今週のまとめでは、CTIが、外部ユーザーが複数の従業員に未承諾のMicrosoft Teamsチャットを送信した事案について取り上げます。 続いて、CTIは、フィッシングのエコシステムがどのように進化し、誰もが利用できるようになったかについて、Guardio Labsのレポートを検証します。 最後に、CTIでは、リークサイトのデータに基づいて最も活発なグループのトップ 10 に引き続きランクインしている「BianLian」というランサムウェアグループについて取り上げ、本レポートを締めくくります。
1. DarkGateマルウェアは、Teamsのグループチャットを通じて拡散しています
AT&Tのサイバーセキュリティ・マネージド・ディテクション・アンド・レスポンス（MDR）チームは最近、外部ユーザーによる、同社の従業員数名への のMicrosoft Teamsチャット への迷惑メッセージ送信に関して、ある顧客と連携して対応を行いました。
AT&T（現LevelBlue）は、この脅威アクターが のDarkGateマルウェア（ ）と関連しており、Teamsのグループチャットを通じて組織のメンバーにマルウェアを配布しようとしていたことを突き止めました。
最初の出来事
AT&Tの調査は、同社の顧客から、Microsoft Teams上のグループチャットへの招待画面のスクリーンショットが提供されたことをきっかけに始まりました。顧客は、この招待が を装ったフィッシング攻撃であると考えていました。。
送信元のドメインは「.onmicrosoft[.]com」でしたが、これは一見すると一部のユーザーには正当なものに見える可能性があります。 AT&Tによるこのドメインに関する調査では、不審な活動に関する報告は一切確認されませんでした。 その結果、攻撃が行われる前に、ユーザー名やドメイン全体が侵害されていた可能性が高いと考えられます。
調査
AT&Tは、顧客の環境内で当該外部ユーザー名を検索したところ、Microsoft Teamsにおいて、このユーザー名によって生成された「MessageSent」イベントが 1,000 件以上見つかりました。 これらのイベントには受信者のIDは含まれていませんでしたが、外部ユーザーのテナントIDは含まれていました。
そこで、彼らは「MemberAdded」イベントに焦点を当て、このユーザーとのチャットに参加したユーザー数がどれくらいかを調べることにしました。 AT&Tは、このユーザーとチャットに参加し、「Navigating Future Changes 2023年10月.pdf.msi」という名前の二重拡張子ファイルをダウンロードした3人のユーザーを特定することができました。
AT&Tは関連するハッシュ値を取得し、これらを顧客に提供してブロック措置を講じてもらいました。 サンドボックス環境で悪意のあるファイルを実行したところ、そのファイルが、以前DarkGate C2 の活動に関連付けられていたドメインに接続しようとする様子を確認することができました。
推奨される措置
こうした種類の攻撃が業務に悪影響を及ぼすのを防ぐため、AT&Tでは、日常業務に必要でない限り、Microsoft Teamsの「外部アクセス」機能を無効にすることを推奨しています。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
この攻撃は極めて単純でありながら非常に効果的であるため、 のハッカーたちが以前、Microsoft Teamsを利用してDarkGate を拡散させていたのも不思議ではありません。 複雑な特注のマルウェアや、回りくどい侵入手段などは一切ありません。 これは単に、 のソーシャルエンジニアリング（ ）に依拠しており、従業員が社内コミュニケーションプラットフォームに対して抱いている信頼感を利用しているのです。
むしろ、今回の攻撃は、フィッシングやソーシャルエンジニアリングがメールを通じてのみ行われるわけではないこと、そしてあらゆるプラットフォームにおいて警戒を怠ってはならないことを改めて思い知らせてくれるものです。
2。 Telegramのマーケットプレイスは、フィッシング攻撃の一因となっています
Guardio Labsの研究者たちは最近、フィッシングのエコシステムがどのように進化し、誰もが利用できるようになったかについて報告しました。
