今週は、マルウェアスキャンプラットフォーム「VirusTotal」に提出されるGeaconのペイロード数が最近増加していることを明らかにした、Sentinel Oneのレポートを取り上げます。 次に、昨年マイクロソフトがインターネット由来の文書においてマクロをデフォルトで無効化するという決定を下したこと、およびそれがサイバー脅威の状況に与えた影響について、Proofpointのレポートの概要をご紹介します。 最後に、CTIでは、サイバー犯罪者がMicrosoft VSCode Marketplaceを標的にしている実態について、Check Pointが発表した新しいレポートを取り上げます。 3つの悪意のあるVisual Studio拡張機能がマーケットプレイスにアップロードされたと報じられており、本記事の公開時点で、Windows開発者によって 46,600 回ダウンロードされていました。
1. ハッカーたちは、Cobalt StrikeのGolang版を利用してmacOSシステムを標的にしています
SentinelOneは、ここ数ヶ月、VirusTotal上に のGeacon （新しいタブで開きます） のペイロードが掲載される件数が増加していることを確認しました。
組織では、レッドチーム活動において、Cobalt Strikeと並んで、Geacon（Cobalt StrikeのGo言語実装版）を一般的に使用しています。 調べてみると、攻撃者たちも攻撃の際にGeaconを利用していることがわかりました。
Geaconに関する背景情報を以下にご紹介します：
- Geaconは、数年前にGitHub上で、Cobalt Strike BeaconのGo版として初めて公開されました。 SentinelOneは、このマルウェアが以前から存在していたものの、macOSのターゲットへの展開が確認されたのはごく最近のことでした。
- SentinelOneはVirusTotal上でGeaconのペイロードを分析したところ、匿名の中国人開発者によって開発された2つのGeaconフォークの人気が上昇傾向にあることが確認されました。
- Geaconの開発者は「 z3ratu1 」というハンドルネームを使用しており、2022年10月 年の後半に、「ある日、買い物に出かけた際にこのGeaconというプロジェクトを目にしたのがきっかけで、この遊び心のあるプロジェクトとその開発ガイドが生まれたのです」と述べています。 開発者の投稿の直後、最初のGeaconペイロードがVirusTotalに提出されました。
- 2023年4月 による、パブリックな geacon_plus とプライベートな（そしておそらく販売される可能性のある？） geacon_proのプロジェクト（いずれも同一人物によって開発されたもの）は、 1,000 個近くのスターを獲得していました。 また、これらのプロジェクトは、オープンソースのレッドチームおよび侵入テストツールの公開リポジトリである「 404 Starlink」プロジェクトにも追加されました。 この同じ時期に、2つの異なるGeaconのペイロードがVirusTotalに提出され、それがきっかけとなってSentinelOneによる調査が開始されました。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
「SentinelOneの観測結果の一部は、正当なレッドチーム活動や侵入テストの一環である可能性が高い一方で、脅威アクターが、悪意のある攻撃の一環としてこのツールを悪用している可能性も同様に高いと言えます。」
「コバルト・ストライクがサイバー脅威アクターの間でどれほど人気があるかはすでに明らかですが、VirusTotalにアップロードされるGeaconのサンプル数が増加していることを踏まえると、Geaconが脅威アクターにとって次なる定番ツールとなるのではないかと思わずにはいられません。」
2。 サイバー犯罪者は、マイクロソフトのマクロブロック機能に対応しています
Proofpointの報告によると、Microsoftの 2022年2月 が、インターネットから取得した文書においてマクロをデフォルトで無効化するという決定 （新しいタブで開きます） を行ったことで、サイバー犯罪者たちはこれまでとは大きく異なる攻撃チェーンを開発せざるを得なくなったとのことです。
マイクロソフトは、 2021年10月 および2022年2月 のユーザーに対し、デフォルトでXL4 およびVBAマクロのブロックを開始すると発表しました。 この変更はバージョン 2022から順次導入され始めました。
