今週、CTIでは、偽のGoogle SitesページやHTMLの密輸手法を利用して「Azorult」マルウェアを拡散させる、最近発見されたマルウェアキャンペーンについて取り上げます。 Next CTIでは、現在のAPIセキュリティの状況を分析したImpervaの「State of API Security」レポートから、重要なポイントをまとめてご紹介します。 また、CTIは、世界中の複数の政府機関を標的としている、現在進行中の高度持続的脅威（APT）キャンペーンについても分析しています。
1. ハッカーが偽のGoogle Sitesページを通じてマルウェアを拡散しています
最近発見されたマルウェアキャンペーンでは、 の偽の Google Sites ページ（ ）と、HTML スマグリングの手法を組み合わせて、「Azorult」と呼ばれるマルウェアを拡散させています。
このキャンペーンでは、ペイロードは、外部でホストされている別のJSONファイルに埋め込まれています。 ファイルレスの情報窃取型マルウェア「Azorult」は、その後、検出を回避し、痕跡を最小限に抑えるために、リフレクティブ・コード・ローディングを介して実行されます。
HTMLの密輸にGoogle Sitesを活用する
Netskopeは、Google Sites上の という偽のGoogleドキュメントページ（ ）に関連する最新の活動を明らかにしました。このページは、脅威アクターがHTMLの密輸を行い、悪意のあるペイロードをダウンロードするために利用されていました。
この活動の背後にいる攻撃者は、被害者をだまして偽のGoogleドキュメントのページにアクセスさせ、Googleドキュメントからのものだと信じ込ませてファイルをダウンロードさせています。 このキャンペーンでは、攻撃者はJSONファイル内に悪意のあるペイロードを埋め込み、被害者がサイトにアクセスした際に、そのJSONファイルをダウンロードするためのGETリクエストが送信されるようにしました。
この攻撃者は、URLスキャナーを回避するためにCAPTCHAも利用しました。 被害者がCAPTCHAを通過すると、HTML密輸コードがペイロードを再構築し、それをダウンロードします。 ダウンロードされたペイロードはLNKファイルであり、PDFのアイコンを使用することで、ユーザーにGoogleドキュメントから正当にダウンロードされたファイルであると信じ込ませるようになっています。 最終的にダウンロードされたマルウェアは、「Azorult」という情報窃取型マルウェアです。
Azorultのファイルレスマルウェアの読み込み
このキャンペーンでは、防御回避の手法の一つとして、リフレクティブ・コード・ローディングを介して、メモリ上で「Azorult」情報窃取型マルウェアを実行しています。 つまり、実行中のPowerShellプロセス自身のメモリにコードを読み込むため、残される痕跡がそれほど多くないということです。
そのために、AMSI（マルウェア対策スキャンインターフェース）をバイパスするPowerShellスクリプトが実行されます。 その後、2つ目のPowerShellスクリプトが実行され、Azorultローダーをダウンロードし、シェルコードを定義した上で、シェルコードと実行ファイルの両方をプロセスのメモリに読み込むルーチンを実行します。
Azorultマルウェアとは何ですか？
Azorultは 2016年から存在しています。 まず、デバイスの画面をスクリーンショットで撮影し、JPEG形式で保存します。 その後、Chromeのログイン情報、ローカル状態、Cookie、Webデータなどのブラウザデータを収集します。 Firefoxに対しても、同じ手順が適用されます。 このマルウェアは、デスクトップ上の機密ファイルを探す前に、暗号資産ウォレットのデータをコピーします。 TXT、AXX、DOC、XLS、KDBX、DOCX、XLSXといった特定のファイル拡張子を検索します。 また、「backup」、「wallet」、「ledger」、「secret」といった特定のキーワードを含むファイル名も検索します。 必要な情報を取得すると、そのデータをメモリストリームに書き込み、その後、そのデータは C2へと外部へ持ち出されます。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
HTMLスマグリングは、マルウェアを配布するために脅威アクターによってますます多用されている手法であり、そのため、この活動を特定のアクターに帰属させることは困難です。
