本レポートでは、中国語圏を拠点とする高度持続的脅威（APT）が、改良されたShadowPadバックドアの亜種を悪用して、産業用制御システム（ICS）に対してどのように攻撃を行っているかを検証します。 さらに、ハクティビスト集団「DragonForce」は、活動主義からサイバー犯罪へと方向転換を図っていると主張しており、その主な手段としてランサムウェアの展開を挙げています。
そして最後に、マイクロソフトは現在、「 8220 ギャング」の攻撃手段における大規模なアップグレードについて警告を発しています。このアップグレードは、同グループの暗号資産窃取活動を支えるものであり、Confluenceの脆弱性を積極的に悪用しています。
これらの進展中のニュースについて、詳しく見ていきましょう。
1. 中国とみられるAPTグループが、ShadowPadを用いて産業用制御システムを攻撃しています
カスペルスキーの新しい レポート『 』（新しいタブで開きます） では、中東の通信事業者が保有する複数の産業用制御システム（ICS）を標的とした攻撃において、ShadowPadバックドアを悪用した活発なキャンペーンについて解説しています。 ビルオートメーションシステム（BAS）のエンジニアリング用コンピュータを特に標的としたこの一連の攻撃は、2021年10月年半ばに始まりました。
このキャンペーンの調査の過程で、研究者たちはより大規模な活動の証拠を発見し、さらなる被害者を特定しました。 さらに、カスペルスキーは、このキャンペーンが、 2021年3月 による、ShadowPadバックドアの旧バージョンを用いた攻撃と類似しているほか、マレーシアの港湾にある物流・運輸組織に対して展開された、同様の戦術・手法・手順（TTP）が使用されていると主張しています。
キーポイント
- 標的とされた組織の中には、Microsoft Exchange の「 CVE-2021-26855 」脆弱性（ （新しいタブで開きます） ）の被害に遭っているものもあります。
- 3月から少なくとも 2021年10月にかけて、ShadowPadバックドアは「mscoree.dll」ファイルとして被害者のコンピュータにダウンロードされ、Windowsのタスクスケジューラでタスクを作成して実行される正規のアプリケーション「AppLaunch.exe」によって起動されていました。
- その後、攻撃者は、正規のOLE-COMオブジェクト閲覧アプリケーション（OleView）において、DLLハイジャッキングの手法を用いてShadowPadを起動させました。
- 最初の感染後、攻撃者は手動でコマンドを送信し、その後、自動的に送信するようになりました。
- 攻撃者は、NameSilo、GoDaddy.com、およびENOMで登録されたドメインを使用して、コマンド＆コントロール（C2）サーバーと通信していました。 C2 台のサーバーのほとんどは、マネージドサービスプロバイダー（MSP）であるChoopaからレンタルした専用サーバー上でホストされていました。
カスペルスキーによると、このグループはキャンペーン中に追加のツールを使用していたとのことです。 これには、常に人気の高い「Cobalt Strike」フレームワークが含まれており、彼らは「certutil.exe」ユーティリティを使用して被害者のマシンにこれをダウンロードし、コンパイル済みの「aspx」Webシェルや、「procdump」および「Mimikatz」といったツールも使用しました。 攻撃者によって悪用されていると確認されたその他のツールには、PlugXバックドア、認証情報を窃取するためのBATファイル、Webサーバーへのリモートアクセスを取得するためのWebシェル、およびネットワークホストをスキャンするためのNextnetユーティリティなどが含まれます。
エクスプロイト後の活動には、被害者のネットワーク上で cmd.exe 向けの悪意のあるスクリプトを配布することが含まれます。 このスクリプトは、毎日実行されるようタスクスケジューラに追加されました。 このスクリプトにはいくつかのコマンドが含まれていますが、その主な目的は、システムおよびユーザー情報の収集、ファイルのコピーと外部への持ち出しに向けた準備、正当なドメインアカウントを使用したネットワークドライブのマウント（これは、攻撃者が攻撃対象となった各組織において、少なくとも1つのアカウントからドメイン認証情報を盗み出したことを示す証拠となります）、Mimikatz認証情報ダンプツールの起動などです。 カスペルスキーは、攻撃者のTTP戦略におけるこの後半部分が独特であると主張しており、これは中国の国家関与を指摘する研究者らの主張をさらに裏付けるものです。
ShadowPad：概要