Proofpointのレポートの冒頭部分では、Microsoftがマクロをデフォルトでブロックするという決定が、どれほど大きな影響を与えたかを的確に説明しています：
「サイバー犯罪のエコシステムでは、この1年間で、脅威の研究者たちがこれまでに見たことのないような、活動や脅威の挙動において劇的な変化が見られました。」 「金銭を目的とする脅威アクターは、電子メールを介して初期アクセス権を取得する際、もはや固定的で予測可能な攻撃チェーンを用いるのではなく、動的で急速に変化する手法を採用しています。」
このソフトウェア大手企業の動きにより、小規模な犯罪を専門とするコモディティ型アクターから、最も経験豊富なサイバー犯罪者に至るまで、サイバー脅威アクターの「食物連鎖」を構成するほぼすべてのノードが、その活動手法を大幅に変更せざるを得なくなりました。
報告書の主な調査結果
Proofpointは、自社のテレメトリデータに対する独自の視点と、1日あたり数十億件ものメッセージを分析する能力を活かし、サイバー脅威の状況に関する重要な知見を導き出す上で、他に類を見ない強みを持っています。
その調査結果の中には、次のようなものがあります：
- 現在、主要なサイバー犯罪の加害者たちは、ますます多様な戦術、手法、手順を用いています。
- 初期アクセスブローカーやその他の脅威アクターは、さまざまな手法を用いる際、しばしば「先導者に追随する」傾向があります。
- セキュリティ担当者は、研究者たちがこれまで観察したことのないような方法で、刻々と変化する脅威の状況に迅速に対応しなければなりません。
- 一部の主要なサイバー犯罪組織には、新しく複雑な攻撃チェーンを研究・開発するためのリソースが備わっています。
変化が始まります
2022以前、 マクロは、 フィッシングメールキャンペーン（ ） において、標的となったシステムへの初期アクセス型マルウェアのペイロードのダウンロードを容易にするよう設計された悪意のあるスクリプトを用いて、おとり文書を攻撃手段として悪用しようとするサイバー犯罪者にとって、主要な攻撃手段となっていました。
Proofpointより：
VBAマクロは、ユーザーがOfficeアプリケーションでマクロを明示的に有効にした際に、脅威アクターによって悪意のあるコンテンツを自動的に実行するために利用されます。 XL4 のマクロはExcelアプリケーション固有のものですが、脅威アクターによって悪用される可能性もあります。 通常、マクロが有効化された文書を配布する攻撃者は、ソーシャルエンジニアリングを用いて、受信者にその内容が重要であり、閲覧するにはマクロを有効にする必要があると信じ込ませようとします。
マイクロソフトがマクロブロックポリシーを導入して以来、Proofpointのレポートでは、脅威アクターがマクロの使用から離れ始め、さまざまな新たな手法を取り入れつつあることが繰り返し指摘されてきました。
そのような手法には、次のようなものがありました：
- ISOファイルなどのアーカイブファイルを利用して、マルウェアを配布すること。 この手法は、マイクロソフトがインターネットからダウンロードされた文書内のマクロをブロックするために用いていた「マーク・オブ・ザ・ウェブ（MOTW）」属性のチェックを回避しようとするサイバー犯罪者たちによって悪用されました。
- ショートカットやLNKファイルの利用も、少なくとも当初は、幅広いサイバー犯罪者たちによって好まれる手法となっていました。 この戦術は、IABに分類されるさまざまな関係者たちの間で特に人気がありました。 Proofpointより：
「Proofpointは、IABと見なされる少なくとも8つの大規模なサイバー犯罪グループがLNK添付ファイルを使用していることを確認しました。その使用は、各グループが新たなTTPへと移行し始める前の6月と 2022年9月 にピークを迎えました。」
- XLLファイル――Excelの機能を拡張するために設計されたダイナミックリンクライブラリ（DLL）ファイルの一種――も、大規模なサイバー犯罪グループの間で利用され始めました。 最終的に、Proofpointは「マルウェアの配信においてXLLファイルを試行している大規模なサイバー犯罪グループを少なくとも6つ、および身元不明の脅威グループを複数確認しましたが、XLLファイルの使用頻度は他のファイル形式に比べて著しく低く、脅威情勢全体を通じてその使用に目立った増加は見られていません」と述べています。