この変化は、主に Telegram によるものであり、このプラットフォームによって、サイバー犯罪者が攻撃に必要なものを容易に入手できるようになったためです。これは、以前はダークウェブやTorオニオンネットワークを利用している者しかできなかったことでした。
Telegram上のフィッシング市場
Guardio Labsは、Telegram上のフィッシング・エコシステムを徹底的に調査し、その手軽さを示すために、わずか230 ドルで悪意のあるキャンペーンを再現しました。
Telegramには多くの公開チャンネルやグループが存在するため、サイバー犯罪者が手を出すには簡単な検索だけで十分です。これはまさに、昨年当サイトが報じた、北朝鮮のグループによる フィッシング詐欺（ ）と全く同じ手口であり、こちらもTelegramを介して行われています。
フィッシングサイトを見つける
Guardio Labsはまず、Telegram上で、フィッシング攻撃のランディングページとして利用できる詐欺ページやフィッシングページを探し始めました。 彼らがTelegramで見つけたページには、検知回避やコード難読化の手法に加え、 の多要素認証（MFA）や のバイパスといったその他のオプションの手法も組み込まれていました。 これらのページの価格は、シンプルなもので約10 ドルから、高度な技術が用いられたもので800 ドル以上までさまざまでした。
商品ページを見つけた後、彼らは出品者に連絡を取り、価格を30ドルまで値切りました。 次に、彼らはそのページをホストする場所を見つける必要がありました。 彼らはごく単純な方法から始め、公開グループの一つで見つけた、ランダムに侵害されたWordPressサイトの無料ウェブシェルサンプルを使用することにしたのです。 永続性を確保するため、彼らはWebシェルを、独自のパスワードで保護されたファイルに置き換えました。 その後、彼らはそのページを公開しました。
伝播／メッセージング
フィッシングサイトを立ち上げた後、彼らは関連するフィッシングメールを送信する必要がありました。 この方法の多くは、かなり費用がかかります。 利用可能な無料のサンプルが数多くあったため、彼らはPHPのメール送信メソッドを活用することに決めました。 彼らは、これまで使用されたことがなく、したがってブラックリストに登録されていなかったサンプルを見つけることができました。 彼らは、無料サンプル1つにつき約 25,000 通のメールを送信できることがわかりました。
3～4通のメール送信者がいる場合、およそ 100,000 通のフィッシングメールを送信する可能性があります。 その後、スパムフィルターを回避し、相手にリンクをクリックしてもらうために、メールにどのような内容を記載すべきかを検討する必要がありました。
見込み客
フィッシングページとフィッシングメールの準備が整ったところで、彼らはメールを誰に送信すべきかを決定する必要がありました。 有効なメールアドレスのリストは、「リード」と呼ばれます。 こうした見込み客情報は、時折無料で入手できることもありますが、情報の詳細度によって価格は異なります。 彼らは、Telegramを通じて、わずか200 ドルでバンク・オブ・アメリカの顧客100,000 名のリストを入手することができました。
収益のシミュレーション
Guardio Labsは、以下の図を作成するにあたり、いくつかの仮定を立てました。 彼らは、 100,000 通のメールのうち、50 人の認証情報を取得できると想定していました。
こうした銀行口座情報は、仮に、サイバー犯罪のエコシステム内で有償で転売される可能性もあります。 これらをいくらで売れるかについてさらに仮定を立てたところ、同様のフィッシング詐欺であれば、初期費用としてわずか$230 を費やすだけで、$2,000 以上の利益を得られると彼らは考えています。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
Guardio Labsは、サイバー犯罪者がどのような技術レベルであっても、フィッシング攻撃をどれほど簡単に実行できるかを非常に明確に説明しています。 彼らの研究は、ごく基本的なフィッシングキットでさえサイバー犯罪者に利益をもたらすことをさらに裏付けており、より高度なフィッシングキットを使って脅威アクターが実際にどれほどの利益を上げているのか、考えさせられます。
フィッシングのエコシステムの進化において、おそらく最も興味深い点は、かつては招待制のダークウェブのフォーラムに隠されていた攻撃に必要なあらゆるものが、現在では誰でも入手可能になっているということです。
