今週のまとめでは、CTIが、脅威アクターが「 」フィッシングメールの件名に、受信者の感情に働きかけるために、誤解を招く日付をどのように記載しているかを調査しています。 次に、CTIでは、ユーザーが犯しがちなパスワードに関する4つのよくある間違いと、ハッカーがそれらをどのように悪用し得るかについてご紹介します。 最後に、CTIは、サイバー犯罪グループ「Earth Estries」およびその最新のサイバースパイ活動に関する最新情報を提供します。
1. 攻撃者は、フィッシングメールの件名に誤解を招く日付を使用しています
Cofenseの最近のブログ記事では、脅威アクターがフィッシングメールの「 」という件名に、誤解を招く日付を盛り込んでいる実態が明らかにされています。 （新しいタブで開きます）。 また、この分析からは、日付が含まれる件名や、特定のサブセクターをターゲットとした件名について、いくつかの興味深い傾向が明らかになりました。
日付が含まれている被験者と含まれていない被験者の割合
分析は、日付がどのような形式であっても対象となる被験者を調査することから始まりました。 これには、ファックスの遅延、 留守電の未確認、請求書の支払期限超過、給与計算、およびその他早急な対応が必要な事項に関するテーマが含まれていました。 件名に日付が含まれているメールの数は、サブセクターによって異なっていました。
時代遅れとされた科目の割合が最も高かったのは鉄道輸送で、 48％でした。 これに続いて、石油・ガス業界が 45％を記録しました。 割合が最も低かった業種は、不動産業と卸売業で、いずれも 13％でした。 各サブセクターにおいて、対象者のおよそ 31％に日付が記録されていました。
件名に日付が含まれているこれらのメールを詳しく分析し、Cofenseは日付そのものに基づいてさらに分類を行いました。 これらの分類は、メールが閲覧された日付に基づいて行われました。
最初のカテゴリーである「初期のメール」には、件名に記載された日付が、そのメールにアクセスした日よりも後のものだったメッセージが含まれていました。 2つ目のカテゴリーである「時間通りに送信されたメール」には、件名に記載された日付が、そのメールが閲覧された日と一致するメッセージが含まれていました。 最後のカテゴリーである「遅延メール」には、件名に記載された日付が、そのメールが閲覧された日よりも前のものだったメールが含まれていました。
- 初期のメール： アクセスされた日よりも後の日付が件名に記載されたメールを送信した脅威アクターはほとんどいませんでした。 初期の被験者は、日付が記載されている全被験者のうち、わずか 2％を占めていました。 Cofenseによると、こうしたメールのほとんどは、脅威アクターによる不注意や設定ミスが原因であるとのことです。
- 送信日時が記載されたメール： メールが閲覧された日付と件名の日付が一致するメールが、2番目に多く見られました。 各サブセクターでは、平均して対象者の 31％が、メールにアクセスした日と同じ日付を記録していました。 これらのメールは最もカスタマイズ度が高く、件名の 58％に何らかのカスタマイズされたコンテンツ、あるいは黒塗りが必要な個人識別情報（PII）が含まれていました。 最も人気があったテーマは、行動を促す内容のものでした。おそらく、受信者から即座の反応を引き出そうとしたためでしょう。
- 遅れて届いたメール： メールの中で最も多いのは、件名にメールが確認されるより前の日付が含まれているものです。 これにより、誤った切迫感が生じやすくなり、被害者に対して「期限はすでに過ぎている」「もう手遅れだ」と警告することになるでしょう。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
「重要なポイントは、攻撃者がメールの件名に日付を盛り込むことで、受信者に切迫感を抱かせ、返信や何らかの反応を引き出そうとしているということです。」 「これは新しい事実ではありません。」
「新たな点は、脅威アクターが使用する日付の内訳です。」 興味深いことに、こうしたフィッシングメールのほとんどは、件名に、メールを開く前の日付が記載されています。 これは本当に精神的に追い詰められます。なぜなら、真っ先に「何か見落としたのか」「何かやり忘れたのか」と思ってしまうからです。」
2。 避けるべき4つのよくあるパスワードのミス
パスワードセキュリティプロバイダーのSpecopsは、 の ユーザーが犯しがちな4つの最も一般的なパスワードのミス、およびハッカーがそれぞれをどのように悪用しうるかについて詳しく解説しています。
Specopsによると、 に掲載されている「よくあるパスワードのミス」 は、私たちの脳がパターンの補完が得意であるために起こるとのことです。 そのため、私たちは心地よい、あるいは覚えやすいパターンに対して、自然と親近感を抱くようになります。
間違いその1：共通の基底項
ユーザーはパスワードを作成する際、基本となる単語を探しがちです。 一見、ランダムな基本語は無害に見えるかもしれませんが、こうした基本語が真にランダムであることはめったになく、私たちが普段思っている以上に重要な意味を持っているのです。
