今週のまとめでは、CTIは米国司法省の国家セキュリティ部門内の新しい調査セクションである国家セキュリティサイバーセクション(NatSecサイバー）に関する最新情報を提供します。 次に、CTIは、サイバー犯罪者が期限切れのAmazon Web Services (AWS) S3 バケットを利用して悪意あるコード配布する方法を探ります。 CTIはまた、リモートデスクトップConnectionsを介して共有されたドライブからデータを盗むように設計されたカスタムRDStealerマルウェアを特色とするRedCloudsサイバースパイキャンペーンも見ています。
1. DOJがサイバー部門を立ち上げ、国家脅威を起訴
DoJは最近、国家セキュリティ保障を脅かす悪意のあるサイバー攻撃を標的にし、阻止する能力を高めるために、新しい調査セクションを立ち上げました。 NatSec サイバーはまた、国家セキュリティ部門(NSD)が国家レベルの脅威アクターをより高速かつ効率的に起訴できるようにします。
この発表は 、DoJ のプレスリリースで行われ、サイバー発表されたLisa O. Monaco副検事の 包括的サイバーレビューに含まれるCore的なFindingsに対する直接的な対応としてサイバー部門の発展が取り上げられました 2022年7月。
トピックを取り上げているSecurityWeekの記事から：
国家レベルの攻撃者による増大する脅威への対応において、NatSecサイバーは犯罪部門のコンピュータ犯罪と知的財産セクション（CCIPS）とFBIのサイバー部門間の政府内協力を強化します。
混乱、説明責任、抑止
DoJがサイバーレビューで説明しているように、サイバースペースの脅威は比類のないスピードで進化しています。 攻撃を阻止し、脅威に責任を負わせるには、部門がより優れたアジリティ性をもって動く必要があります。 NatSec サイバーの立ち上げは、進化するサイバー脅威に対する取り組みを強化および拡大するために米国連邦政府が講じた最新の措置です。
その他のサポート部門とイニシアチブには、以下があります。
- 暗号侵害の不正使用と闘うことに重点を置いた、自部門の犯罪部門内の国家暗号侵害強制チーム（NCET）の創設。
- 同省の民間部門によるCivil サイバー-Fraud Initiative (CCFI)の立ち上げ。 CCFIは、サイバーセキュリティのサイバーセキュリティ義務を果たしていない政府助成金供与者および請負業者に対して、司法省契約との契約に基づくものを含め、不正請求防止法に基づく当局を利用して民事訴訟を提起します。
- 新たなサイバー犯罪やサイバーベースの国家セキュリティ保障上の脅威に対処できる新世代の検察官と弁護士を育成するために、部門内で新しいサイバーフェローシップを策定する。
- 部門のEメールセキュリティを改善するための追加のサイバーセキュリティ対策を展開する。 これらの対策には、部門の担当者に対する必須の暗号化トレーニング、フィッシングや関連する技術から保護するための追加の技術的対策が含まれていました。
この最新の連邦サイバーユニットの設立の原動力は、DoJのプレスリリースで明確に説明されています。
国家セキュリティサイバーセクションは、悪意のあるサイバー活動を中断して対応する司法省の能力を向上させ、敵対的な国家国家の攻撃者によるますます高度で攻撃的なサイバー脅威に対処するために、部門全体および政府内パートナーシップを推進します。 セクションは、主要パートナー、特に犯罪部門のコンピュータ犯罪と知的財産セクション（CCIPS）とFBIのサイバー部門間の協力を強化 し、全国の 94 の米国検事事務所と56 のFBIフィールドオフィスの検察官にとって貴重なリソースとして機能します。
高度に技術的なサイバー脅威に対応するには、多大な時間とリソースが必要になることがよくあります」とオルセン次席検事は述べています。 NatSec サイバーはインキュベーターとして機能し、初期段階の案件の時間集約的で複雑な調査作業に投資できます。
NatSec サイバーの設立は、DoJのプレスリリースで引用した「米国の重要インフラに対するランサムウェア攻撃でサイバー犯罪者とされる者を 告発する (新しいタブで開く) 、[ 新しいタブで開く)」、〔ロシア政府の主要サイバーエスピオナージマルウェアツールで「国家セキュリティのサイバー脅威を特定、対処、 排除する」という最近広く報道された成功の軌跡を賜ります。
Taniumのサイバー脅威インテリジェンスチームからのアナリストコメント
「連邦政府が包括的な国家サイバーセキュリティアーキテクチャを確立するための具体的な対策を講じるのを見ることは勇気づけられています。 FBIとDoJは、上記の組織の一部、および外国の土壌に対して、ここ数か月に行った明白な強硬な法強制措置をカバーする法的権限の必要性を理解しているようです。
「Wild West sheriff」のような行動は、議会の監視委員会によって停止される前から継続できます。 DoJは、NatSec サイバーを確立することで、物事を合法化する論理的で積極的なステップをとったようです。」
