最新のCTIラウンドアップのトップ記事では、国際的な法執行機関による 2021 回目の摘発を受けて、悪名高いマルウェア「エモテット」とそのボットネットが再び台頭している状況について取り上げます。 次に、IcedIDマルウェアの運営者が、配布手法についてどのような様々な試みを行っているかについて調査します。 最後に、Cisco Talosによる最近の報告の概要をご紹介して締めくくります。この報告では、「Alchimist C2 」ツールと新たな「Insekt」マルウェアを特徴とする、新たな攻撃フレームワークの発見について詳しく解説されています。
1. Emotetマルウェアが再び注目を集めています
VMwareの新しいレポートによると、 のEmotetマルウェア配布ボットネット（ ）の背後にいる攻撃者たちは、悪名高いマルウェア・アズ・ア・サービス（MaaS）サービスを再開し、高度な検知回避機能やその他の機能を搭載したとのことです。
国際的な法執行機関による 2021 年初頭のEmotetに対する組織的な摘発 を受けて、研究者らが 2022 年1月から確認し始めたこのマルウェアの再台頭は、当局との戦いで得た教訓を武器に、世界的な脅威として再び台頭していることを示しています。
VMwareの調査では、その他の注目すべき点の中でも、Emotetが活動停止を余儀なくされた期間を経て、技術的な改善を遂げたことが浮き彫りになっています。 その中には、次のようなものがあります：
- より充実したインフラ
- より効果的な分析対策
- さまざまな攻撃目標に対応できる能力
- 絶えず変化し続ける攻撃パターン
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
「エモテットがニュースの見出しを飾ってから、ずいぶん時間が経ちました。」 VMwareの脅威分析部門が分析した活動の大部分は、 2022年初頭から確認され始めましたが、エモテットの再台頭の重要性を過小評価してはなりません。 「エモテットとそのボットネットを排除するという唯一の目的のために、世界中の複数の法執行機関で構成される国際タスクフォースが結成されたこと自体が、エモテットが世界的なサイバー脅威であることの証拠ではないとしても、タスクフォースの取り組みを乗り切り、以前よりもさらに強力に――そしてかつてないほど検知を逃れやすくなって――復活したという事実は、間違いなくその証拠と言えるでしょう。」
「ESET ResearchのTwitterアカウントは先日、あるスレッドを投稿しました。その投稿者によると、このツイートは、3か月間の更新休止を経て、同社が初めてEmotetに関する最新情報を発信したものであるとのことです。」 このスレッドには、Emotetの更新されたモジュールの一つに関する新たな侵害の兆候が記載されています。 エモテットが、業界が考えているほど長い間活動停止状態にあったかどうかは定かではありません。 その運営者は絶え間なく攻撃を仕掛けていたわけではないかもしれませんが、回避能力がこれほどまでに向上していることを考えると、おそらく製品の更新に追われていたのでしょう。」
2。 IcedIDマルウェア攻撃の背後にいるハッカーたちは、感染経路の手法を多様化させています
Team Cymruによると、 のIcedIDマルウェアによるフィッシングキャンペーン（ ）の背後にいる攻撃者は、現在、多岐にわたる拡散手法を活用しているとのことです。
最近確認されたいくつかのIcedIDキャンペーンでは、わずかに異なる感染経路が使用されていることが確認されており、研究者らは、これは攻撃者がさまざまな標的に対してどの手法が最も効果的かを模索しようとしているものと見なしています。
IcedIDマルウェアファミリーとは何でしょうか？
IcedIDマルウェア（BokBot としても知られています）は、 2017 年初頭に単純なバンキング型トロイの木馬として初めて確認されました。 その後、このマルウェアは、こうしたマルウェアによくあるように、さらなる悪意のあるペイロードをダウンロードして展開することを可能にする「マルウェア・ドロップ」機能を備えるように進化しました。 IcedIDは通常、 によるフィッシングキャンペーン（ ）を通じて配布されるか、あるいは他のマルウェア（特にEmotet）によって二次ペイロードとして仕込まれます。
最近のIcedIDによる攻撃キャンペーンでは、さまざまな種類のおとりや実行手法が活用されています。 Team Cymruの研究者たちは、脅威アクターが自らどのような指標を収集しようとしているのか、つまり、各キャンペーンにおいてどの手法がより大きな成果をもたらすか、あるいは最も効果的かを把握しようと、さまざまなキャンペーン（いずれも9月 2022日のもの）を比較しました。
IcedIDマルウェアはどのように拡散されるのでしょうか？
『 2022年9月』で分析されたキャンペーンのうち、以下のような、いくつかの異なるマルウェアの配信手法が確認されました。具体的には：
- LNKを含むパスワード保護されたZIPファイル
