今週のまとめでは、CTIが、米国司法省国家安全保障局内に新設された訴訟担当部門である「国家安全保障サイバー部門（NatSec Cyber）」に関する最新情報をお届けします。 続いて、CTIは、サイバー犯罪者が有効期限が切れたAmazon Web Services（AWS） S3 バケットを悪用して、悪意のあるコードを拡散させている実態について調査しています。 CTIでは、リモートデスクトップ接続を通じて共有されたドライブからデータを盗み出すように設計された、特注のRDStealerマルウェアを特徴とする「RedClouds」サイバースパイ活動についても調査しています。
1. 米国司法省、国家主体の脅威アクターを起訴するためのサイバー対策部門を発足させました
米国司法省は最近、国家安全保障を脅かす悪意のあるサイバー攻撃を標的とし、その活動を阻止する能力を強化するため、新たな訴訟部門を立ち上げました。 また、NatSec Cyberにより、国家安全保障部門（NSD）は、国家主体の脅威アクターに対して、より迅速かつ効率的に法的措置を講じることが可能となります。
この発表は、 における司法省（DoJ）のプレスリリース の中で行われました。同プレスリリースでは、サイバー対策部門の設立について、リサ・O・モナコ司法次官補による「」包括的サイバーレビュー に盛り込まれた主要な調査結果への直接的な対応であると位置づけられており、同レビューは 2022年7月 に公開されています。
この話題を取り上げたSecurityWeekの記事によると：
国家主体の攻撃者による脅威の増大に対処するため、NatSec Cyberは、刑事局のコンピュータ犯罪・知的財産課（CCIPS）とFBIのサイバー部門との間の政府内連携も強化してまいります。
混乱、説明責任、および抑止力
司法省がサイバーレビューで説明しているように、サイバー空間における脅威は、かつてない速さで進化しています。 攻撃を阻止し、脅威の加害者に責任を問うためには、同省はより機敏に行動しなければなりません。 「NatSec Cyber」の立ち上げは、進化し続けるサイバー脅威に対する取り組みを強化・拡大するために、米国連邦政府が講じた最新の措置です。
その他の支援部門や取り組みには、次のようなものがあります：
- 同省の刑事局内に、仮想通貨の不正利用の取り締まりに重点を置く「国家仮想通貨取締チーム（NCET）」を設置すること。
- 同省の民事局による「民事サイバー詐欺対策イニシアチブ（CCFI）」の立ち上げ。 CCFIは、「虚偽請求防止法」に基づく同省の権限を行使し、サイバーセキュリティ上の義務を履行していない政府の助成金受給者や請負業者（司法省と契約を結んでいる者を含みます）に対して、民事訴訟を提起しています。
- 当部門内に新たな「サイバー・フェローシップ」を設立し、新たに台頭するサイバー犯罪やサイバーを基盤とする国家安全保障上の脅威に対処できる能力を備えた、次世代の検察官や弁護士を育成します。
- 当部署の電子メールのセキュリティを強化するため、さらなるサイバーセキュリティ対策を導入しています。 これらの対策には、部署の職員に対する暗号化に関する研修の義務化や、フィッシングや関連する手口から保護するための追加の技術的対策などが含まれていました。
この最新の連邦サイバー対策部門の設立の背景にある原動力は、司法省のプレスリリースに明記されています：
国家安全保障サイバー課は、悪意のあるサイバー活動を阻止し、これに対応する司法省の能力を強化するとともに、敵対的な国家による、ますます巧妙かつ攻撃的になっているサイバー脅威に対処するため、省内および政府機関間の連携を促進してまいります。 同課は、主要なパートナー、とりわけ刑事局のコンピュータ犯罪・知的財産課（CCIPS）やFBIのサイバー部門との連携を強化し、全米にある 94 の連邦検事局および56 のFBI地方事務所の検察官にとって貴重な情報源としての役割を果たすことになります。
「高度に技術的なサイバー脅威への対応には、多くの場合、多大な時間とリソースが必要となります」と、オルセン司法次官補は述べました。 「NatSec Cyberは、初期段階の事件における時間のかかる複雑な捜査活動に投資できる、インキュベーターとしての役割を果たします。
