今週のレポートで最初に取り上げるのは、Forresterの調査会社による調査で、サプライチェーンのリスク増大に直面する準備が整っている組織を取り上げています。 続いて、中国のEarth Preta APT（別名Mustang Panda）に起因する最近のサイバースパイキャンペーンを詳しく調査します。この攻撃では、脅威がGoogle ドライブとDropboxアカウントに保存されているカスタムマルウェアを主にアジアの政府、研究、学術機関に配信していることが観察されました。 また、忙しいホリデーのショッピングシーズンの前にいくつかの大手小売ブランドを説得力をもって模倣している新しく高度に洗練されたフィッシングキットをタイムリーに見ることができます。
1. 組織はサプライチェーンの脅威を認識しているにもかかわらず、専門家はサードパーティのリスク管理の取り組みは嗅ぎつけられるものではないと示唆しています
Forresterは、調査ベースの調査を通じて、COVID-19のパンデミックを受けて サプライチェーンを強化し合理化 するよう業界の専門家から要請されたにもかかわらず、企業は引き続きサードパーティのサービスへの依存度を高めていると報告しています。
このパラダイムの原動力が、生産性の最適化、競争力の維持、ビジネスのアジリティ性の向上といった組織の願いであろうと、重要なのは、特に成熟したサードパーティリスク管理プログラム 企業 がない場合、サードパーティへの依存度を高める には、相 応のレベルサイバーリスク が伴うことです。
回答者は、サードパーティの製品およびサービスに関連するビジネス上のメリットを高く評価しましたが、サードパーティに関連するリスクを常に高く評価しているわけではありません。 これらの同じ回答者は、サードパーティのリスク管理プログラムを 十分なレベルに 進めるために、まだかなりの量の作業が必要であることを認め ています。
専門家は 、許容できる程度のプログラム成熟度は、技術的に高度であること、アジリティ性、 堅牢性がバランスよく組み合わさった結果であることに同意 しているようです。
Findings Forresterの調査結果
- データを使用したより良い意思決定は、 72%の回答者にとってビジネス上の優先事項です。
- 71%が、デジタルビジネスプロセスの採用を最優先すると回答しました。
- 69%の回答者にとって、ビジネスや市場の変化に対する組織の対応の改善 が 最 優先事項でした。
- 調査までの1年間で、 40%の回答者はサプライチェーンに関連する リスクレベルが大幅に増加したと推定し、 38%の回答者はサードパーティへの依存度が高まったことで高いリスクレベルを非難しています。
Taniumのサイバー脅威インテリジェンスチームからのアナリストコメント
Forresterの調査結果は、それ自体を物語っています。 請負業者のシステム内の脆弱性の悪用 、サードパーティベンダのサプライチェーン侵害の結果であると判断されたか、開発者が毎日利用しているリポジトリに保管されている正当なユーティリティに隠されたコードパッケージやライブラリの兵器化に何らかの形でリンクしたプロファイルを集める侵害の例をトラックロードで見つけるのに、遠くを見る必要はありません。 As an example, consider the recent discovery of dozens of PyPI packages delivering W4SP info-stealing malware.”
2。 中国のハッカーがGoogle ドライブを使用してプライベートネットワークにマルウェアをドロップ
最近のTrend Micro レポートでは、大規模な スケール スピアフィッシングキャンペーン について詳述しています。このキャンペーンでは、国家が支援する中国人ハッカーがGoogle ドライブまたはDropboxアカウントに保存された カスタムマルウェアをスパイ目的で世界中の政府、研究、学術機関に配信している様子が観察されました。
この攻撃は、3月からまでに発生したと報告されており 2022年10月、Trend MicroによってEarth Pretaとして追跡されたサイバースパイグループとリンクされています。これは、一般的にはMustang Panda（別名Bronze President、または TA416）として知られています。 この脅威は、バチカンの政府機関、シンクタンク、NGO、カトリック系組織など、少なくとも 2012社から世界中の組織を対象にしています。
Earth Pretaは、多くの中国系APT攻撃と同様に、独自のカスタムマルウェアを開発し、PlugXやCobalt Strikeなどの既存のツールと組み合わせてDeployすることが知られているサイバースパイグループです。 Earth Pretaは、その兵器を更新するための継続的な努力で評判を得ており、グループの最近の活動はそのアセスメントを支持しているようです。
最初の感染後、対象ネットワークからEarth Pretaによって流出された機密文書は、グループの次の侵入の波中に最初の侵入を得るのに役立ちます。 このような手法は、対象地域の攻撃対象領域を大きく拡大しながら、Earth Pretaのサイバースパイキャンペーン範囲を大幅に拡大するという複合的な効果があります。
アース・プレタの最近の目標に基づくと、アジア諸国がグループの現在の重点分野であるように見えます。 Trend Microの研究者は、最近のキャンペーンで、脅威グループは主にオーストラリア、日本、台湾、ミャンマー、フィリピンの組織を対象にしていると報告しています。
