今週のまとめでは、CTIが、脅威アクターがGoogleのAccelerated Mobile Pages（AMP）を悪用して、メールのセキュリティ対策を回避し、従業員のログイン認証情報にアクセスしている実態について解説しています。 次に、脅威アクターがSalesforceのメールサービスおよびSMTPサーバーの脆弱な処理フローを悪用し、Facebookアカウントを標的とした の高度なフィッシングキャンペーン を展開している実態について見ていきます。 最後に、CTIは、ロシアのアクター「BlueCharlie」と 100 件近くの新規ドメインとの関連性を指摘する報告書について調査を行っています。
1. 攻撃者は、Google AMPを悪用して、検知を逃れるフィッシング攻撃を行っています
Cofenseによると、フィッシング攻撃において、AMPを悪用して電子メールのセキュリティ対策を回避するケースが増加しているとのことです。 これらのキャンペーンでは、フィッシングメールにGoogle AMPのURLを埋め込み、Googleドメインの信頼性を悪用しています。
Google AMP：概要
Google AMPは、モバイルでの利用に最適化されたウェブサイトを作成するためのオープンソースのHTMLフレームワークです。 これらのウェブページはGoogle検索で表示されるほか、Google AMPキャッシュやGoogleアナリティクスを利用して、ユーザーの行動を追跡することも可能です。 Google AMP を通じて作成されたウェブページは、当初、google.com/amp/s/or や google.co.uk/amp/s/ といった Google AMP の URL でホストされます。
現在、攻撃者は、従業員のログイン認証情報を盗み出すことを目的として、フィッシングメール内にGoogle AMPのURLパスを使用した悪意のあるウェブページをホストしています。 これらのURLは正規のGoogleドメイン上でホストされているため、メールセキュリティツールがこれらのメールの悪意のある性質を検知するのは困難な場合があります。
Google AMPを悪用するキャンペーンのこの傾向は、5月に活発化したようであり、それ以来、脅威の状況として続いています。 Cofenseは、 6月15日において、Google AMPのURL内でgoogle.co.ukが使用されていたことから、戦術の変化を確認しました。 基本的な考え方は同じですが、URLはGoogle UKのTLDでホストされています。 Cofenseが調査したGoogle AMPのURLのうち、 77％がgoogle.comでホストされており、残りはGoogleの英国TLDでホストされていたことが判明しました。
脅威アクターは、TTPを組み合わせて使用しています
攻撃者は、フィッシングメールの効果を高める定評のある手法と併せて、この新しいGoogle AMPの手法を活用しています。
Google AMPのURLを埋め込みリンクとして利用しているさまざまなフィッシングメールにおいて、以下のTTPが確認されています：
- 信頼できるドメイン： AMPの手法が効果的なのは、Googleのような信頼できるドメイン上でURLをホストしているためです。 このため、自動分析が複雑になり、これらのサイトをブロックすることが難しくなります。
- 画像ベースのフィッシングメール： Cofenseがこのキャンペーンで確認したメールの多くは画像ベースであり、つまり、従来のメール本文は含まれておらず、代わりにHTML画像が挿入されています。 画像はヘッダー内にノイズを増やす可能性があるため、テキストのみのメールよりも検知が難しい場合があります。
- URLリダイレクト： URLリダイレクトは、メールの分析を妨害するための非常に一般的な手法であり、特に1つのフィッシング攻撃チェーン内に複数のリダイレクトが存在する場合に効果的です。 Cofenseが確認したある事例では、リダイレクトのホストがMicrosoft.comである一方で、Google AMPドメインへもリダイレクトされていました。 これにより、偽りの正当性がさらに一層加わることとなりました。
- Cloudflare CAPTCHA： CAPTCHAの悪用も、分析対策として非常に一般的な手法となっており、Google AMPのフィッシングキャンペーンでも確認されました。 正規のドメインセキュリティサービスでは、最終的な悪意のあるURLに到達する前に、手動での操作が必要となります。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
「フィッシング攻撃においてGoogle AMPのURLが利用されるようになったことは、間違いなく新たな展開であり、攻撃者が常に手口を洗練させる方法を模索していることを改めて裏付けるものです。」
「Google AMPのURLには共通のパスがあり、これをブロックしてしまうと、正当なGoogle AMPのURLもすべて制限されてしまいます。その結果、フィッシングメールからの保護が難しくなってしまいます。」 「これらのドメインをフラグ付けしたり警告を表示したりすることは役立つかもしれませんが、最終的には、最新のフィッシング脅威についてユーザーに周知徹底することが重要になります。」
2。 ハッカーが、Facebookを標的としたフィッシング攻撃において、Salesforceのメールサービスを悪用しています