NatSec Cyberの設立は、最近広く報じられた「国家安全保障上のサイバー脅威の特定、対処、および排除」における成功に続くものです。これには、 米国重要インフラに対するランサムウェア攻撃を行ったとされるサイバー犯罪者 （新しいタブで開きます） および[]による の混乱などが含まれます。 (新しいタブで開きます)「ロシア政府が使用する主要なサイバー諜報用マルウェアツール」と、米国司法省（DoJ）のプレスリリースで引用されています。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
「連邦政府が、包括的な国家サイバーセキュリティ体制の構築に向けて具体的な措置を講じているのを見るのは心強いことです。 FBIと司法省は、ここ数カ月間にわたり、前述の組織の一部に対して――しかも外国の領土において――行った、異例とも言える強引な法執行措置を正当化するためには、法的根拠が必要であることを認識しているようです。
「あの『西部劇の保安官』のような振る舞いは、いずれ議会監視委員会によって止められるまで、長くは続かないでしょう。」 「司法省は、国家安全保障サイバー局（NatSec Cyber）を設立することで、事態を合法化するという、論理的かつ先を見据えた措置を講じたようです。」
2。 サイバー犯罪者は、有効期限が切れたAWS S3 バケットを利用して、悪意のあるコードを拡散しています
Checkmarxによると、サイバー犯罪者は、 、期限切れのAWS S3 バケット （新しいタブで開きます）、、 を活用して、悪意のあるコードを配布し、npmリポジトリ内の正規のパッケージに、コードを一切変更することなく、そのコードを注入しているとのことです。
Checkmarxは、先月末にGitHubが発表したアドバイザリを受けて、状況の調査を開始しました。このアドバイザリは、 bignum (新しいタブで開きます) というnpmパッケージのいくつかのリリースに関するもので、これらは脅威アクターによって悪用され、被害者のデバイスからユーザーID、パスワード、ローカルホスト名などの機密ユーザー情報を盗み出すように設計された悪意のあるバイナリを配信していました。
Checkmarxより：
「bignum」の最新バージョンである 0.13.1は、 3 年以上前に公開され、これまで一度も破られたことはありませんでした。 しかし、それ以前のいくつかのバージョンではそうでした。 バージョン 0.12.2-0.13.0 では、S3 バケットにホストされているバイナリファイルを利用していました。 これらのバイナリは、パッケージが正常に動作するよう、インストール時にバケットから取得されます。 約 6 ヶ月前、このバケットは削除されました（これに依存していたバージョンは、ほとんど使用されていませんでした）。
これにより、同社は買収の対象となってしまいました……
「S3 のバケット」：おさらい
S3 個のバケットは、ファイル、ドキュメント、動画、その他の種類のデジタルコンテンツなど、膨大な量のデータを保存・取得できるようにするAWSリソースです。 ユーザーは、一意のURLを持つ S3 個のバケットにアクセスすることができ、ウェブサイトのホスティングやデータのバックアップから、データの配信、アプリケーションやコンテンツのアーカイブおよび保存に至るまで、幅広い用途に活用できます。
Checkmarxによる調査の初期段階において、bignumというnpmパッケージが、インストール工程で.nodeバイナリファイルをダウンロードするために「node-gyp」を利用していることが判明しました。 問題のバイナリファイルは、当初、AWS S3 バケットにホストされていました。 もしバケットにアクセスできない場合は、パッケージに対してローカルでバイナリを検索するよう促します。
Checkmarxより：
しかし、ある身元不明の攻撃者が、かつては活発に利用されていたAWSバケットが突然放棄されたことに気づきました。 好機と見て、攻撃者は置き去りにされていたバケツを手に取りました。 その結果、bignumをダウンロードしたり再インストールしたりするたびに、ユーザーは知らず知らずのうちに、攻撃者が仕込んだ悪意のあるバイナリファイルをダウンロードしてしまっていました。
どうしてそんなことがあり得たのでしょうか？ AWS S3 の各バケットには、グローバルに一意な名前を付ける必要がありますが、そのバケットを削除すると、その名前は再び利用可能になります。 パッケージがたまたまバケットをソースとして参照している場合、そのポインタは、そのバケットが削除された後も引き続き存在します。 この見落としがあったからこそ、攻撃者はポインタを乗っ取られたバケットへと迂回させることができたのです。
偽造バイナリとその機能