Netskopeが指摘しているように、「BlobがすでにHTMLコード内に埋め込まれている一般的なファイル密輸とは異なり、このキャンペーンでは、別の侵害されたサイトからエンコードされたペイロードをコピーしています。」
これは、攻撃者がこの手法をますます多用していること、また、検知をさらに回避するためにその手法を改良しているという事実を裏付けています。
2。 サイバー犯罪者はAPIを悪用しています
Impervaは先日、「年 APIセキュリティの現状」というレポートを発表しました。このレポートでは、APIを標的とした攻撃に基づき、現在のAPIセキュリティの状況を分析しています。
Impervaの調査によると、APIは機密データに直接アクセスできる経路であることから、現在、脅威アクターにとって一般的な攻撃経路となっていることが判明しました。 本レポートでは、API攻撃の動向に加え、APIのセキュリティ態勢を強化するための提言について取り上げています。
知っておくべき主要なAPIベクトル
Impervaは、過去1年間に観測されたAPI攻撃のベクトルを分析しました。 ビジネスロジックが首位を占め、APIに対する全攻撃の 27％を占めました。これは前年比で 10％の増加となります。
この種の攻撃は、脅威アクターが「機密データの流出やミッションクリティカルなアプリケーションの妨害など、悪意のある目的でAPIの本来の機能を悪用しようとする」場合に発生します。 APIのビジネスロジックの悪用を検知するのは、攻撃が正当な利用と見分けがつかないほど似通っているため、困難な場合があります。
次に多い要因（ 19％）は、自動化されたエージェントや「悪質なボット」に起因する攻撃です。 また、Impervaは、API呼び出し数が多く、その結果ボットトラフィックも多くなる主要な業界についても調査を行いました。 調査の結果、銀行・金融セクターが 31％を占め、次いでeコマース・小売が 17.9％、テクノロジーが 7.1％であることが分かりました。 すべてのボットによるトラフィックが悪意のあるものというわけではありませんが、このデータとAPI呼び出し回数を併せて見ると、注目すべき傾向が浮かび上がります。
APIアカウントの乗っ取りも、よくある攻撃の一種です。 これは、攻撃者がAPIの認証プロセス内の脆弱性を悪用して、ユーザーアカウントへのアクセス権を取得した際に発生します。 Impervaの調査によると、同社が記録した全攻撃のうち 45.8％がAPIエンドポイントを標的としており、これは前年比で 11％の増加となっています。
管理が不十分なAPIエンドポイント
Impervaのレポートでは、こうした攻撃のリスクを高める、管理が不十分なAPIエンドポイントの3つの代表的なタイプについて詳しく解説しています。
- シャドウAPI（ ）とは、文書化されていない、あるいはまだ発見されていないAPIのことです。 これらは本質的に、見落とされていたAPIであり、Impervaの推計によると、これらが組織の稼働中のAPIの 4.7％を占めているとのことです。
- 非推奨のAPI（ ）とは、更新が行われておらず、攻撃を受けやすいAPIエンドポイントのことです。
- 認証不要のエンドポイント（ ）は、通常、設定ミスや見落としによって発生します。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
攻撃者は常に新たな攻撃経路を探しており、収益が見込める標的を特定するために、エコシステム全体を注視しています。
APIが脅威アクターにとって魅力的な標的となりやすい理由の一つは、組織が自社のAPIを常に完全に把握できているとは限らないという事実です。
Impervaが報告書の中で繰り返し指摘しているように、こうした攻撃は検知が困難です。 「API とのやり取りの動的な性質と、正当なリクエストの膨大な量により、従来のセキュリティ対策では悪意のある活動を識別することが困難になっています」と、報告書は述べています。
脅威アクターはAPIを標的とするために様々な手法を用いるため、完全な防御範囲を確保するには、さまざまな種類の対策が必要となります。 Impervaは、同社のレポートの中で対策のヒントを紹介しています。
3。 APT攻撃キャンペーンが世界各国の政府機関を標的にしています
研究者たちは、世界中の複数の政府機関を標的とした「 」APTキャンペーン（ ）を、2022 年から追跡しています。