ShadowPadは、中国のさまざまな脅威グループが、プライベートネットワークに対する攻撃を仕掛けるために使用してきた、そして現在も使用している、高度なモジュール式リモートアクセストロイの木馬（RAT）です。 ShadowPadは 2017 年に初めて登場し、現在もなお広く利用されている攻撃手法です。
前述の攻撃キャンペーンでは、ShadowPadバックドアが「mscoree.dll」ファイルに偽装して攻撃対象のコンピュータにダウンロードされ、ShadowPadと同じフォルダにある正規のアプリケーション「AppLaunch.exe」によって起動されました。 AppLaunch.exe は、Windows タスク スケジューラでタスクを作成することで実行されました。
新たな手法：前述の通り、カスペルスキーによると、2021年10月の中頃頃から、攻撃者は独自の新しいShadowPad起動手法と新しいマルウェアのバージョンを用いて、同種の組織を標的にしているとのことです。 攻撃者は、mscoree.dll を使用する代わりに、現在、OLE-COM オブジェクトを表示するための正規のソフトウェア（OleView）を悪用する DLL ハイジャッキングの手法を用いています。
正規のOleViewアプリケーションは、悪意のあるIVIEWERS.dllライブラリをダウンロードします。そして、このライブラリが、IVIEWERS.dll.datに含まれるShadowPadペイロードをダウンロードして実行します。 また、新しいバージョンのShadowPadでは、標的となったシステムへの足場を築き、維持するために、Windowsのタスクスケジューラも利用されていました。
新しいShadowPad亜種に加えられた変更点に関するより詳細な分析は、PwCが発表した の最新レポートで紹介されています。 （新しいタブで開きます）
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
「新たなShadowPadの亜種の出現は懸念されます。これは、これまで中国のさまざまなAPTグループによって使用され、ある程度の成果を上げてきたほか、サプライチェーン攻撃を仕掛けようとする脅威アクターにとって、信頼できる手段であることが実証されているからです。」 CTIは、カスペルスキーによる攻撃の帰属に関する主張は的を射ていると考えています（ただし、ShadowPadは長年にわたり、さまざまな国家支援型APTによって悪用されてきました）。というのも、これらの攻撃で標的とされた地域や被害者の特徴は、いずれも中国の国家の従来の利益と一致しており、同政権による国家支援型のサイバースパイ攻撃の頻繁な標的となっているからです。
ShadowPadは、中国の「Bronze Atlas」APTと関係のある脅威アクターによって開発され、その後、中国国家安全部（MSS）および中国人民解放軍（PLA）――ひいては、これらと関係のある数多くのハッカー集団――と共有されたと考えられています。」
2。 ハクティビスト集団「DragonForce Malaysia」がWindowsのLPEエクスプロイトを公開し、ランサムウェア集団へと進化させる計画を明らかにしました
のCloudSEKによる最近の脅威インテリジェンス記事（ （新しいタブで開きます） ）では、ハクティビスト集団「DragonForce Malaysia」による新たなエクスプロイトについて詳述されています。このエクスプロイトは、Windowsサーバー上でローカル特権昇格（LPE）を実行し、インドに拠点を置くサーバー上でローカル配布ルーター（LDR）操作を実行することが可能です。
「ドラゴンフォース・マレーシア」とはどのようなグループでしょうか？
DragonForceは、マレーシアを拠点とするハクティビスト集団であり、かつてはより知名度の高い「アノニマス」組織に匹敵する存在と見なされていました。 このハクティビスト集団は、自らを「善をもたらす倫理と原則に基づく」グループと称しており、数万人の訪問者を集めるソーシャルメディアのチャンネルを運営しています。
この作戦は、中東やアジア全域の組織や政府機関を攻撃していることで知られています。 ドラゴンフォースが最も標的としているのはイスラエルであり、同国やその国民に対して複数の作戦を展開していることからも明らかです。 また、このグループはオンラインフォーラムを所有・運営しており、そこで告知を掲載したり、最新の活動について話し合ったり、TikTokやInstagramを活用したメンバー募集やプロモーションキャンペーンを行ったりしています。
注目すべき活動
同組織による最新の作戦「OpsPatuk」は、一部のインド人政治家による物議を醸す発言を受けて、インドに対して一連の攻撃を仕掛けました。 Radwareの は、 （新しいタブで開きます） というアドバイザリを公開し、悪用された脆弱性、IOC、およびこのキャンペーンに関与していることが判明したその他の脅威グループの詳細を明らかにしました。
