今週のインテリジェンス・レポートでは、FBIおよび MI5 の組織のトップらが、サイバー空間における支配的な脅威となることを目指す中国の動きがもたらす甚大な脅威について警告しています。 また、新しいレッドチームツールが実環境で脅威アクターによって悪用されている実態についても解説し、悪意のあるNPMパッケージを利用してアプリケーションやウェブサイトから機密データを収集する、新たなサプライチェーン型攻撃の事例を取り上げます。
これらの展開中のニュースに関する最新の分析については、ぜひ続きをお読みください。
1. FBIと MI5 人のトップが、中国による大規模な脅威について警告しています
前例のない「 」合同ブリーフィング （新しいタブで開きます） において、 7月6日 に参加した学界および産業界のリーダーたちを前に、英国情報機関 MI5の局長であるケン・マッカラム将軍とFBI長官のクリス・レイ氏は、中国共産党（CCP）が英国および米国の国益に対して及ぼす脅威が高まっていることについて、強く警告しました。
マッカラム氏によると、中国共産党および同党が支配する政府は、長年にわたり、世界トップクラスの専門知識、技術、研究成果、その他、商業上の優位性をもたらし、中国の世界的な地位を高めることのできるあらゆる西側の知的財産（IP）を盗み出そうとする試みを続けてきたとのことです。
脅威の概要：中国の作戦戦術の分析
このブリーフィングでは、中国の知的財産権侵害活動がさまざまな形態をとっていることが詳しく説明されました。 代表的な例としては、西側諸国の領土内で潜伏活動を行う中国のスパイ、西側の技術を中国企業にもたらす合併・買収（M&A）や技術移転、そして、中国国家の利益を促進するために、自分が何をしているのか気づいていないことが多い現地の協力者を懐柔することなどが挙げられます。
さらに、中国の攻撃的なサイバー作戦に関しては、中国国家安全部（MSS）や中国人民解放軍（PLA）と関連する、中国が支援する高度な持続的脅威（APT）グループによって、欧米の政府機関や民間企業など幅広い標的が継続的に攻撃を受けています。 これらの の専門的なハッキング部隊 （新しいタブで開きます） は、中国が国家全体を挙げての戦略 （新しいタブで開きます） を遂行するのを支援しており、これは、いかなる手段を用いても世界唯一の超大国となることを目指すものです。もしすべてが計画通りに進めば、中国は世界を支配するサイバー超大国 （新しいタブで開きます）としても台頭することになるでしょう。
おそらくさらに懸念されるのは――憲法修正第1条をどれほど重視するかにもよりますが――、レイ氏が合同演説の中で、北京当局は単に西側諸国から企業秘密や学術研究を盗もうとしているだけでなく、その政治に影響力を及ぼそうとしているほか、中国政府に反対の声を上げる米国の活動家たちに対して技術的な監視を行っているとも主張した点です。
中国共産党にとって厳しい一週間でした
この共同声明は、おそらく史上最大規模となるデータ流出事件を受けて発表されたものです。この事件は、あるサイバー攻撃者が、 の上海警察データベースから膨大な量の個人情報を不正に持ち出したとされるものです。 （新しいタブで開きます）。 先週、 、ChinaDan、 （新しいタブで開きます）、、 といったオンライン上のハンドルネームで知られるハッカーが、ハッカーサイト「Breach Forums」のメンバーに対し、10億人の中国国民に関する23 テラバイトのデータを入手したと述べました。
BleepingComputer (新しいタブで開きます) には、入手したデータの内容を説明するフォーラム投稿の画像が掲載されていました。 容疑者とされる人物は、これらのデータベースには10億人の中国国民に関する情報に加え、数十億件の警察の事件記録が含まれていると主張しました。 このデータには、氏名、住所、出生地、国民ID番号、携帯電話番号などの個人情報に加え、警察と接触したことのある中国国籍の者に関連するすべての犯罪・事件の詳細が含まれています。 報道によると、中国政府の検閲当局は、長年にわたり自国民から着実に収集してきたデータが、どうやら誰でも手に入れられる状態になっており、わずか約200,000 米ドルという比較的安価な金額で売買されているという、不安を煽るニュースを封じ込めるため、残業を重ねているとのことです。
データ漏洩に関するあらゆる議論を封じ込めようとする中国の動きを取り上げたギズモードの記事によると、ロイター通信がデータベースに掲載された人物の所在を突き止めようとした試みは成功し、回答者たちは、盗まれた情報に含まれるデータは警察からしか入手できないものであり、主に、同国の広範な 監視体制を支えるための警察の取り組みを反映したものであることを確認しました。 （新しいタブで開きます）