現在、ハッカーたちは、Salesforceのメールサービス（ （新しいタブで開きます）、、 ）およびSMTPサーバーにおける の脆弱性を悪用し、Facebookアカウントを標的とした高度なフィッシング攻撃を展開しています。
そのメールはMetaから送信されたように見えますが、実際にはSalesforceのメールドメインから送信されています。 その後、研究者たちはSalesforceと協力して、この脆弱性の解決と修正に取り組みました。
キャンペーンの詳細
Guardio Labsは、Salesforceの脆弱性を悪用した、巧妙なFacebookフィッシングの手口を分析しました。 巧妙に作成されたこのフィッシングメールには、標的の氏名が記載されており、Meta Platformsからのメールを装っています。 また、そこには「レビューをリクエスト」と書かれた大きなボタンがあり、これをクリックすると、ユーザーのFacebookアカウント情報を盗み出すことを目的としたフィッシングページに誘導されます。
このフィッシングページは、apps[.]facebook[.]com ドメインを使用し、Facebook アプリプラットフォーム上でゲームとしてホストされています。 これにより、サポートページがあなたのFacebookアカウントの一部であるかのような錯覚を与えます。
Salesforceのメールゲートウェイの活用
Salesforceのメールゲートウェイは、世界中の顧客に大量のメールを送信できるように設計されています。 メールを送信する前に、システムは、メッセージの送信に使用するドメイン名の所有権を確認します。 このドメインは「送信元」フィールドの横に表示され、Salesforceがこのブランド名でメールを送信する権限を持っていることを確認するものです。
メールを送信するには、メールアドレスの認証が必要です。 その指定したメール受信ボックスに送信された確認リンクをクリックすると、Salesforce が送信メールの設定を行う権限が与えられます。 メールアドレスを確認した後、ユーザーは送信メールの入力画面でそのアドレスを選択することができます。
Guardioがメールのヘッダーを詳しく調べたところ、「送信者」アドレス欄のドメインには、「case」というマジックワードを用いて、特定のSalesforceアカウントごとに生成されたサブドメインが含まれていることが判明しました。 Salesforceの「Email-To-Case」機能では、顧客からの受信メールを自動的にSalesforce内の対応可能なチケットに変換するため、宛先はユーザーが管理できます。
Salesforceを活用してブランドオーナーシップを獲得する
検証プロセスをさらに詳しく調査した結果、研究者たちは、salesforce.comの特定のアドレス宛てに送信されたメールを受信し、Salesforceのチケットシステムを使用してその内容にアクセスすることが可能であることを発見しました。
これを再現するため、Guardioはまず「Email-To-Case」フローを作成しました。これにより、Salesforceのメールアドレスのユーザー名部分を完全に制御できるようになりました。 彼らはユーザー名として「Salesforce」を選択したため、悪用可能なメールアドレスは次のようになりました：salesforce@{account_id_hash}.case.salesforce[.]com。
彼らは今、フィッシング詐欺で実際に見かけたものと同じようなメールアドレスの手に入れました。 その後、このメールアドレスを「組織全体のメールアドレス」として認証し、Salesforce Mass Mailer Gateway が公式の送信フローでこのアドレスを使用するように設定しました。
メールを確認した後、新しく生成されたSalesforceのアドレスを使用して、組織全体の新しいメールアドレスを作成しました。 これにより、検証フローが起動し、ルーティング先アドレスにメールが送信され、最終的にシステム内で新しいタスクとして登録されました。 ここから、攻撃者はsalesforce.comの送信者名を装ったさまざまなフィッシング手口を仕掛けることができます。 これらのメッセージは、Salesforceから送信されているため、標的とされた被害者の受信トレイに届く可能性が高くなります。
Facebookアプリのドメインの悪用
Guardioは、Facebookアプリのドメインの悪用も確認しました。 2020年7月の時点で、Facebookのエコシステム内では、アプリIDを使用して従来のゲームキャンバスを作成する方法はなくなりました。 しかし、このキャンペーンには、依然としてそのような力があるようでした。
Metaによると、この非推奨化以前に開発されたレガシーゲームに対するサポートを維持することは依然として可能であり、そのため、こうしたゲームは脅威アクターにとって魅力的な標的となっているとのことです。 GuardioはMetaに連絡を取り、Metaは現在、導入済みの検知および対策が機能しなかった理由について、根本原因の分析を行っています。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