- LNKを含まない、パスワードで保護されたZIPファイル
- マルドック
- PrivateLoader
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
「Team Cymruは、これらのキャンペーンには多くの文法上の誤りが含まれており、その結果、被害者の数が少なくなっていたことを確認しました。 この観察結果は、メールにおけるこうした不審な兆候を見抜くようユーザーに指導する、充実したフィッシング対策トレーニングや啓発プログラムの価値を裏付けるさらなる証拠となっており、こうした知識があれば、受信者がフィッシング詐欺に引っかかる可能性を大幅に低減できることを証明しています。」
「その一方で、脅威アクターたちも同様のことを認識しており、そのため、より高度な脅威アクターの多くは、短期間のうちに攻撃手法を多様化し、それぞれの有効性を評価するという判断を下しているのです。」
「研究者たちは、ZIPファイル→ISOファイル→LNKファイルという一連の手順が、脅威アクターが試みた配信方法の中で最も成功したものであると考えています。」 今後、脅威アクターたちは、IcedIDマルウェアを拡散させるために、この手法を最も多用するようになるのでしょうか？ そうかもしれませんね。 あるいは、研究者やセキュリティ専門家の不意を突くために、まったく異なる手口を試みるかもしれません。 「時間が経てば分かることですが、後者のシナリオが現実のものとなっても、驚くことではないでしょう。」
「残された唯一の問いは、これを通じて私たちは何を学び、それをどのように活かしていくか、ということです。」
3。 「Alchimist」の新たな攻撃フレームワークが、Windows、macOS、およびLinuxを標的としています
シスコ・タロス（Cisco Talos）による最近の報告書では、Alchimist という のコマンド＆コントロール（C2）ツールや、Insektと呼ばれる新しいマルウェアなど、新たな攻撃フレームワークの発見について詳しく説明されています。
この包括的なフレームワークは、Windows、macOS、およびLinuxシステムを標的とした攻撃において、積極的に利用されています。 この発見は、研究者らがAlchimistと類似していると指摘したManjusakaフレームワークの発見からわずか数ヶ月後のことです。
「アルケミスト」とは何ですか？
Alchimistは、今や広く普及しているGoLangで書かれた64ビットのLinux用実行ファイルです。 Alchimist C2 には簡体字中国語で記述されたWebインターフェースが備わっており、設定済みのペイロードを生成したり、リモートセッションを確立したり、リモートマシンにペイロードを展開したり、スクリーンショットを撮影したり、リモートでのシェルコード実行を行ったり、任意のコマンドを実行したりすることができます。
インセクト・インプラントについて
Insektは、GoLangで記述された64ビットのインプラントであり、WindowsおよびLinux環境向けにコンパイルされており、多くのRAT機能を備えています。これらの機能はすべて、Alchimist C2 サーバーによって実行されるよう設計されています。 このインプラントは、7つの主要な機能に対して複数のハンドラーを設定します：
- ファイルのサイズを取得します。
- OS情報を取得します。
- cmd[.]exe を通じて任意のコマンドを実行します。
- 現在のインセクト・インプラントをアップグレードしてください。
- 別のユーザーとして任意のコマンドを実行します。
- C2で定められた期間、眠ってください。
- スクリーンショットの撮影を開始／停止します。
Insektには、シェルコードの実行、ポートおよびIPスキャン、SSH鍵の操作、接続のプロキシ化など、その他の機能もあります。InsektのLinux版には、被害者のホームディレクトリにある「.ssh」ディレクトリの内容を一覧表示する機能があり、攻撃者がSSH経由で C2 番ポートから被害者のマシンと通信できるよう、新しいSSH鍵を追加します。 Insektには、オペレーターが発行できるさまざまなコマンドを実行できるモジュールと、感染したエンドポイント上で特定のRATアクションを実行できるモジュールが含まれています。
知っておくべきその他のツール
Cisco Talosは、MacOSXプラットフォームにおける権限昇格や、ひいては悪用を目的としたその他のツールについても紹介しました。 これらのツールのうち2つのソースコードがGitHubで公開されています。これには、データの持ち出しに使用される「Fast reverse proxy（frp）」や、イントラネットスキャンツールである「Fscan」が含まれています。