あるハッカーが、10億人の中国国民に関するデータを盗んだと主張しています - @serghei bleepingcomputer.com/news/security/…
中国政府は、記者団に対して、公の場でも、オンライン上でも、このハッキング事件について公式に言及していません。 皮肉なことに、このハッキング事件と、それに続く北京当局による世論の検閲の試みに関するニュースが報じられたのは、中国政府がオンラインユーザーのデータプライバシー保護の強化を公に誓い、より安全なデータ保管を確保するための措置を国内のテクノロジー大手企業に講じるよう求めているまさにその時期でした。
キーポイント
第 MI5部隊とFBIによる合同演説の締めくくりとして、レイ氏は、事件が発生した際には、経済界のリーダーらをはじめとする関係者が情報機関と協力するよう呼びかけました。
「弊社の担当者が、攻撃の影響を軽減するのに役立つ技術的な詳細について、速やかにご説明いたします。」 「また、私たちは協力して、中国政府によるサイバー攻撃を阻止するための共同かつ段階的な作戦を展開することも可能です」とレイ氏は述べ、さらに次のように付け加えました。「また、お客様が直面しているサイバー問題が、実際にはより大規模な諜報活動の一環であるかどうか、あるいは目に見えるハッカーが内部関係者や、目に見えない他の企業への脅威と共謀している可能性があるかどうかを、確認するお手伝いもできます。」
また、マッカラム氏は協力の重要性を訴え、中国による国家総動員型のスパイ活動や秘密工作に対抗する最善の方法は、「国内の各制度を越えて、そして本日示されたように、国際的にも、信頼できるパートナーシップを築くことにある」と主張しました。
米国と英国の双方の利益に等しく当てはまる声明の中で、同氏は、現地の組織に対し、インシデントが発生するのを待つのではなく、自国のサイバーセキュリティ機関に積極的に連絡を取るよう促しました。
「現在、英国［および米国］の領土内で敵対的な活動が行われています」とマッカラム氏は述べました。 「私たちは、世界から自分たちを隔てるために壁を築く必要はありません。」 「私たちは、意識を高め、レジリエンスを育むために意識的な選択をしなければなりません。」
聴衆に向けて、代表者たちは口を揃えて次のように強調しました。「皆さん――英国［および米国］のイノベーターや技術者、研究者や科学者、そしてビジネスパーソン――こそが、英国［および米国］の最大の強みのひとつなのです。」 だからこそ、あなたが標的にされているのです。 「あなたの成功が中国の競争上の優位性になってはなりません。」
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
「複数のセキュリティ専門家が、米国やその西側同盟国を標的とした、中国が関与するサイバー活動の大幅な増加を予測しています。」 MI5 とFBIが協力し、前例のない共同声明という形でその旨を公に表明したという事実は、この説の信憑性をさらに高めています。 CTIは、中国に関連するさまざまなAPTの活動を注視してまいります。その一環として、Taniumおよびその顧客・パートナーにとって最も大きなリスクをもたらすと判断される中国の脅威アクターに関する、具体的な対応に活用できる情報を盛り込んだ脅威アクタープロファイルを作成し、定期的に更新してまいります。
歴史上最大規模となる可能性のあるデータ漏洩事件を隠蔽しようとした中国の動きについてですが、 2021年8月、中国全国人民代表大会は、オンラインユーザーのデータプライバシーを保護することを目的とした法律を可決し、同年11月にその政策を実施しました。 The Personal Information Protection Law (PIPL) carries fines of up to about $7.7 million or 5% of annual revenue for violators. 外から見る限り、これはインターネット上の自由にとっての勝利のように見えたかもしれませんが、この法律の成立は、サイバー空間における規制を強化し、中国企業にさらなるコンプライアンス要件を課そうとする同国の取り組みを支える、また一つの柱が完成したものと、大多数の人々からは受け止められました。
先月、CISAは、中国が支援する脅威アクターが標的としている一般的なTTPや既知の脆弱性について詳述した警報を発表しました。これは、欧米の組織を標的とした中国のサイバー活動が活発化していることへの対応として、またその動きを先取りする形で発表されたものと見られます。