2。 サイバー犯罪者は期限切れのAWS S3 バケットを使用して悪意あるコード配布する
Checkmarxによると、サイバー犯罪者は 期限切れのAWS S3 バケット (新しいタブで開く) を利用して悪意あるコード配布し、コードnpmリポジトリ内の正当なパッケージに注入しています。
Checkmarxは、先月後半にGitHubが公開した、脅威アクターによって悪用され、ユーザID、パスワード、ローカルホスト名などの機密ユーザ情報を被害者のデバイスから盗むように設計された悪意のあるバイナリを提供する、 bignum （新しいタブで開く）と呼ばれるnpmパッケージのいくつかのリリースに関するアドバイザリーを受けて、状況の調査を開始しました。
Checkmarxから：
最新バージョンの「bignum」、 0.13.1は、 3 年以上前に公開され、侵害されたことはありません。 しかし、いくつかの以前のバージョンはそうでした。 バージョン 0.12.2-0.13.0 は、S3 バケットでホストされているバイナリに依存していました。 これらのバイナリは、パッケージの機能をサポートするために、インストール時にバケットから取り出されます。 約 6 か月前、このバケットは削除されました（このバケットに依存しているバージョンはほとんど使用されていません）。
これにより、バケットが乗っ取りに開きました...
S3 バケット：復習
S3 個のバケットは、ユーザがファイル、ドキュメント、ビデオ、その他の種類のデジタルコンテンツを含む大量のデータを保存および取得できるAWSリソースです。 ユーザは一意のURLを持つ S3 個のバケットにアクセスでき、ウェブサイトのホスティングやデータバックアップから、データの配布、アプリケーションやコンテンツのアーカイブや保存まで、幅広い目的に有用です。
Checkmarxの調査の初期段階では、インストールフェーズ中に.ノードバイナリファイルダウンロードするために、g bignum npmパッケージがノード-gyp」を使用することが判明しました。 Questionバイナリファイルは、当初AWS S3 バケットでホストされていました。 バケットにアクセスできない場合、パッケージはローカルでバイナリを検索するよう求められます。
Checkmarxから：
しかし、未確認の攻撃者は、一度アクティブなAWSバケットの突然の放棄に気付きました。 機会を認識して、攻撃者は放棄されたバケットを押収しました。 その結果、bignumがダウンロードまたは再インストールされるたびに、ユーザは攻撃者によってインストールされた悪意のあるバイナリファイルを無意識にダウンロードしました。
これをどのように実現できましたか？ 各AWS S3 バケットにはグローバルに一意の名前が必要ですが、バケットを削除すると名前が再び利用可能になります。 パッケージがそのソースとしてバケットを指し示す場合、そのバケットの削除後もそのポインタは引き続き存在します。 この監視により、攻撃者は命令されたバケットにポインタを再ルーティングできました。
偽造バイナリとその機能
JavaScriptアプリケーションが呼び出すC/C++コンパイルバイナリである悪意のあるバイナリの性質により、ノード.jsモジュールは下位レベルのコードに到達し、最終的に攻撃対象領域を拡張できました。
偽の.ノードバイナリは正規のバイナリとよく似ており、いくつかの追加機能が投げ込まれていました。 例、正規バイナリの完全に無害な機能を実行するとともに、不正なバイナリは資格情報を盗んで、上記のハイジャックされたAWS S3 バケットに送信することでさらに一歩進んだ。 データはHTTP GETリクエストを介して抽出されました。
バイナリの通信方法を拡張すると、データ保持関数の達成後に、 IPv4 通信用のTCPソケットを作成し、収集されたデータをGET要求に関連付けられているユーザエージェント形式で密かに抽出します。
パターンが出現する
すべてのアカウントで、このような攻撃が観察され、文書化されたのは初めてでした。 Checkmarxの研究者は、「オープンソースエコシステム全体のクイック検索」を実施し、予期しない結果を得ました。
Checkmarxから：
この悪用の影響を受けやすい放棄された S3 個のバケットを使用して、多数のパッケージとリポジトリが見つかりました。 この新しい攻撃ベクトルの影響は大きく異なる場合があります。 しかし、この種の変更が発生するとすぐに攻撃者が悪用することができれば、そのリスクは大きくなります。 もう1つのリスクは、フリーズバージョンやアーティファクト理論を使用している組織や開発者に課されます。なぜなら、彼らは引き続き、ハイジャックされたバケットにアクセスするからです。
Taniumのサイバー脅威インテリジェンスチームからのアナリストコメント
「サブドメインの乗っ取りに関連する新しいオープンソースソフトウェアのサプライチェーン攻撃対象領域の発見は重要です」
