、偽のコンテンツやマルウェアサイト、フィッシングサイトなどの宣伝に至るまで、さまざまなものがあります。
脅威アクターがDocker Hubを悪用する方法
Docker Hubは、ユーザーが自分のプロジェクトに役立つイメージを検索できるコミュニティプラットフォームです。 リポジトリの管理者は、説明文や関連するドキュメントをHTML形式で追加することができ、ユーザーはリポジトリを表示した際にそれらを確認することができます。
JFrog found about 4.6 million repositories that are imageless and have no content outside of the repository’s documentation. JFrogがこれらのリポジトリを詳しく調査したところ、そのほとんどが悪意を持ってアップロードされたものであることが判明しました。
悪意のあるリポジトリの特定
JFrogは、過去5年間に公開されたイメージのないDocker Hubリポジトリをすべて収集し、 2021 と2023で急増が見られたことを突き止めました。 彼らは日中に詳しく調査したところ、平日の方が週末よりも多くのリポジトリが作成されるという、週単位の傾向が見られました。
JFrogは、異常なリポジトリを3つのキャンペーンタイプに分類することができました（これについては後述します）。 Of the 4.6 million imageless repositories, they were able to link 2.8 million to these three campaign types.
3つのキャンペーン
特定された悪意のあるリポジトリは、3つの大規模なキャンペーンの一部であると判明しました。
- ダウンローダー： このダウンローダーキャンペーンに含まれていたリポジトリには、「海賊版コンテンツやビデオゲームのチートをダウンロードするよう促す、SEO対策が施された自動生成テキスト」が含まれていました。 このキャンペーンの最初の大きな波では、URLは有名なURL短縮サービスになりすまし、ユーザーをリダイレクトして、悪意のあるCDNのプロキシとして機能していました。 第2の大きな波では、リポジトリは、悪意のあるサイトへのリダイレクトとして、正当なリソースを指し示していました。
- 電子書籍フィッシング： この電子書籍フィッシングキャンペーンに巻き込まれたリポジトリにより、Docker Hubは実質的に海賊版電子書籍のライブラリと化し、無料の電子書籍のダウンロードが提供される事態となりました。 このキャンペーンは無料として提供されていますが、ユーザーにフォームへのクレジットカード情報の入力を求め、その情報を盗み出すことを目的としています。
- ウェブサイトのSEO： このキャンペーンは、前の2つに比べて内容があまり明確ではありません。 このキャンペーンに含まれるリポジトリのほとんどは害を及ぼすものではありませんが、それでも悪意を持ってアップロードされたものと見られています。 JFrogは、これらが、より大規模なキャンペーンを実施する前の、ある種のストレステストとして利用されていた可能性があると考えています。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
これらの調査結果は、オープンソースのリポジトリがサプライチェーン攻撃にいかに容易に悪用され得るかを浮き彫りにしており、同様の活動がさまざまなオープンソースのリポジトリで発生している可能性が高いことを改めて示しています。
こうした種類の攻撃が特に利益をもたらしやすいのは、Docker Hubのようなプラットフォームに対して、時に無条件の信頼が寄せられているためです。 JFrogは、レポートの中で、「Trusted Content」としてマークされたDockerイメージを特定する方法について詳しく説明しており、これにより、こうした攻撃のリスクを低減（完全に排除できるわけではありませんが）するのに役立ちます。
Docker Hubは、特定された悪意のあるリポジトリを削除したことは注目に値しますが、悪意のあるアップロードを逐一ブロックすることは事実上不可能です。
これらの記事について、何かご意見やご感想など、共有したいことはありますか？ にアクセスし、Taniumのディスカッションフォーラム（ ）で会話を始めてみてください。
さらに詳しくお読みになりたい方は、当社の最近の「」サイバー脅威インテリジェンスまとめ（）をご覧ください。