2。 レッドチームングツール「Brute Ratel C4」が、現在、悪意のある攻撃者によって悪用されています
パロアルトのUnit 42 が最近公開したセキュリティ研究ブログでは、Brute Ratel C4 （新しいタブで開きます） について詳しく解説しています。これは、悪意のある攻撃者が現在、攻撃を仕掛けるために使用しているレッドチームングツールです。 研究者たちは、VirusTotalにアップロードされたサンプルを分析しましたが、このサンプルは評価を行った 56 社のベンダーすべてから「無害」との判定を受けました。
📢 パロアルトの （@Unit42_Intel ）が、Brute Ratel C42に関するレポートを公開しました。 この高度なレッドチーム用ツールは、 #endpoint による検知を回避し、 #antivirus の機能を無効化するために開発されました。 ネットワークを保護し、以下の記事をご覧ください。 unit42.paloaltonetworks.com/brute-ratel-c4…. #サイバーセキュリティ #脆弱性管理 #BRc4 #IOCs
「Brute Ratel C4」とは何ですか？
Brute Ratel C4 は、2020年12月に登場した侵入テスト／レッドチームングツールです。 その性質はCobalt Strikeと似ており、これもまた、幅広い脅威アクターやサイバー犯罪者の武器庫において、信頼できる定番ツールとなっています。
このツールは、レッドチームや敵対者シミュレーション作戦向けのカスタマイズ可能な指揮統制センターとして宣伝されており、現在 350 社以上の顧客を擁しています。 このツールを使用することで、組織はサイバー攻撃をシミュレートし、自社のセキュリティ対策の有効性を検証することができます。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
「脅威アクターによる侵入テストツールの利用は、決して新しい現象ではありません。 攻撃者は、長年にわたり、Burp Suite、Cobalt Strike、Metasploitといった侵入テストツールを悪用してきました。
これらのツールは、組織が自社の環境内のセキュリティ対策の有効性を検証しようとする際には非常に有用である一方で、脅威アクターによって悪用された場合には、即座に利用可能な攻撃手段となり得るという点で、諸刃の剣と言えます。 こうしたツールは多くの場合、使いやすく、参入障壁も低いという事実が、この状況をさらに悪化させています。その結果、技術的な熟練度にかかわらず、より幅広いサイバー犯罪者が「Brute Ratel C4 」のようなツールを利用できるようになっているのです。
このようなツールを利用する脅威アクターは、その活動が環境内で行われるレッドチームの正当なテスト活動によって隠蔽されてしまう可能性があるため、検知が困難になる場合があります。 このことから、組織は自社の環境内におけるペネトレーションテストツールの使用状況を検知・監視し、使用されている各ツールの出所と正当性を確認する必要があることが浮き彫りになっています。
また、脅威アクターがLNKファイルを利用して「Brute Ratel C4」をダウンロードしていることが確認されているという事実も、特筆すべき点です。 「最近、サイバー犯罪者によるLNKファイルの悪用が急増しており、これらのファイルは急速に重大な脅威と結びつけられるようになってきています。」
3。 NPMのソフトウェアサプライチェーン攻撃により、アプリやウェブサイトからデータが盗み出される
ReversingLabsの研究者らは、 を通じて、モバイルアプリケーションやウェブサイトのフォームから機密データを収集する悪意のあるNPMモジュール (新しいタブで開きます) をインストールさせる、広範囲にわたる攻撃キャンペーンを明らかにしました。 この組織的な攻撃は、「IconBurst」として知られています。
キャンペーンの詳細
IconBurstには、約24個の悪意のあるNPMパッケージが含まれており、これらには、下流のモバイルアプリケーションやウェブサイトに埋め込まれたフォームを通じて、ユーザーの機密データを収集するように設計された悪意のあるコードを含む、難読化されたJavaScriptが含まれています。