DragonForceは、多くのハクティビスト集団と同様、目標を達成するために他のサイバー犯罪組織と協力することで知られています。 このグループは、他のハクティビストたちと同様に、ロシア・ウクライナ紛争の最中に再び活動を再開しました。
これまで、DragonForceは、その攻撃キャンペーンを行うにあたり、一般に公開されている攻撃ツールを利用してきました。 同グループが、一般に公開されていない攻撃ツールへと方針を転換したことは、これまでの手法からの大きな転換を意味しており、おそらく同グループの技術的な洗練度がある程度向上したことを示唆しているのかもしれません。 しかし、この成長は、同グループの運用上のセキュリティ（OPSEC）に関する判断には及んでいないようです。
DragonForceは先日、最新のエクスプロイトの詳細を説明する動画を公開し、その開発は「 ‘impossible1337」という名の脅威アクターによるものであると述べています。 このエクスプロイトは、WindowsサーバーのLPEおよびLDRの脆弱性を標的とするように設計されていますが、このエクスプロイトに関する詳細な技術情報は、現時点ではまだ公開されていません。
その後、動画の展開が変わり、攻撃者がランサムウェアグループへと転身する計画を詳しく説明し、その意図の真剣さを証明するために、身代金要求文のサンプルを事前に公開するほどでした。 この動画に続き、同グループは自身のウェブサイトにブログを掲載し、大規模なランサムウェア攻撃を行うという目標を改めて表明しました。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
「この事件で最も注目すべき点は、あるハクティビスト集団が独自にエクスプロイトを作成し、ハクティビズムからランサムウェアへと移行しているという事実です。これは、金銭を動機とする犯罪へと踏み出すという意識的な決断がなされたことを示す証拠です。」 この変化は重要な意味を持ちます。というのも、ほとんどのハクティビストは、少なくとも善意に基づく使命を伝えるような表向きの姿勢を保とうと努めており、通常、サイバー犯罪を通じて違法に金銭を得ようとする意図を公に表明することはないからです。
ドラゴンフォースの動機におけるこの変化は、ランサムウェア業界が生み出す途方もない（そして増え続ける）収益が、かつてドラゴンフォースが主張していたように、当初は世界に「善をもたらす」と公言していた者たちでさえ、もはや無視しきれなくなっていることを示すさらなる証拠となるかもしれません。
また、このグループが最新のエクスプロイトの詳細を説明する動画を公開すると同時に、ランサムウェアへの移行計画も発表したという点も興味深いですね。 このグループは標的となる被害者について率直に明かしてきたことを考えると、実質的に標的となった人々（および法執行機関）に対し、今後自分たちからどのような行動が予想されるかについて「事前警告」を与えたことになります。 この件に関して、DragonForceは、潜在的な被害者に対し、Windows LPEまたはLDR攻撃が発生する前に、Windowsサーバーのパッチを適用する機会を提供しています。」
3。 マイクロソフトが警告：Linuxを標的とするマルウェアが大幅なアップデートを受けた
マイクロソフトの脅威インテリジェンスセンター（MSTIC）は、 の一連のツイート （新しいタブで開きます） を投稿し、Linuxシステムを標的とした長期にわたるマルウェアキャンペーンの背後にいる脅威アクターである「 8200 ギャング」に関連するTTP（戦術・技術・手順）の重要な更新について取り上げました。
このTwitterのスレッドでは、同キャンペーンの最近の活動状況や、脅威アクターのTTP（戦術・技術・手順）の更新について解説しており、最後に、 8220’s 件の最新の攻撃に関連する侵害の兆候（IOC）が挙げられています。これらの攻撃は、暗号通貨マイニングが関与していることから、金銭的な動機によるものと考えられます。
「 8220 ギャング」とは一体誰のことですか？
「 8220 ギャング」は、中国語を話し、モネロのマイニングを行う脅威アクターであり、2017年に初めて確認されました。 「 ‘8220’ 」という名称は、この俳優がC2 通信を行う際にポート8220 を利用することを好むことに由来しています。
このグループは、カスタムマイナーやインターネットリレーチャット（IRC）ボットを活用し、一般的なクラウドサービスを通じてホストに感染させ、さらなる攻撃を仕掛けたり、被害者のシステムへのリモートアクセスを取得したりすることで知られています。 彼らの最近の活動を見ると、この手法が最も成功したものと見受けられます。というのも、 8220 は現在に至るまで同様のTTPを採用し続けているようですから。