「オープンソースのソフトウェアCommunityが直面する脅威から多くが成り立っていますが、こうした発見は、開発者と彼らが働いている組織の両方に対する目覚ましの呼びかけとして機能し、サイバー犯罪者は広く使用され、信頼されているソフトウェアとその情報元を兵器化する新しい方法を革新し続けることを思い出してください」
Checkmarxから：
放棄されたホスティングバケットや旧式のサブドメインは、単なる忘れ去られた痕跡ではありません。間違った手では、データの盗難や侵入の強力な武器になる可能性があります。
3。 新しい流出マルウェアがRDPワークロードを対象にする
Bitdefenderは 、RedCloudsとして追跡されている新しいサイバースパイキャンペーン (新しいタブで開く)を発見 しました。 カスタムRDStealerマルウェアを利用して、リモートデスクトップConnectionsで共有されたドライブからデータをフリートします。 この悪意のあるキャンペーンは、まだ特定の脅威主体に起因しておらず、 2022年から東アジアのシステムを標的にしています。
RDStealerは、クライアントドライブマッピングを有効にして、リモートデスクトッププロトコル(RDP)Connectionsの受信を監視するサーバ側のインプラントです。 これらの接続クライアントは、機密データを流出させる前に、別のカスタムマルウェアであるLogutilバックドアに感染します。
Bitdefenderによって分析されたRDStealerとLogutilマルウェアサンプルはどちらも、Goのプログラミング言語で書かれています。 この言語は、強力なクロスプラットフォームサポートにより人気が高まっており、脅威は複数の異なるオペレーティングシステムで実行できる悪意のあるコードを簡単に作成できます。 これらの攻撃に関連するドメインを分析している間に、研究者はLinuxだけでなくESXiへの複数の言及も観察し、Logutilバックドアがマルチプラットフォームツールであることを示しています。
攻撃の構造
パッシブDNS情報、VirusTotalサンプル、痕跡を分析した後、Bitdefenderは少なくとも 2020から脅威アクターがアクティブであると判断しました。 脅威は当初、AsyncRATやCobalt Strikeなどのツールに頼ってから、 2021年後半/ 2022年前半にカスタム開発されたマルウェアに切り替わりました。
攻撃の主な目的は、資格情報の窃盗とデータの流出であるように見えます。 脅威は、マルウェアがあまり含まれていないフォルダを使用していたため、セキュリティツールによるスキャンから除外されることがよくあります。
- %WinDir%\System32\
- %WinDir%\System32\wbem\
- %WinDir%\security\database\
- %PROGRAM_FILES%\f-secure\psb\診断
- %PROGRAM_FILES_x86%\dell\commandupdate\
- %PROGRAM_FILES%\dell\mdストレージソフトウェア\md設定ユーティリティ\
%PROGRAM_FILES%と%PROGRAM_FILES_x86%の場所は、脅威が正当なソフトウェアを模倣するために選択した可能性が最も高い場所です。 マルウェアは%WinDir%\セキュリティ\データベースにも見つかりました。これは、Windowsのセキュリティデータベースのストレージスペースとして機能するフォルダです。
Microsoftは、この場所内の 特定のファイル (新しいタブで開く)がエンドポイントセキュリティツールによってスキャンされることの除外 に関するガイダンスを提供しています。 エンドポイントセキュリティ 脅威がこのガイダンスを見て、一部のセキュリティソリューションが特定のファイルだけでなくフォルダ全体を除外することを選択すると考えた可能性があります。
RDStealerとは？
RDStealerは、クリップボードのデータコンテンツのキャプチャやキーログなどの戦術によるデータ収集を専門としています。 クライアントドライブマッピング(CDM)が有効になっている場合、マルウェアは着信RDPConnectionsを監視し、リモートマシンを侵害することもできます。
CDMは、RDPプロトコルの一部として実装される仮想チャネルです。 これにより、RDPクライアントとRDPサーバ間のデータの転送が可能になります。 リモートデスクトップセッション内でクライアントマシンのローカルドライブを表示するのは、特にその責任です。
この機能を使用すると、ローカルマシンとRDP経由で接続しているリモートサーバ/デスクトップとの間でファイルにアクセスして転送できます。 これは、管理者がファイルの転送に一般的に使用されます。 CDMは、通常のエンドユーザが仮想デスクトップやアプリケーション仮想化によく利用します。
初期感染ベクトルに関する具体的な詳細が不足しているため、侵害されたシステムが管理アクセスや定期的なユーザ操作に活用されているかどうかを確認することが困難です。