ReversingLabsによると、これらのパッケージは少なくとも6か月前にさかのぼるものです。 また、ReversingLabsは、JQueryスクリプトを含む多数のNPMパッケージを用いた組織的なサプライチェーン攻撃の証拠を把握していると主張しています。これらのスクリプトは、それらを利用するアプリケーションからデータを盗み出すことが可能です。
IconBurst キャンペーンによる悪意のある攻撃は、「タイポ・スクワッティング」と呼ばれる手法に依存しています。これは、最近発見された（最終的には無害であることが判明しました。熱心すぎるペネトレーションテスターによる仕業であることが判明したためです） の依存関係混同攻撃 （新しいタブで開きます） （ReversingLabs によっても報告されています）と類似した戦略であり、ドイツの組織を標的としているように見受けられました。
タイポスクワッティングでは、攻撃者は、一見すると正規のパッケージのように見える名前を付けることで、悪意のあるパッケージを配布します。 彼らは、よくあるスペルミスや類似した単語を利用することで、注意深いユーザーをだまして、偽装されたパッケージを利用させてしまうのです。 例えば、ReversingLabsが確認したある事例では、icon-packageによって外部へ流出させたデータが、ionicio[.]comというドメインに転送されていました。このドメインは、正規のionic[.]ioウェブサイトに似せて作成された偽装サイトです。
ReversingLabsによると、攻撃者は「umbrellajsのようなアクセス数の多いNPMモジュールや、ionic.ioが公開したパッケージを装っていました。 しかし、真の標的となっているのは、開発組織ではなく、ソフトウェアのエンドユーザー（およびそのデータ）なのです。」
影響／規模
問題となっているパッケージは、そのほとんどがここ数ヶ月の間に公開されたものですが、これまでに合計で 27,000 回以上ダウンロードされています。 さらに悪いことに、ほとんどのモジュールは、iconic.ioのリポジトリから引き続きダウンロード可能です。
この攻撃の全容はまだ明らかになっていませんが、ReversingLabsの研究者が発見した悪意のあるパッケージは、数千とまではいかなくても、少なくとも数百もの下流のモバイルアプリやデスクトップアプリ、ウェブサイトで利用されている可能性が高いと考えられます。 ある事例では、悪意のあるパッケージが 17,000 回以上ダウンロードされていました。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
「この発見は確かに懸念すべきものですが、ReversingLabsは過去にも、悪意のある活動の疑いについて、その出所が特定される前に『早とちり』をして報告してしまった前例があることを、皆で心に留めておきましょう（前述のドイツでのキャンペーンを参照）。」 こうした点を踏まえ、現時点では、読者の皆様にも、私たちと同様に、この情報源を「中程度の信頼度」で受け止めていただくことをお勧めいたします。 とはいえ、彼らの調査結果の中で提示された、タイポ・スクワッティングやコードの難読化に関する証拠は、かなり確固たるもののように思われます。
さらに、このキャンペーンの背後にいるマルウェア作成者たちは、その後、収益を最大化するために手法を変更し、悪用されたアプリケーションやウェブページ上のあらゆるフォーム要素から情報を収集するようになりました。これは、データ収集に対するアプローチがますます攻撃的になっていることを示唆しているほか、あるいは、キャンペーンが公に暴露されて作戦が露見する前に、攻撃者らが収益を最大化しようとしている可能性も示唆しています。 また懸念されるのは、この攻撃が明らかに成功したことと、それに伴うダウンロード数の多さです。これは、開発者が人気のあるパッケージの正当性について過信しがちな傾向があること、また、悪意のあるコードや脆弱性のあるコードが機密性の高い開発環境やIT環境に侵入するのを防ぐための効果的な障壁が欠如していることを浮き彫りにしているからです。」
御社のビジネスはリスクにさらされていますか？ 当社のリスク評価を受けて、ご確認ください
サイバー脅威の状況は広範かつ刻々と変化しており、新たな脅威が絶えず出現しています。 お客様のエンドポイントは、数多くの攻撃キャンペーンや脅威アクターによるリスクにさらされています。 そして、サイバー犯罪者があなたの防御体制を突破し、ネットワークに侵入するのは、時間の問題に過ぎません。
この機会に、当社の「Taniumリスクアセスメント」を活用して、貴組織のサイバーセキュリティ対策の整備状況をご確認ください。 今すぐ無料のリスクレポートを入手しましょう。 （新しいタブで開きます）