Atlassianは、 2022年6月2日において、同社のConfluence ServerおよびData Center製品に影響を及ぼす重大なバグ（追跡番号 CVE-2022-26134）を公表しました。 1週間以内に、セキュリティ企業のチェック・ポイントは、このゼロデイ脆弱性を悪用して暗号通貨マイニングソフトウェアをダウンロードしている少数の脅威アクターの中に、「 8220 ギャング」が含まれていることを確認しました。 このことは、チェック・ポイントの研究者たちによる発見によって裏付けられました。彼らは調査の過程で、感染したシステムから、以前 8220と関連付けられていたドメインと暗号資産ウォレットを抽出することに成功しました。
MSTICの報告によると、この1年間、同グループは手口やペイロードを積極的に更新してきたとのことです。 この最近のキャンペーンは、 i686 およびx86_64 のLinuxシステムを標的としており、初期アクセスにはCVE-2022-26134 （Confluence）およびCVE-2019-2725 （WebLogic）に対するRCEの脆弱性を悪用しています。
キーポイント
8220 のTTPおよびツールに対する更新内容には、以下のものが含まれていると報じられています：
- 新たな暗号通貨マイニング型マルウェアの亜種
- 新しいIRCボット
- 最近公表された脆弱性（CVE-2022-26134）に対するエクスプロイトの使用
- 検知回避機能を備えたローダーを使用し、pwnRig暗号通貨マイナーの最新亜種と、 C2 サーバーからのコマンドを実行する前述のIRCボットをダウンロードします。 このローダーは、cronジョブを介してスケジュールされたタスクを作成するか、nohup（no hangup）コマンドとして1分ごとに実行されるスクリプトを作成することで、再起動後も動作し続けることができます。
マイクロソフトによると、 8220 ギャングはCVE-2022-26134を介して初期アクセスを獲得した後、前述のローダーをシステムにダウンロードします。その後、このローダーはホストの設定を変更してセキュリティサービスを無効にし、クリプトマイナーをダウンロードし、標的となるネットワーク上で永続性を確立します。そして、（MASSCANポートスキャンツールを使用して）ネットワークをスキャンし、他の潜在的な脆弱性を持つサーバーを探し出します。
この拡散は、GoLangベースのSSHブルートフォース攻撃ツール「Spirit」を利用して行われます。 また、このローダーはローカルディスクをスキャンし、攻撃者が信頼できるホストに接続することで横方向の移動を行う可能性のあるSSHキーを探し出します。
ローダーはログファイルを削除したり、クラウド監視やその他のセキュリティツールを無効にしたりする可能性があるため、マイクロソフトは管理者に対し、「Defender for Endpoint」の改ざん防止機能を有効にするよう警告しています。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
「これは厳密には新たな脅威というよりは、既存の脅威を改良し、より効果的なものにしたものです。 この記事が示唆しているように、マイクロソフトはLinuxを標的とするマルウェアに対する認識を高める取り組みを強化しています。CTIとしては、この取り組みは称賛に値するものだと考えています。 8220 ギャングの最新兵器体系に関しては、これは成功が実証された手法を見出した脅威アクターによる成果であり、CTIが「攻撃の成功率をさらに高める試み」と表現するような形で、この1年間、マルウェアや展開手法の更新に注力してきたものと見られます。
This shows a high degree of dedication and is also indicative of a group for which cryptomining is a true occupation, as opposed to a side gig. 8220’s increasing sophistication is a sign that its methods are working, as this kind of development takes time, but more importantly, financial resources. 要するに、 8220 は新たな脅威であり、そのように扱うべきです。」
Taniumコミュニティをご覧ください
サイバー脅威は常に変化し続けています。そのため、最新の動向を常に把握しておくことが重要です。 そして、タニウムでは、皆様が常に最新情報を把握し、万全の備えができるよう、全力でサポートしてまいります。
次回の情報まとめも、ぜひまたお見逃しなく。 その間、当社の「 」Taniumコミュニティ（ （新しいタブで開きます）、、）では、新たなサイバーセキュリティの問題や発表、ディスカッションフォーラムをご覧いただけます。