この悪意のあるバイナリ（JavaScriptアプリケーションによって呼び出されるC/C++でコンパイルされたバイナリ）の性質上、Node.jsモジュールがより低レベルのコードにアクセスできるようになり、結果として攻撃対象領域が拡大することになりました。
偽造された.nodeバイナリは、正規のものとほぼ同じように動作し、さらにいくつかの追加機能も備えていました。 例えば、正規のバイナリがまったく無害な機能を実行するだけでなく、この不正なバイナリはさらに一歩踏み込み、認証情報を盗み出し、前述の乗っ取られたAWS S3 バケットに送信していました。 データはHTTP GETリクエストを介して外部へ流出しました。
このバイナリの通信手法をさらに詳しく説明すると、データ収集機能の完了後、 IPv4 通信用のTCPソケットを作成し、GETリクエストに関連付けられたユーザーエージェントの形式で、収集したデータを密かに外部へ流出させることになります。
ある傾向が見えてきます
あらゆる報告によると、このような攻撃が観測され、記録されたのはこれが初めてのことでした。 Checkmarxの研究者たちは、「オープンソース・エコシステム全体を対象とした簡易検索」を実施したところ、予想外の結果が得られました。
Checkmarxより：
この脆弱性の悪用を受けやすい、放棄された S3 バケットを使用している多数のパッケージやリポジトリを発見しました。 この新たな攻撃ベクトルによる影響は、状況によって大きく異なる可能性があります。 しかし、このような変更が行われた直後に、攻撃者がこれを悪用することに成功した場合、その危険性は甚大になりかねません。 また、凍結されたバージョンやアーティファクトリを使用している組織や開発者にとっても、これらが引き続き、現在乗っ取られてしまった同じバケットにアクセスし続けることになるため、別のリスクが生じます。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
「サブドメインの乗っ取りに関連する、新たなオープンソースソフトウェアのサプライチェーン上の攻撃対象領域が発見されたことは、極めて重要です。」
「最近、オープンソースソフトウェアコミュニティが直面している脅威について多くの議論がなされていますが、このような発見は、開発者とその所属組織双方にとって警鐘となるはずです。また、サイバー犯罪者が、広く利用され信頼されているソフトウェアやそのソースコードを悪用するための新たな手法を、今後も次々と編み出し続けるだろうということを改めて認識させるものとなるでしょう。」
Checkmarxより：
放置されたホスティング・バケットや、使われなくなったサブドメインは、単なる忘れ去られた遺物というだけではありません。悪意のある者の手に渡れば、データ窃取や侵入のための強力な武器となり得ます。
3。 RDPワークロードを標的とする新たな情報流出型マルウェア
Bitdefenderは、にて、RedCloudsとして追跡されている新たなサイバースパイ活動 (新しいタブで開きます) を発見しました。 このマルウェアは、独自に開発された「RDStealer」というマルウェアを利用して、リモートデスクトップ接続を通じて共有されているドライブからデータを盗み出します。 この悪意のあるキャンペーンは、現時点では特定の脅威アクターによるものとは特定されていませんが、 2022年以降、東アジアのシステムを標的にしています。
RDStealerは、クライアントのドライブマッピングが有効になっている状態で、受信するリモートデスクトッププロトコル（RDP）接続を監視するサーバーサイドのインプラントです。 その後、これらの接続したクライアントは、Logutilバックドア（これもまた特注のマルウェアです）に感染させられ、機密データが外部へ持ち出されてしまいます。
Bitdefenderが分析したRDStealerおよびLogutilのマルウェアサンプルは、いずれもGo言語で記述されています。 この言語は、強力なクロスプラットフォーム対応により人気が高まっています。これにより、攻撃者は複数の異なるオペレーティングシステム上で実行可能な悪意のあるコードを容易に作成できるようになります。 これらの攻撃に関連するドメインを分析した結果、研究者らはLinuxへの言及が複数見られたほか、ESXiへの言及も確認しました。このことから、Logutilバックドアはマルチプラットフォーム対応のツールであることが示唆されます。
攻撃の仕組み