3。 BianLianは複数の業界をターゲットとしています
Palo Altoは、「BianLian」として知られるグループを追跡しています。このグループは、収集されたリークサイトのデータに基づき、 の「最も活発なランサムウェアグループトップ 10 」 に引き続きランクインしています。
彼らの調査により、Makopランサムウェアグループも使用している、小型の特注ツールが発見され、この2つの活動の間に関連性がある可能性が示唆されました。
「ビアンリアン」とは何でしょうか？
BianLianは 2022 年に登場し、そのデータ流出サイトではほぼ毎週のように新たな被害者が報告されています。
同グループは、北米、EU、およびインドにおける医療、製造、専門サービス、および法務サービスの各分野に重点を置いている傾向があります。 BianLianは最近、二重恐喝の手法から、暗号化を伴わない恐喝へと移行しました。
同グループのリークサイトによると、新たな開発者やアフィリエイトを募集していることが示されており、この事業は積極的に拡大しているものと見られています。
BianLianとMakopとの関連の可能性
Palo Altoは、今回の分析の過程で、小さな.NETカスタム実行ファイルを発見しました。 この実行ファイルは、BianLianおよびMakopの両ランサムウェアグループに共通して見られます。これら両グループは、一般に公開されているAdvanced Port Scannerツールの同じハッシュ値も使用していました。
このカスタム実行ファイルは、ファイルの一覧、レジストリ、およびクリップボードのデータを取得し、ロシア語の単語がいくつか含まれています。 この重複の原因についてはまだ明らかになっていませんが、これらのグループが共通のツールセットを共有しているか、あるいは同じ開発者のサービスを利用している可能性があることを示唆しています。
テクニカル分析
- Palo Alto社は、 のMITRE ATT&CKフレームワーク（）に、さまざまな攻撃段階を対応付けました。 初期侵入の際、ランサムウェアの運営者は通常、盗まれたRDP認証情報を使用したり、ProxyShellの脆弱性を悪用したり、VPNプロバイダーを標的にしたり、あるいはWebシェルの展開など、これまでに報告されているその他の手法を用いたりします。 認証情報のダンプを行う際、このグループはSAMレジストリハイブを一時ファイルにダンプします。
- 攻撃チェーンを経て永続化の段階に進むと、BianLianはバックドアDLLコンポーネントをドロップし、Impacketによって作成されたスケジュールされたタスクを通じてそれを実行します。 このスケジュールされたタスクは、バックドアDLLを定期的に実行します。
- この攻撃では、Makopランサムウェア攻撃が偵察に利用しているのと同じ「Advanced Port Scanner」ファイルが使用されています。 その後、BianLianは、身代金要求メッセージを表示する前に、最終的なペイロードとして、暗号化ツールとバックドアという2つの主要なコンポーネントを使用します。 このバックドアは、従来のバックドアというよりはローダーのような働きをしており、追加のペイロードをダウンロードして実行する役割を担っています。
- 2023年初頭、BianLianの暗号化ツールに対応した復号ツールが公開されました。 このため、同グループは暗号化活動の大部分を中止せざるを得なくなり、これが暗号化を伴わない恐喝へと方針を転換した主な理由となっています。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
BianLianは、 、LockBit 、BlackCatといったランサムウェアの活動ほど話題にはなっていませんが、それでもなお、重大な脅威となっています。
この組織の活動は、その登場以来一貫して続いており、復号ツールが公開された際には迅速に対応し、それに応じて活動体制全体を変更しました。
その適応力に加え、別のランサムウェア攻撃との関連性（未確認ではありますが）も、注視すべき点です。
これらの記事について、何かご意見やご感想など、共有したいことはありますか？ または Tanium のディスカッションフォーラム にアクセスして、会話を始めてみてください。
さらに詳しくお読みになりたい方は、当社の最近の「」サイバー脅威インテリジェンスまとめ（）をご覧ください。