ユーザーは、デフォルトのパスワード履歴に関する要件や複雑性設定を回避するために、定期的なパスワードのリセットや有効期限切れの際に、同じ基本単語を少しずつ変更することがよくあります。 「Specops」という単語では、ユーザーが基本となる単語の最初の文字を大文字にしたり、末尾に特殊文字を追加したりすることがよく見られます。
攻撃者は、組織に侵入するために、最も強固なパスワードを解読する必要はないことを承知しています。 その代わりに、彼らは脆弱なパスワードを解読し、横方向への移動を行うことができます。 彼らは、「辞書攻撃」と呼ばれる攻撃手法を用いて、一般的な基本用語を悪用し、あらかじめ定義された脆弱な基本用語のリストを使ってパスワードを推測します。 この攻撃は単純ですが、人々は単純で馴染みのあるパスワードを使いがちであるため、しばしば成功してしまいます。
Specops社が数百万件のパスワードを対象に行った以前の分析によると、最も一般的な基本語は「password」であることが明らかになりました。 その他によく使われる基本用語としては、「admin」や「welcome」などがあります。 私たちは日常生活と何らかの関連性のある基本語を頻繁に使用する傾向があるため、ソーシャルメディアは脅威アクターにとって宝の山となっています。 攻撃者はソーシャルメディアのプロフィールを利用して特定の個人を標的にし、誕生日、家族の名前、ペットの名前、パスワードのベースとなる単語として使用されかねない重要な場所などの情報を容易に把握することができます。
よくある間違いその 2：パスワードの長さが短い
攻撃者は、パスワードを推測しようとする際、たとえ基本的な用語が脆弱なものであっても、依然として多くのバリエーションに直面しています。 彼らは、正しいパスワードが見つかるまで、あり得るパスワードの組み合わせをすべて試していく「ブルートフォース攻撃」の手法を用いることができます。 ブルートフォース攻撃は、特に短いパスワードに対して効果的であり、一般的な基本語で始まる短いパスワードに対しては、さらに効果的です。
Specops社の調査によると、同社の調査対象となった漏洩パスワードのうち、 88％が 12 文字以下であることが判明しました。 パスワードの長さを厳格に設定することは、こうした攻撃に対する効果的な防御策となり得ます。
Mistake 3: Keyboard walk patterns
あまり話題に上らないパスワードのミスとして、キーボードの配置パターンに由来する「キーボードウォーク」があります。これは、基本的にキーボードの配置をヒントにしたパスワードのことです。
その一例として、「QWERTY」という言葉が挙げられます。これは、ユーザーにとって覚えやすい「キーボードの配置」を表しています。 Specopsの調査によると、パスワードの中で「qwerty」というパターンが100万回以上確認されており、キーボードウォークがいかに一般的であるかが浮き彫りになりました。
キーボードウォークのパターンは、実際の単語ではないかもしれませんが、それでも辞書攻撃に利用される可能性があります。 攻撃者は、攻撃をより効果的に仕掛け、計画を練るために、人々が特定の行動をとる理由やその仕組みを常に理解しようと試みています。 キーボードウォークは予測可能であるため、辞書攻撃で使用される「ありそうなパスワード」のリストに含まれることがあります。
Mistake 4: Password reuse
強力なパスワードであっても破られる可能性があり、その同じパスワードを別のアプリケーションでも使い回している場合、問題はさらに深刻になります。 調査によると、 65％の人がパスワードを再利用していることが示されています。これは、悪意のある攻撃者たちが熟知している事実です。
パスワードの再利用は、多くの脅威アクターが認証情報の窃取やそれらのパスワードの販売に注力する大きな理由の一つとなっています。というのも、あるアプリケーションから盗まれたパスワードが、他の場所でも悪用される可能性があるからです。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
適切なパスワード管理は以前から重要でしたが、脅威の状況が変化し続けるにつれて、その重要性はさらに高まっています。 そして、Entra ID、Duo、あるいは KelvinZeroといった新興技術によって、世界全体がパスワードレスになるまでの間、私たち一人ひとりが、パスワード管理を徹底することで、自分自身や所属組織を守る役割を担っています。
情報窃取型マルウェアの台頭は、パスワードを選ぶ際にこれまで以上に慎重になるべき理由を如実に示しています。 認証の未来は「パスワードレス」になるという話題が盛んに語られていますが、この変化が実現するには、おそらくまだしばらく時間がかかるでしょう。 それまでの間、パスワードの作成や管理に関しては、私たち全員が改善の余地がある（あるいは少なくとも、もっと注意を払うべき）でしょう。
3。 Earth Estriesは、世界各国の政府やテクノロジー企業をターゲットとしています