侵害されたマシンでは、RDStealerは次の場所にあります：%PROGRAM_FILES%\dell\mdストレージソフトウェア\md設定ユーティリティ\modular disk service デーモン[.]EXE。
起動後、メイン機能はホストからクリップボードデータとキーストロークの収集を開始します。 データは、暗号化された文字列の形式でログファイルC:\users\public\log.logに定期的に保存されます。 その後、diskMounted機能を呼び出す無限ループを作成します。 この機能は、tsclient接続とC、D、E、F、G、Hドライブの1つの可用性を定期的に確認します。 これらは、CDMが有効なときに自動的に作成されます。
これらの共有のいずれかが検出されると、次の機能がトリガーされます。
- C2 通信 – notifyMaster： 機能はクライアントが接続されていることをコマンド&コントロール(C2)に通知します。 この機能は、脅威が制御する C2 インフラストラクチャと通信するためのプロキシとして指定された別のサーバにGET要求機能を行います。
- Data exfiltration – DiskEnum： 機能は、接続されたRDPクライアントからデータを抽出し始めます。 この機能は、接続されたRDPクライアント上の貴重な情報を検索して、データを抽出します。
最初のターゲットは、脅威が資格情報と他のシステムへの保存済みConnectionsを探していることを示すいくつかの特定のフォルダです。 この傾向は次のステップで見られ、クライアントは%AppData%、%LocalAppData%、デスクトップ、Documents、Downloads、%ProgramFiles%、%ProgramFiles(x86)%の場所に特定のファイル拡張子を持つファイルがないかスキャンされます。
見つかったファイルは、RDPホストのzipアーカイブに保存されます。 リモートCドライブからデータを抽出した後、RDStealerはドライブ文字D、E、F、G、Hを見始めますが、アプローチは少し異なります。 これらのドライブでは、いくつかの例外を除いてすべてのフォルダのスキャンが開始されます。 この再帰的スキャンには時間がかかるため、実行を週に1回のみに制限するメカニズムがあります。 ファイルのusers\public\Videos\vcache.datは、データの抽出が完了すると変更され、最終変更日が現在の時刻と比較されて、システムの別のスイープの時期であるかが決まります。
- ダウンストリーム侵害 – WritePersist： 機能は、Logutilバックドアを接続されたRDPクライアントに展開します。 tsclient\c\usersからユーザのリストを取得します。
- Logutil： Logutilバックドアは、ネットワーク内の足場を維持するために必要な機能を実装します。 これには、ファイルのダウンロード/アップロードやコマンドの実行などが含まれます。
このバックドアが興味深いのは、アクティベーションのトリガーとしてWMIを使用したDLLサイドロード技術をどの程度活用しているかです。 いくつかの従来のDLLサイドロード技術が観察されましたが、Winmgmtを悪用するより興味深いバリアントが見られ、悪意のあるバイナリbithostw[.]dllの実行につながりました。 これを実現するために、脅威は正当なncobjapiライブラリを模倣したwbemフォルダに悪意のあるローダを使用しました。
インプラントは、WMIサービスまたはWMIホストプロセスのいずれかによってトリガできます。 Logutilは、 C2 インフラストラクチャと直接通信することも、同じネットワーク上の別のプロキシサーバ経由で通信することもできます。 C2 サーバから取得できるコマンドの全リストは、Bitdefenderの調査で確認できます。
属性
Bitdefenderのさまざまな方法にもかかわらず、彼らはこれらの攻撃を特定の脅威主体に帰すことができません。 しかし、脅威の利益は中国と一致しており、国が支援するAPTの高度化が進んでいると信じています。
Taniumのサイバー脅威インテリジェンスチームからのアナリストコメント
「このキャンペーンでは、一部のセキュリティソフトウェアによってスキャンから除外される可能性があるMicrosoft Windowsフォルダが使用されます。 脅威は、これらのフォルダを使用してバックドアのペイロードを保存し、ネットワークで検知されない状態を長時間保持できる可能性があることを承知しています。」
「Bitdefenderの調査によると、この脅威アクターはすぐに利用できるツールの使用からRDStealerやLogutilなどのカスタムマルウェアの作成と活用にまで移行しました。 これは、この脅威アクターの過去数年間の高度化を強調しています。
共有したいこれらのストーリーに洞察がありますか？ Taniumのディスカッションフォーラムに進み、会話を始めてください。
詳細は、最近の サイバー脅威インテリジェンスのまとめをご覧ください。