- また、Proofpointが観測したキャンペーンデータにおいても、 2022以降、HTMLの密輸が大幅に増加しています。 その名の通り、この手法では、一見無害に見えるHTML添付ファイルの中に、暗号化されたスクリプトを「潜り込ませる」ものです。 ファイルが開かれると、ユーザーのウェブブラウザは、被害者のコンピュータ上でマルウェアのペイロードを組み立てることを目的とした悪意のあるスクリプトをデコードします。
- Proofpointが脅威アクターの追跡を開始して以来、さまざまな脅威アクターによるPDFファイルの利用は、よく使われる手法となっています。 マイクロソフトがマクロブロックポリシーを導入した後、Proofpointの研究者らは、追跡対象となっている複数の脅威アクターや既知のIAB（悪意のあるアクターグループ）によるPDF添付ファイルの利用がますます増加していることを確認しました。
IABの台頭
おそらく、ここ数年間で起きた最も重要な変化の一つ――そして間違いなくマイクロソフトの方針の影響を受けたものの一つ――は、主要なサイバー犯罪者やランサムウェア集団、その他のマルウェア組織による、初期アクセスブローカー（IAB）への依存度の高まりです。
脅威アクターが、高価値な標的への侵入を専門とする独立したサイバー犯罪者グループからアクセス権を購入し、その貴重なアクセス権をランサムウェアやその他の恐喝犯に売却して利益を得ることは、よくあることです。
Proofpointより：
一般的に、IABは日和見的な脅威アクターであり、例えばフォーラムなどでアクセス権の販売を広告するなどして、事後にアフィリエイトやその他のサイバー犯罪の脅威アクターにアクセス権を提供しています。 本レポートにおいて、Proofpointは、IABを、第1段階のマルウェアペイロードを介して初期アクセスを獲得し、ランサムウェアの脅威アクターと直接連携する場合もあれば、そうでない場合もあるグループと定義しています。 これらの犯罪者グループは、Qbot、IcedID、Bumblebeeといった第一段階のマルウェアを用いて被害組織への侵入に成功した後、そのアクセス権をランサムウェア運営者に販売し、データ窃取や暗号化攻撃を実行させています。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
「防御策が進化し、より強固になっていくにつれ、CTIは、脅威アクターが今後も新たな手法やマルウェアの配布方法を試行し続けると予想しています。」
プルーフポイントも同様の見解を示しています：
追跡対象となっている脅威アクター、特にIABによる、新たなペイロード配信手法の実験や定期的な方向転換は、 2022 以前に観察された攻撃チェーンとは大きく異なり、脅威活動の新たな常態の到来を告げるものです。 経験豊富なサイバー犯罪者たちは、もはや1つや数つの手法に頼るのではなく、頻繁に新しいTTPを開発・改良しています。 多くの脅威アクターにおける変化のスピードの速さは、彼らが新しい手法を迅速に開発・実行するための時間、能力、そして脅威情勢に対する理解を備えていることを示唆しています。
「今日のサイバー犯罪者による新手法の採用ペースがますます加速していることは、それらから防御するために最善を尽くしているセキュリティ専門家にとって、さまざまな影響を及ぼしています。」 CTIは、サイバー脅威の動向から浮かび上がる最新のトレンドを常に把握し、関係各社と適切に情報を共有できるよう、今後も最善を尽くしてまいります。」
3。 VSCode Marketplaceの悪意のある拡張機能が、パスワードを盗み出し、リモートシェルを開く
チェック・ポイントのアナリストによる新たなレポートによると、サイバー犯罪者たちが のMicrosoft VSCode Marketplaceを標的にし始めたことが明らかになりました。 （新しいタブで開きます）
3つの悪意のあるVisual Studio拡張機能がマーケットプレイスにアップロードされたと報じられており、本記事の公開時点で、Windows開発者によって 46,600 回ダウンロードされていました。
Visual Studio Code マーケットプレイスについて
Visual Studio Code は、Microsoft が提供する人気の無料ソースコードエディタであり、多種多様なプログラミング言語、フレームワーク、ツールに対応し、効率的でカスタマイズ可能なコーディング環境を求める Windows 開発者に利用されています。