このキャンペーンは、研究者らが「Earth Krahang」と呼ばれる脅威アクターによるものと見なしていますが、公共インフラにアクセスして、他の政府機関への攻撃をさらに展開しています。 この脅威アクターは、このアクセス権を利用して、悪意のあるペイロードをホストしたり、攻撃トラフィックをプロキシ経由で転送したり、侵害された政府機関のメールアカウントからスピアフィッシングメール を送信したりしています。 また、この俳優は最近、侵害された外部向けサーバー上にVPNサーバーを構築し、被害者のプライベートネットワークへの継続的なアクセス権を確保しました。
偵察と初期侵入
このキャンペーンにおける感染経路の一つとして、外部からアクセス可能なサーバーのスキャンが挙げられます。 この攻撃者は、オープンソースのツールを活用して、.git や .idea を探し出しています。 また、このアクターは時折、ディレクトリに対して直接ブルートフォース攻撃を行うこともあります。 この攻撃者は、管理が行き届いていない可能性のあるサーバーを探しており、サーバーにアクセスしてウェブシェルを仕掛け、バックドアをインストールすることを目的としています。 場合によっては、攻撃者はスピアフィッシングも利用することがあります。
トレンドマイクロは、Earth Krahangが偵察段階で標的から数百件のメールアドレスを入手していることを確認しました。 具体的な事例の一つとして、攻撃者は、政府職員のメールボックスを乗っ取り、同じ政府機関に所属する他の 796 件のメールアドレスに悪意のある文書を送信しました。 また、この俳優は、政府機関間の信頼関係を悪用して、攻撃をさらにエスカレートさせています。
悪用後の活動
この脅威アクターは、侵害に成功した対外向けサーバーに「SoftEther VPN」をインストールすることが知られています。 その後、SoftEtherサーバーの実行ファイルは、システム上の正当なファイルに紛れ込むように名前が変更されます。
その後、このVPNを使用して被害者のネットワークに接続し、さらなる攻撃後の活動を行います。 エクスプロイト後の活動として確認されているものには、スケジュールされたタスクによるバックドアの永続化、リモートデスクトップ接続の有効化、認証情報の取得、ネットワークのスキャン、横方向のコード実行、権限昇格のための脆弱性の悪用などが挙げられます。
電子メールによる情報流出
この攻撃者は、被害者のOWAポータルを介してExchangeサーバーに対してブルートフォース攻撃を行っていることが確認されました。 この攻撃を実行するために、攻撃者はOWAサーバー上のActiveSyncサービスを標的とした、独自に作成したPythonスクリプトを使用しています。 さらに、この攻撃者は「Ruler」と呼ばれるオープンソースのツールを使用して、電子メールの認証情報を総当たり攻撃で解読していました。 また、Zimbraサーバーから電子メールを盗み出すために、別のPythonスクリプトも使用されました。
アース・クラハングのマルウェア
Earth Krahangは、この長期にわたるキャンペーンを通じて、Cobalt Strikeをはじめ、REDSHELLやXDealerといった2種類の独自開発バックドアを含む、さまざまなマルウェアを配布してきました。
REDSHELLは、主に 2022年の作戦期間中に使用されました。 その後、この俳優は主に XDealer を使用するようになりました。このソフトウェアには、Windows版とLinux版の両方が用意されています。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
トレンドマイクロは、 48 の政府機関が攻撃を受けたことを特定したと発表しています。 さらに、 49 の政府機関も標的とされました。 これらの数字は驚異的ですが、このキャンペーンは少なくとも 2022 年から続いており、攻撃者には攻撃を実行するための十分な時間が与えられていました。
このキャンペーンは他の分野も標的にしていますが、その大半は政府機関を標的としており、侵害された政府機関の電子メールを悪用しています。とはいえ、「潜在的なセキュリティ上の問題に関わる際には健全な懐疑心を持ち、送信者からの確認なしにリンクをクリックしたり添付ファイルを開いたりしないといった習慣を身につけることが重要です。」
これらの記事について、何かご意見やご感想など、共有したいことはありますか？ にアクセスし、Taniumのディスカッションフォーラム（ ）で会話を始めてみてください。
さらに詳しくお読みになりたい方は、当社の「 」で、最近のサイバー脅威インテリジェンスのまとめをご確認ください：。