の「Earth Estries」サイバー犯罪グループ（ （新しいタブで開きます）、、 ）は、フィリピン、台湾、マレーシア、南アフリカ、ドイツ、および米国の政府機関やテクノロジー業界を標的とした新たなサイバー諜報キャンペーンに関与しているとされています。この脅威アクターは、高レベルのリソースを活用して積極的に活動しており、高度なスキルと経験を有しています。
感染に関する手順
- Earth Estriesは、社内サーバーへの感染に成功した後、管理者権限を持つ既存のアカウントを侵害します。
- この攻撃では、システムに のCobalt Strike（ ）をインストールした後、追加のマルウェアを展開し、横方向の移動を行いました。 SMBおよびWMICを利用して、環境内の他のマシンにさまざまなバックドアやハッキングツールを拡散させました。
- この攻撃者は、アーカイブ用のPDFおよびDDFファイルを標的とし、curl.exeを介してAnonFilesやFile.ioなどのオンラインストレージリポジトリにアップロードしました。
- Earth Estriesは、各作戦ラウンドの終了後に既存のバックドアを定期的にクリーンアップし、次のラウンドを開始する際には新しいマルウェアを再展開していました。
Earth Estriesのバックドアおよびハッキングツール
今回の調査活動において、Earth Estriesは、情報窃取型マルウェア、ブラウザデータ窃取型マルウェア、ポートスキャナーなど、さまざまなツールを使用して活動していることが確認されました。
トレンドマイクロ (新しいタブで開きます) では、このキャンペーンで新たに発見された注目すべきツールセットについて取り上げています。
- Zingdoor： ZingdoorはGo言語で記述されたHTTPバックドアであり、 2023年4月で初めて確認されましたが、一部のログによると、このバックドアは2022年半ばから存在していたことが示唆されています。 このバックドアは実環境ではめったに見かけられませんが、UPXでパックされており、高度に難読化されています。 このキャンペーンでは、mpclient.dll として偽装され、Windows Defender のバイナリである MsSecEs.exe を悪用して、DLL サイドローディングを介して実行されるように設計されていました。 永続性を確保するため、現在の親プロセスを「MsSecEsSvc」という名前でWindowsサービスとして登録します。 また、 C2 サーバーに接続し、そのサーバーからのコマンドを待機します。 システム情報、Windows サービスの情報、ディスク管理の確認、および任意のコマンドの実行が可能です。
- TrillClient: TrillClientは、ブラウザのデータを盗み出すことを目的とした情報窃取型マルウェアです。 このマルウェアは、Windowsサービス「Net Connection」として自身をインストールし、入力された被害者IDに基づいて被害者リストを作成し、サービスの起動時に自身を起動させ、その後、そのサービスを削除することでインストールプロセスをクリーンアップします。 これは、ハードコードされたGitHubリポジトリに接続し、次のアクションのコマンドを取得します。 ブラウザの認証情報を収集したり、ブラウザの認証情報を収集するタスクをスケジュールしたりすることができます。
- HemiGate： HemiGateは、DLLのサイドローディングを介して実行されるバックドアです。 これは3つのインスタンスで実行されます。 最初のインスタンスはパラメータなしで起動され、その主な目的は、起動時の処理をセットアップし、終了する前に2番目のインスタンスを実行することです。 2番目のインスタンスは、3番目のインスタンスと通信する前に、設定ファイルを読み込み、 C2 サーバーと通信する役割を担っています。 3番目のインスタンスは、キーロガーを実行し、2番目のインスタンスから渡されたコマンドを受信・実行します。
被害者学
アース・エストリーズは、政府関連組織やテクノロジー企業を主な攻撃対象としています。 フィリピン、台湾、マレーシア、南アフリカ、ドイツ、そして米国で攻撃が発生しました。
また、研究者らは、カナダにある C2 台のサーバーへのネットワークトラフィックや、インドおよびシンガポールにおけるツールセットの検出についても確認しました。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
「このキャンペーンは、脅威アクターがGitHub、AnonFiles、File.ioといった公開サービスを、自らの活動の一環として悪用する傾向をさらに強めるものです。」
「このグループはかなり洗練されているようで、最新の攻撃キャンペーンでは、いくつかの新しいバックドアやハッキングツールを活用しているようです。」 トレンドマイクロは、Earth Estriesがサイバー諜報活動に注力していると指摘しています。 その点を踏まえると、世界中のいくつかの国を標的としているという点で、その範囲は非常に広範です。」
これらの記事について、何かご意見やご感想など、共有したいことはありますか？ および Tanium のディスカッションフォーラム にアクセスして、会話を始めてみてください。
さらに詳しくお読みになりたい方は、当社の最新の「」サイバー脅威インテリジェンスまとめをご覧ください。
