今週のレポートでは、ロシアが支援する APT29 件のキャンペーンが、検知を回避しマルウェアを配布するために、Google DriveやDropboxといった人気のクラウドストレージサービスを利用していることが明らかになりました。さらに、新たな「CloudMensis」マルウェアが、macOSユーザーや信頼性の高いクラウドサービスを標的とし、コマンド＆コントロール（C2）攻撃や情報漏洩を図っています。 また、デバイスにバックドアを仕掛けたり、ルートキットを展開したりできる豊富な機能を備えた、新たな「Lightning Framework」というLinux向けマルウェアについても解説します。
1. ロシアの「 APT29 」ハッカーたちは、Google DriveやDropboxを利用して検知を逃れています
Unit 42によると、主に「 APT29」として知られる、ロシアの支援を受ける高度持続的脅威（APT）グループ（ （新しいタブで開きます） 、別名「Nobelium」または「Cozy Bear」）は、現在、Google DriveやDropboxといった信頼性の高い正規のクラウドサービスを利用して、検知を回避し、データを盗み出し、マルウェアやハッキングツールを配布しているとのことです。
Unit 42’s の研究者らは、のクラウドサービス （新しいタブで開きます） を、 C2の目的やデータ保存、マルウェアの配信に利用することは、このグループにとってまったく新しいことではないと主張しています。 こうしたサービスが広く普及していることや、それに伴う固有の信頼性ゆえに、 APT29’s の業務に組み込まれていることは理解できる一方で、懸念も抱かざるを得ません。
APT29について
APT29 は、米国民主党全国委員会（DNC）へのハッキング事件（2016 ）における役割、およびSolarWinds社に対する壊滅的なサプライチェーン攻撃（）（ 2020）において重要な役割を果たしたと見られていることで最もよく知られています。 （新しいタブで開きます）。 APT29 は、ロシア対外情報局（SVR）の指示の下で活動していると、高い確信度をもって評価されています。 このアクターの動機は主にスパイ活動にあり、ロシア政府の国家利益や地政学的利益に沿うと思われる、政府、軍、外交機関を標的とした、洗練されかつ効果的なスピアフィッシング攻撃を展開しているとされています。
Cloaked Ursa（別名： #APT29）が最近実施したキャンペーンの技術的な詳細について掘り下げていきます。このキャンペーンは、5月から 2022年6月にかけて、いくつかの西側諸国の外交公館を標的としたものとみられています。 bit.ly/3IPmqPv
キャンペーンの詳細
APT29’s use of popular global online storage services was first observed in attacks targeting Western diplomatic missions and foreign embassies worldwide (opens in a new tab) from early May through 2022年6月.
Highly convincing spear phishing attacks are APT29’s favored method of achieving initial access, and this campaign appears to be no exception. こうした攻撃は通常、攻撃者が外国大使館の担当者を標的として、大使との面会への招待状を装ったフィッシングメールを送信することから始まります。 これらのメールには、偽の会議の議題を装った「武器化されたPDF」が含まれており、これらは攻撃者が管理するDropboxアカウントに接続し、被害者のデバイスにCobalt Strikeのペイロードを配信します。
ZDNetが最近掲載した記事によると、 ハッカーによる信頼性の高いクラウドサービスの利用が拡大しているとのことです。 （新しいタブで開きます） さまざまな悪意のある目的で利用されていますが、これらの初期の試みは失敗に終わりました。記事の著者は、研究者たちがこの結果を、特定のサードパーティ製サービスの利用を妨げる企業ネットワーク上の制限的なポリシーによるものと見なしていると述べています。 同記事によると、攻撃者たちは素早く対応を調整し、同様のフィッシングメールを2度目の餌として送信しましたが、今回はGoogle Driveアカウントを利用して自身の行動を隠蔽し、Cobalt Strikeやその他のマルウェアのペイロードを標的環境に展開したとのことです。 この第2波のストライキは、日常業務を支えるために職場でGoogleのアプリケーションが広く活用されていることが要因となり、より大きな成果を上げたようです。
この種の他の多くのキャンペーンと同様、 APT29’s の最終的な目的は、、EnvyScout、 （新しいタブで開きます）、、 といった追加のマルウェアを配布し、機密情報を含むネットワークへのバックドアとして利用したり、将来の攻撃に備えて利用したりすることにあります。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
「マルウェアを配信し、その展開を隠蔽するためにこれら2つの特定のクラウドストレージサービスを利用することは、技術的には APT29グループにとって新たな戦術である可能性がありますが、これまでの報告によると、このグループは以前にも、他の目的でこうした正規のサービスを利用することを試みていたことが示されています。」 攻撃が引き続き成功し続けるのであれば、 APT29 は今後もこうした手法を使い続ける可能性が高いでしょう。 また、ポネモン・インスティテュートによる最近の調査を信じるなら、 APT29’s 件の攻撃が発生している一方で、ITおよびセキュリティの責任者の60％が、クラウド環境を で保護する能力に自信を持っていないという状況です。 （新しいタブで開きます）。
Furthermore, this group’s activity is not only indicative of the increase in Russia-linked hacking operations observed in the wake of geopolitical turmoil in Eastern Europe (opens in a new tab) – these campaigns also serve as a reminder of APT29’s adaptability and sophistication.