また、マイクロソフトは「VSCode Extensions Marketplace」も提供しており、チェック・ポイントはこれを「開発者がコーディング体験を向上させるための新しい拡張機能を見つけ、インストールできる中心的なハブ」と説明しています。 マーケットプレイスには、マイクロソフト公式の拡張機能や、コミュニティによって開発されたサードパーティ製の拡張機能が収録されており、現在その数は約 50,000個となっています。
これらのVSCode拡張機能は、開発者がエディタの機能を強化するためにインストールするよう設計されたアドオンです。 新しい機能を追加したり、新しいプログラミング言語のサポートを容易にしたり、外部のツールやリソースと連携させたりすることができます。
一方、悪意のある拡張機能は、さまざまな形でユーザーに重大なセキュリティリスクをもたらします。
悪意のある拡張機能
悪意のあるVSCode拡張機能は、マルウェアをインストールしたり、ユーザーデータを盗み出したり、その他の有害な動作を行ったりする可能性があります。 チェック・ポイント社によると、これらのVisual Studio拡張機能に含まれていたマルウェアにより、攻撃者はユーザーの個人を特定できる情報（PII）を盗み出し、被害者のデバイスにリモートシェルをインストールすることが可能になっていたとのことです。
これらの拡張機能は 2023年5月4日で発見・報告され、 5月14日でマーケットプレイスから削除されました。 その中には、「Theme Dracula Dark」、「python-vscode」、「prettiest java」などが含まれていました。
チェック・ポイント社も、複数の不審な拡張機能（悪意のあるものだと高い確度で断定することはできませんが、安全ではない動作が見られるもの）を発見したと報じられていますが、マイクロソフト社は、VSCode Extensions Marketplace （新しいタブで開きます） において、を含むいくつかのセキュリティ対策を講じており、その取り組みは称賛に値します。 これには、マーケットプレイスから悪意のある拡張機能を検出して削除する自動スキャンツールの導入や、悪意のある拡張機能の特定や報告を支援するためのユーザーレビューや評価機能の導入が含まれます。
チェック・ポイントは、これら3つの悪意のある拡張機能が発見されるまでは、後に有害であると検出された悪意のある拡張機能がマーケットプレイスに公開された事例は、事実上なかったと主張しています。 しかし、チェック・ポイントは、同社のアナリストが発見した悪意のある拡張機能が新しいものではないという点も、特に強調しています。 そのほとんどは、1年以上前のものです。 したがって、どのような種類のチェックや検証が行われていたとしても、オープンソースコンポーネントの公開や利用には、常にある程度のリスクが伴います。
ソフトウェアリポジトリとサプライチェーンのリスク
オープンソースのコンポーネントには、常に一定のリスクが伴います。 ユーザーの貢献を受け付けるソフトウェアリポジトリについても、同様です。 例えば、NPMや 、PyPIといったリポジトリは、サイバー脅威の攻撃者にとってますます魅力的な標的となっていることから、 に示されているように、固有のリスクを伴うことが繰り返し証明されています。
VSCode Marketplaceがサイバー犯罪者の標的となっているリポジトリのリストに加わったことは、一部の人にとっては驚きかもしれませんが、BleepingComputerは、「AquaSecが1月に、VSCode Marketplaceに悪意のある拡張機能をアップロードするのは比較的容易であることを実証し、非常に不審な事例をいくつか提示しました」と指摘しています。 しかし、マルウェアは一切見つかりませんでした。」
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
「ソフトウェアのサプライチェーン攻撃が頻発し、その影響も深刻化する中、開発者が日々の業務を行う上で依存しているあらゆるソフトウェアコンポーネントを、これまで以上に慎重に精査することが重要となっています。」
「オープンソースのソフトウェアパッケージが安全であるという保証は、決してありません。」 「それらを収蔵している保管庫についても同様です。」
これらのストーリーについて、何かご意見やご感想など、お聞かせいただけませんか？ または Tanium のディスカッションフォーラム にアクセスして、会話を始めてみてください。
さらに詳しくお読みになりたい方は、当社の最新の「」サイバー脅威インテリジェンスまとめをご覧ください。