パッシブDNS情報、VirusTotalのサンプル、およびアーティファクトを分析した結果、Bitdefenderは、この脅威アクターが少なくとも 2020年以降、活動を続けていると判断しました。 この脅威アクターは当初、AsyncRATやCobalt Strikeといった入手が容易なツールに依存していましたが、 2021年末から 2022年初頭にかけて、独自開発のマルウェアへと移行しました。
この攻撃の主な目的は、認証情報の窃取とデータの持ち出しにあるようです。 攻撃者は、マルウェアが含まれることが比較的少なく、そのためセキュリティツールによるスキャン対象から除外されがちなフォルダを利用しました：
- %WinDir%\System32\
- %WinDir%\System32\wbem\
- %WinDir%\security\database\
- %PROGRAM_FILES%\f-secure\psb\diagnostics
- %PROGRAM_FILES_x86%\dell\commandupdate\
- %PROGRAM_FILES%\dell\md storage software\md configuration utility\
%PROGRAM_FILES% および %PROGRAM_FILES_x86% という場所は、脅威アクターが正規のソフトウェアを装うために選択した可能性が高いと考えられます。 また、Windows のセキュリティデータベースの保存場所として機能するフォルダである %WinDir%\security\database からも、マルウェアが検出されました。
マイクロソフトは、 について、この場所にある特定のファイル (新しいタブで開きます) を、エンドポイントセキュリティツールによるスキャン対象から除外する方法に関するガイダンスを提供しています。 攻撃者はこのガイダンスを目にして、一部のセキュリティソリューションが、そのフォルダ内の特定のファイルだけでなく、フォルダ全体を除外する選択をするだろうと考えた可能性があります。
RDStealerとは何ですか？
RDStealerは、クリップボードのデータを取得したり、キー入力を記録したりといった手法を用いて、データ収集を行うことを専門としています。 また、このマルウェアは、着信するRDP接続を監視し、クライアントドライブマッピング（CDM）が有効になっている場合、リモートマシンを乗っ取ることが可能です。
CDMは、RDPプロトコルの一部として実装されている仮想チャネルです。 これにより、RDPクライアントとRDPサーバー間のデータ転送が可能になります。 具体的には、リモートデスクトップセッション内で、クライアントマシンのローカルドライブを表示する役割を担っています。
この機能により、ユーザーはローカルマシンと、RDP経由で接続しているリモートサーバー／デスクトップとの間で、ファイルにアクセスしたり転送したりすることができます。 これは、管理者がファイルを転送する際によく使用されます。 また、CDMは、仮想デスクトップやアプリケーション仮想化において、一般のエンドユーザーによっても頻繁に利用されています。
初期の感染経路に関する具体的な詳細は現時点では明らかになっておらず、侵害されたシステムが管理者権限の取得に利用されたのか、それとも一般ユーザーの操作に利用されたのかを確認することは困難です。
感染したマシンでは、RDStealer は次の場所に存在していました：%PROGRAM_FILES%\dell\md storage software\md configuration utility\modular disk service daemon[.]exe。
起動後、メイン関数はホストからのクリップボードデータやキー入力の収集を開始します。 データは、暗号化された文字列の形式で、C:\users\public\log.log というログファイルに定期的に保存されます。 その結果、diskMounted関数を呼び出す無限ループが発生します。 この関数は、tsclient 接続および C、D、E、F、G、H のいずれかのドライブが利用可能かどうかを定期的に確認します。 これらは、CDMを有効にすると自動的に作成されます。
これらの共有のいずれかが検出されたことが確認されると、以下の機能が実行されます：
- C2 通信 – notifyMaster: この関数は、クライアントが接続されたことをコマンド・アンド・コントロール（C2）に通知します。 この関数は、脅威アクターが管理する C2 インフラストラクチャと通信するためにプロキシとして指定された別のサーバーに対して、GETリクエストを送信します。