「このキャンペーンにはFacebookへの正規のリンクが含まれており、Salesforceのメールアドレスから送信されているため、研究者たちが、この手口が従来のフィッシング対策ソリューションの一部をすり抜けてしまっているのを確認しているのも不思議ではありません。」
Guardioは、こうした懸念を非常に的確に要約しています：
この継続的な戦いにおいて懸念される点は、CRMやマーケティングプラットフォーム、クラウドベースのワークスペースなど、一見正当に見えるサービスが悪用され、悪意のある活動が行われていることです。 これは重大なセキュリティ上の脆弱性を示しており、脅威アクターが用いる進化し続ける高度な手口に対し、従来の方法では対応しきれないことが多々あります。
3。 ロシアのハッカー「BlueCharlie」は、情報漏洩を受けてインフラを改変しました
Recorded Futureは、ロシアと関連のある脅威アクターである 、BlueCharlie （新しいタブで開きます） を、ここ数ヶ月の間に新たに確認された約100 のドメインと関連付けました。
同グループは、 において、その活動に関する情報が公開されたこと（ （新しいタブで開きます） ）を受け、インフラの改変を積極的に進めています。 最近の作戦で見られるTTPの多くは、同組織のこれまでの活動とは異なっており、その活動が進化していることを示唆しています。
BlueCharlieとは何ですか？
BlueCharlieは、ロシアと関連があるとされる脅威アクターであり、Callisto、Star Blizzard、COLDRIVER、TAG-53、そして以前はSeaborgiumなど、さまざまな名称で知られています。 同組織は、さらなるスパイ活動やハッキングによる情報流出作戦を行うために、情報収集活動を行っています。
BlueCharlieは、継続的なフィッシングや認証情報の窃取キャンペーンを展開しており、侵入に先立って偵察を行う際、オープンソースを活用する傾向があります。 ある事例では、攻撃者はソーシャルメディアの各プラットフォームに偽のプロフィールを作成し、標的となった組織に対する情報収集を行っていました。
このグループは、その認証情報収集インフラが公に報じられたことを受け、TTPを変更したようです。
ドメイン名の構成
BlueCharlieは最近、ドメイン名に含まれる特定の単語の使用方法を新しいパターンに変更しました。 以前のドメイン名は、ハイフンで区切られた2つの語から構成されていました。 その一例として、cloud-safety[.]online が挙げられます。 この過去の活動では、フィッシング攻撃にトレーリングURL構造が利用されていましたが、Recorded Futureは最近の活動において、そのような構造をまだ確認していません。
Recorded Futureが特定した 94 のドメインすべてにおいて、新しい命名規則は一貫しており、類似しています。 これらの新しいドメインは、情報技術や仮想通貨を中心としたテーマに関連しており、cloudrootstorage[.]com、directexpressgateway[.]com、storagecryptogate[.]com、pdfsecxcloudroute[.]comといった名称が付けられています。
BlueCharlieのレジストラ
BlueCharlieが利用しているレジストラも変更されました。 以前、BlueCharlieが利用していたドメイン登録業者のうち、PorkBunが 50％以上を占めていました。 現在の状況では、当グループはNameCheapというレジストラを圧倒的に支持しています。
自律システム
Recorded Futureは、過去および現在の活動において、BlueCharlieのIPアドレスが最も頻繁に確認されたASNを特定しました。 これまでの業界レポートによると、Stark Industries、MIRhosting、およびPQ Hostingは関連しており、悪意のあるコンテンツのホスティングや攻撃インフラとして頻繁に利用されていることが示唆されています。
X.509 TLS 証明書
以前、特定されたBlueCharlieのドメインには、Let’s Encryptによる対応するX.509 TLS証明書がホストされていることが判明しました。 このグループは、直近の活動においても、ほぼ完全にLet’s Encryptの証明書に依存し続けています。 このルールには、ZeroSSL認証局を利用していたドメイン「bittechllc[.]net」という1つの例外がありました。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
「前回、BlueCharlieのインフラが公に暴露された際、彼らは新たなTTPと新たなインフラへと移行しました。」 こうした点を踏まえると、Recorded Futureによる公開報告が、今回も同様の反応を引き起こす可能性は十分にあります。 「このグループはフィッシングという本来の活動に固執しており、トレーニングと意識向上の重要性を改めて私たちに思い知らせています。」
これらの記事について、何かご意見やご感想など、共有したいことはありますか？ の Tanium ディスカッションフォーラムにアクセスして、会話を始めてみてください。
さらに詳しくお読みになりたい方は、当社の最新の「」サイバー脅威インテリジェンスまとめをご覧ください。