ユニット 42 は、すべての組織に対し、「この脅威に対処するため、自組織の電子メールポリシーおよび本報告書に記載されているIOCを見直す」よう推奨しています。 CTIもこの見解に同意しており、ロシアの脅威アクターによる国家支援型のサイバー攻撃（CISA や （新しいタブで開きます） といった機関が、西側諸国の組織に影響を及ぼす破壊的なマルウェア攻撃という形をとる可能性があると繰り返し警告しているもの）から波及する可能性に備え、情報収集活動において積極的な取り組みを行っています。」
2。 専門家らが、AppleのmacOSユーザーを標的とした新たな「CloudMensis」スパイウェアを発見しました
WeLiveSecurityによる最近のレポートでは、これまで知られていなかった というmacOS向けバックドア （新しいタブで開きます） が発見されたことが詳述されており、このバックドアは侵害されたデバイスのユーザーを監視するものです。
前回の事例を彷彿とさせる手法を用い、CloudMensisと名付けられたこのマルウェアは、pCloud、Yandex Disk、Dropboxといったパブリッククラウドストレージサービスのみを利用して、攻撃者からのコマンドを受信し、ファイルを外部へ流出させています。
CloudMensis：概要
2022年初頭に初めて確認されたこのマルウェアは、文書を外部へ流出させたり、キー入力を記録したり、画面キャプチャを撮影したりすることで、攻撃者が被害者のmacOSデバイスから情報を収集することを可能にします。 コードの実行権限と管理者権限を取得すると、2段階のプロセスが開始されます。第1段階では、第2段階のプログラムをダウンロードして実行します。 現時点では、研究者たちはこれらの攻撃の最初の感染経路を特定できていません。
第1段階のマルウェアは、第2段階のマルウェアをダウンロードし、システム全体のデーモン（ユーザーの直接的な制御下にはなく、バックグラウンドプロセスとして実行されるコンピュータプログラム）としてインストールします。 現段階では、攻撃者はすでに管理者権限を取得しています。というのも、ファイルがディスクに書き込まれているのが確認された両方のディレクトリは、root ユーザーのみが変更できるからです。
このマルウェアの第2段階は、より大規模なコンポーネントであり、感染したデバイスから情報を収集するために設計されたいくつかの機能が含まれています。 この段階の目的は、取得した文書、スクリーンショット、電子メールの添付ファイルなどを外部へ持ち出すことです。 CloudMensisは、オペレーターからのコマンドを受信するため、およびファイルを外部へ流出させるために、クラウドストレージを利用しています。 このマルウェアは現在、pCloud、Yandex、Dropboxの3つのプロバイダーに対応しています。
標的型攻撃でMacをスパイするために使用された新たな「CloudMensis」マルウェア - @serghei bleepingcomputer.com/news/security/…
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
「研究者たちは、『コードの全体的な品質や難読化が施されていない点から、作者たちはMac開発にあまり詳しくなく、それほど熟練していない可能性がある』と指摘しています。」 コードの品質は今ひとつかもしれませんが、CloudMensisは無視すべきではありません。 実際、このマルウェアは、攻撃者からのコマンドを受信したり、ファイルを外部へ持ち出したりするために、信頼性の高いパブリックストレージサービスを利用していることを踏まえると（これは、高度なサイバー犯罪者やAPTの間で増加傾向にある手法です）、CloudMensisとその動向を注視しておくのが賢明でしょう。」
3。 「Lightning Framework」という新たなLinux向けマルウェアが、ルートキットやバックドアをインストールします
CTIは、Linuxシステムを標的とする危険な新型マルウェアである、新たに確認された「Lightning Framework （新しいタブで開きます）」を積極的に追跡しています。
脅威調査ブログ「Intezer」によると、この「スイスアーミーナイフ」のようなマルウェアは、感染したデバイスへのバックドアを で開く （新しいタブで開きます） ことや、複数の種類のルートキットを展開するために利用される可能性があります。
Lightning Frameworkは、ダウンローダーとコアモジュールで構成されており、いくつかのプラグインが利用可能です。その多くはオープンソースのツールです。 また、このフレームワークは、検知を逃れるために、タイポスクワッティングやなりすましを多用しています。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
「Lightning Frameworkは、ここ数ヶ月の間に確認された最新のLinuxマルウェアファミリーです。これに先立ち、 、BPFDoor （新しいタブで開きます）、、、 、Symbiote （新しいタブで開きます）、、、 、Syslogk （新しいタブで開きます）、、、および 、OrBit （新しいタブで開きます）、、 といったマルウェアファミリーが確認されています（これらすべてについて、CTIは何らかの形で報告を行っています）。」 これでも、脅威アクターがLinux環境を標的にすることにどれほど強い関心を持っているかが伝わらないのであれば、他に何を挙げればよいのか分かりません。 Lightning Frameworkは、これまでに報告されたほとんどのLinuxマルウェアと比較して、驚くほど多くの機能を備えています。 開発の初期段階にもかかわらずこれほど多くの機能を備えたマルウェアであることから、Lightning Frameworkは極めて注目すべき存在となっています。
Intezerの研究者らは、Lightning Frameworkのファイルのうち、いくつかが分析のために見つけることができなかったと指摘しました。 CTIは引き続きLightning Frameworkの動向を注視し、新たな詳細が明らかになり次第、最新情報をお伝えしてまいります。
Taniumで攻撃を早期に阻止しましょう
Lightning Frameworkのような新たな脅威は、組織に被害が及ぶ前に、速やかに発見し、排除する必要があります。
その一助となるよう、迅速かつ正確な脅威レポートを提供する、強力な脅威ハンティングソリューションをご用意しております。 Tanium Threat Huntingが組織のセキュリティ確保にどのように役立つかについては、 こちらのデモをご覧ください （新しいタブで開きます）。