- データの持ち出し – DiskEnum: この関数は、接続されたRDPクライアントからデータの持ち出しを開始します。 この関数は、データ漏洩を目的として、接続中のRDPクライアント上に有用な情報がないかを探します。
最初の標的は、いくつかの特定のフォルダであり、これは、脅威アクターが他のシステムへの認証情報や保存済みの接続情報を探していることを示唆しています。 この傾向は次のステップでも見られ、クライアントの以下の場所にある特定のファイル拡張子を持つファイルがスキャンされます：%AppData%、%LocalAppData%、デスクトップ、ドキュメント、ダウンロード、%ProgramFiles%、および%ProgramFiles(x86)%。
見つかったファイルはすべて、RDPホスト上のZIPアーカイブに保存されます。 リモートのCドライブからデータを盗み出した後、RDStealerはD、E、F、G、Hの各ドライブ文字の調査を開始しますが、その手法は若干異なります。 これらのドライブについては、ごく一部の例外を除き、すべてのフォルダのスキャンが開始されます。 この再帰的なスキャンには時間がかかる可能性があるため、実行を週に1回に制限する仕組みが設けられています。 データの持ち出しが完了すると、users\public\Videos\vcache.dat ファイルが変更され、その最終更新日時と現在の時刻を比較することで、システムを再度スキャンする時期かどうかが判断されます。
- 下流での侵害 – WritePersist： この関数は、接続中のRDPクライアントにLogutilバックドアを展開します。 tsclient\c\users からユーザーの一覧を取得します。
- Logutil： Logutilというバックドアは、ネットワーク内での足場を維持するために必要な機能を実装しています。 これには、ファイルのダウンロードやアップロード、コマンドの実行などが含まれます。
このバックドアが注目に値するのは、DLLのサイドローディング技術をどの程度活用しているかという点と、起動のトリガーとしてWMIを利用している点にあります。 従来のDLLサイドローディングの手法もいくつか確認されましたが、より興味深い亜種として、Winmgmtを悪用し、悪意のあるバイナリ「bithostw[.]dll」の実行につながるものが確認されました。 これを実現するため、攻撃者は、wbemフォルダ内に、正規のncobjapiライブラリを装った悪意のあるローダーを使用しました。
このインプラントは、WMI サービスまたは WMI ホストプロセスのいずれかによって起動させることができます。 Logutilは、 C2 インフラストラクチャと直接通信することも、同じネットワーク上の別のプロキシサーバーを経由して通信することも可能です。 C2 サーバーから取得可能なコマンドの完全な一覧は、Bitdefenderの調査レポート（こちら）でご確認いただけます。
出典
Bitdefenderはさまざまな調査手法を講じていますが、これらの攻撃を特定の脅威アクターに結びつけることはできていません。 しかし、彼らは、この脅威アクターの利害が中国と一致しており、国家が支援するAPT並みの高度な手口を持っていると考えています。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
「このキャンペーンでは、一部のセキュリティソフトウェアによってスキャン対象から除外される可能性があるMicrosoft Windowsのフォルダを利用しています。 攻撃者は、これらのフォルダを意図的にバックドアのペイロードを保存する場所として利用しており、そうすることでネットワーク内でより長期間、検知されずに潜伏し続けられる可能性があることを承知しているのです。」
「Bitdefenderの調査によると、この脅威アクターは、既製のツールの使用から、RDStealerやLogutilといったカスタムマルウェアの作成・活用へと方針を転換したことも明らかになりました。」 「これは、この脅威アクターがここ数年でその手口をますます巧妙化させていることを示しています。」
これらのストーリーについて、何かご意見やご感想など、お聞かせいただけませんか？ または Tanium のディスカッションフォーラム にアクセスして、会話を始めてみてください。
さらに詳しくお読みになりたい方は、当社の最近の「」サイバー脅威インテリジェンスまとめ（）をご覧ください。