- MacOSXのエクスプロイト： openディレクトリ内で発見されたMach-Oファイルは、エクスプロイトとバインドシェルバックドアが埋め込まれた、もう1つのGoLang実行ファイルです。 このドロッパーには、polkitのpkexecユーティリティにおける権限昇格の脆弱性が利用されています。 ただし、このユーティリティはMacOSXにはデフォルトではインストールされていないため、権限昇格が必ず成功するとは限りません。
- スクリプトレット： Alchimistは、感染の初期段階で使用されるスクリプトを生成することもできます。 研究者らが発見したスクリプトの一つは「down[.]sct」というもので、特定のURLから「Insekt」というインプラントをダウンロードするものでした。
- シェルコード： 研究者らは、「shell[.]msi」という名前のファイル内に、Meterpreterのシェルコードを発見しました。 このファイルには、シェルコードが特定のIPアドレスに接続するためのホスト名とポート番号の詳細を含む、悪意のある設定が含まれています。
Alchimistは、別の攻撃フレームワークであるManjusakaと類似点があります
Cisco Talosは、作者らが「Alchimist」と呼ぶスタンドアロンの C2 サーバーと、それに付随する、作者らが「Insekt RATファミリー」と呼ぶインプラントを発見しました。 そして、ほんの数ヶ月前、Cisco Talosは「Manjusaka」 と呼ばれる、もう一つの自己完結型フレームワークを発見しました。 どちらのフレームワークも、実装方法は異なりますが、全体的な設計思想は同じであり、要件も同一であるようです。 これらのフレームワークは、GoLangベースのスタンドアロン実行ファイルとして動作し、比較的容易に配布できるよう設計・実装されています。どちらも簡体字中国語のWebインターフェースを採用しており、また、あまり一般的ではない プロトコル（SNI）についても言及しています。
ManjusakaとAlchimistの最大の違いは、Webユーザーインターフェースの実装手法と、シングルファイル機能の実装方法にあります。 Manjusakaの開発者はGin Webフレームワークを活用しており、 では、アセットバンドリングフレームワークであるpackr（）を使用して、インプラントを埋め込み、保存しています。 Alchimistの開発者たちは、より基本的なアプローチを採用し、GoLangの基本機能のみを用いて、同じ機能を実装しました。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
「ManjusakaとAlchimistの間に見られる多くの類似点、およびそれぞれのフレームワークが登場した時期が近いことは、包括的あるいはすぐに使える『 C2 』フレームワークの利用という新たな傾向を示唆しているのかもしれません。」
「これらのフレームワークは、リモート管理やコマンド＆コントロールなど、多岐にわたる機能に活用できることから、サイバー犯罪者にとって魅力的なものです。」
「Cisco Talosは次のように的確に要約しています。『脅威アクターが被害者のマシン上で特権シェルアクセスを獲得することは、まるでスイスアーミーナイフを手に入れたようなもので、被害者の環境内で任意のコマンドやシェルコードを実行できるようになり、その結果、標的となった組織に重大な影響を及ぼすことになります。』」
「こうした包括的なフレームワークが脅威アクターにとって魅力的であるという証拠は、ここ1週間ほどに発表されたさまざまな報告書に見られます。」 CTIはまた、 のトレンドマイクロに関する記事（ ）を取り上げました。この記事では、効果的なマルウェアローダー／ドロッパーである「QAKBOT」が、商用で入手可能な攻撃者エミュレーションフレームワークである「Brute Ratel」や、広く普及している定評のあるフレームワーク「Cobalt Strike」といった第2段階のペイロードの配信を促進し始め、これらすべてが最終的に「Black Basta」ランサムウェアの展開を支援していることが説明されています。
「Cobalt Strikeのさまざまなリーク版が、必然的に攻撃の成果を低下させる結果となったため（Cobalt Strikeの検出率が上昇しているのは、過度に使用され、広く知れ渡ったツールが脅威アクターによって繰り返し悪用された結果として避けられないものです）、攻撃者たちは、より高度な機能を備えた新しいフレームワークへと目を向け始めています。」 Alchimist や Brute Ratel といった新手のツールは、脅威アクターがより長期間にわたり検知を逃れようとする攻撃において、ますます魅力的な選択肢となりつつあります。 「こうしたフレームワークが、 C2／敵対者エミュレーション・フレームワーク市場において、今後もシェアを拡大し続けると予想されます。」
これらの記事について、何かご意見やご感想など、共有したいことはありますか？ Taniumのディスカッションフォーラム（ ）にアクセスして、会話を始めてみてください。
さらに詳しくお読みになりたい方は、当社の最近のサイバー脅威インテリジェンスのまとめ記事をご覧ください。
