標的となった組織にマルウェアを仕込む最も効果的な方法の一つは、その組織がソフトウェアベンダーと築いている数多くの信頼関係のうちの1つを悪用することです。 このようにして、ロシアのハッカーたちは、 で報じられた悪名高い「SolarWinds」キャンペーンにおいて、複数の米国政府機関を攻撃しました。 （新しいタブで開きます）。 そして、今こそ、人気の音声・ビデオ通話デスクトップアプリ「 3CX 」のユーザーは、細心の注意を払うべきなのです。
北朝鮮とみられる脅威グループは、このアプリケーションのデジタル署名付きアップデートにバックドアを仕込むことに成功し、その後、二次段階のマルウェアを起動させて、特定の標的からデータを盗み出しました。 いつものことですが、時間が重要です。お客様各社は、影響を受けるソフトウェアのバージョンをできるだけ早く特定し、対策を講じてください。
「 3CX」とは何ですか？
3CX (opens in a new tab) is a VoIP and PBX service provider which claims to have over 12 million users and more than 600,000 corporate customers in 190 countries worldwide — including big-name brands such as Mercedes-Benz and PwC.
同社の「 3CX DesktopApp」が脅威アクターによる攻撃の対象となりました。具体的には、 の「 」（新しいタブで開きます） の Electron Windows アプリバージョン 18.12.407 および 18.12.416 、ならびに Electron Mac アプリバージョン 18.11.1213、 18.12.402、 18.12.407、および 18.12.416 が標的となりました。
この事件の原因は何だったのでしょうか？
3CXによると、悪意のあるペイロードは、Gitを介してコンパイルされたバンドルされたライブラリに埋め込まれていたとのことです。 このことから、同社の開発者が使用していたオープンソースのリポジトリが侵害されていたことが原因であったと考えられます。 （新しいタブで開きます） などの報道によると、改ざんの痕跡が見られたことから、この問題は開発段階で発見されていた可能性があるとのことです。
いずれにせよ、この初期段階では上流でこの脅威は検出されず、Windows版およびmacOS版の両方の影響を受けるアプリには、公式の 3CX 署名キーによるデジタル署名が行われていました。 macOSの各バージョンはAppleによって公証さえされており、これはクパチーノを拠点とするこの大手テクノロジー企業が、いかなる悪意のある活動も検出しなかったことを意味します。
一体何が起きたのでしょうか？
デジタル署名されていたため、トロイの木馬化されたアプリは、ほとんどの境界防御をすり抜けてしまうのです。 犯人たちは、警報が鳴らないよう、他にもさまざまな対策を講じました。 Windows版およびmacOS版の両方について、改ざんされたインストーラー には、正常に動作するアプリの完全なバージョンである （新しいタブで開きます）が含まれていたと報じられています。 その後、攻撃者はDLLサイドローディングの手法を用いて、特定の被害者に対して追加のペイロードを仕掛けました。 このペイロードは、検知を回避するために暗号化されており、感染したマシンを攻撃者が制御するサーバーに接続させ、第2段階のマルウェアをダウンロードさせました。
当初、この最終ペイロードは、感染したマシンのブラウザから重要な情報を盗み出すように設計されていたと考えられており、これが標的型サイバー諜報活動であることを示唆していました。 報道によると、 （新しいタブで開きます） これらのマルウェアに含まれるコードの一部は、北朝鮮政権と関連があるとされる悪名高い「ラザロ」グループが使用しているコードと「バイト単位」で一致しているとのことです。 しかし、最新の証拠によると、最終的な目的は、「Gopuram」と呼ばれるモジュール式のバックドアを、ごく少数のマシンに仕込むことだった可能性があります。 本稿執筆時点で、この手口による標的となった仮想通貨企業は 10 社未満です。 これは、その攻撃に金銭的な動機があった可能性を示唆しているかもしれません。
Taniumがどのように役立つか
3CX 社は、 （新しいタブで開きます）、、 の各サイトを通じて、影響を受けたすべてのお客様に以下の対応をお願いしております：
- すべての Windows または macOS コンピュータから「 3CX Electron」デスクトップアプリケーションをアンインストールしてください
- 利用可能な最新のシグネチャを使用して、マルウェアの可能性があるものに対するAV/EDRスキャンを継続してください
- 3CX’s PWA Webクライアントアプリに切り替える
Taniumは、組織が「 3CX 」アプリの脆弱性のあるバージョンや侵害の兆候を迅速に特定できるよう支援します。 これを行うには、いくつかの方法があります：
Tanium Interact （新しいタブで開きます） では、次のクエリを使用して、Windows 環境内の 3CX 個のデスクトップアプリを特定できます。「『Installed Applications:Name』に 3CX 個のデスクトップアプリが含まれるすべてのマシンから、『Installed Applications:Name』に 3CX 個のデスクトップアプリが含まれるインストール済みアプリケーションを取得する。」
Tanium Threat Response （新しいタブで開きます） では、YARAルールをインポートして、この攻撃で使用されたマルウェアを特定することができます。 脆弱性が判明したファイルのハッシュ値も、Tanium Threat Response に追加することができます。