このアセスメントは、 台湾政府、 香港の活動家、 モンゴルとチベット のNGO、 ミャンマー 、さらに はアフガニ スタンと インド の通信企業を、アース・プレタの目覚ましい犠牲者を対象にした対象としてリストしたCisco Talosの報告に沿ったものです。
Earth Pretaキャンペーンの詳細
トレンドマイクロは、上記の広範なスピアフィッシングキャンペーン中に、Earth Pretaが偽Googleアカウントを悪用してスピアフィッシングメールを介してマルウェアを配布し、当初はアーカイブファイル(.rar、.zip、.jarなどの拡張機能）に保存され、Google ドライブリンクを介して配布されたことを報告しています。 ハッカーは主に政府と法律組織に焦点を当てており、現在までのキャンペーンの犠牲者の 84%を占めています。
Earth Pretaは、コード難読化やカスタム例外ハンドラの使用など 分析 、検知回避と分析防止をサポートするさまざまな技術を使用しても観察されました。 これらの手法は、Google ドライブまたはDropboxフォルダを指す埋め込みリンクと組み合わせて活用されました。 どちらも、多くの民間および公的組織が日常業務をサポートするために使用する正当な信頼できるプラットフォームであり、その評判は攻撃者の意図する結果を達成するのに役立ちます。悪意のあるトラフィックを無害に見せることです。
Taniumのサイバー脅威インテリジェンスチームからのアナリストコメント
「アースプレタは十分なリソースがあり、北京の多くの国が支援するハッカーが好む共有ツールへのアクセスと、継続的に武器をアップグレードし、独自のカスタムマルウェアを作成する能力と労働力があります。 グループの分析防止と防御回避の手法は、運用セキュリティ(OPSEC)に重点を置いていることを示しています。 1つのスピアフィッシングキャンペーンで少なくとも3つの異なるマルウェア配信ベクトルをEarth Pretaが使用したことについても、ある程度同じことが言えます。 注意して続行します。」
3。 フィッシングキットは有名ブランドになりすまして、休暇中に米国の買い物客を対象にしている
Akamaiによる最近のセキュリティ調査では、ホリデーシーズンの前にいくつかの有名大手小売ブランドを模倣した、 新しく高度に洗練されたフィッシングキット が明らかになりました。
このキットは、ソーシャルエンジニアリング、複数の検知回避技術、攻撃者がアクセス制御セキュリティ対策をバイパスできるようにする機能を組み合わせて使用します。
キャンペーンの概要
Akamaiは、オンラインの買い物客を罠にかけた中頃から現在も続いているフィッシングキャンペーンを発見 しました。このキャンペーンは、休暇の特別特典を利用しようとしていました。2022年9月 2022年10月 このキャンペーンは、被害者に賞品を獲得するチャンスをつかみ、「出荷コストをカバーする」ためのクレジットカードの詳細を要求しました。
キャンペーンのタイミングは、労働者の日とハロウィンをめぐる一般的なプロモーション用オンライン小売店に合わせて設計されており、合法性の感覚を高め、今年のアメリカ人を掴む傾向のある商業的な熱意を活用します。 あるいは、皮肉なことに、このキャンペーンは、ホリデー精神に身を投じ、正当な小売マーケティングの策略を模倣することで、ユーザーを利用します。 フィッシングメール は、以下のサンプルでご覧のように、正規のブランディングの充当に関して洗練されています。
ソーシャルエンジニアリングのテクニック
このキャンペーンで使用されるフィッシングメールは、幅広いブランドを模倣しています。 多くのEメールの類似点の1つは、Natalie Hamiltonという偽ユーザでした。 このユーザは複数の詐欺に利用され、賞品のレビューコメントを残して、賞品が本物であるように見えました。 この手法は、ユーザとの信頼関係を確立するために使用され、そのいくつかの例を以下に示します。
キャンペーンインフラストラクチャ
Akamaiは、フィッシングメールの被害者に配信された最初のリンクから、ネストされたリダイレクトチェーンを特定することができました。 このリンクは最終的に被害者を詐欺の最終ランディングページにリダイレクトします。 ネストされたリダイレクトチェーンの使用は、Akamaiの研究者がキャンペーンを「高度に洗練」と特徴づけるきっかけになりました。
検知回避技術
このキャンペーンでは、検知を回避しようとするいくつかの異なる手法を活用します。
URL短縮ツールの悪用：BitlyなどのURL短縮サービスは、ソーシャルメディアプラットフォームでの遍在的な使用のために非常に正常化しており、多くの消費者は短縮URLをクリックしたときに2回考えなくなりました。 これはまさに、このフィッシングキットが利用して悪用することを目的とするものです。 この脅威は、不正な送信先を指し示す投稿を作成するための偽のLinkedInプロファイルを作成し、最初のフィッシングメールに登場する短縮URLを割り当てました。
正当なWebサービスの評判の悪用：脅威は、正当なサービスプロバイダを使用して悪意のあるリダイレクト機能をホストします。 Googleクラウドストレージ、AWSホスティングサービス、Azure blobストレージなどのサービスを使用することで、脅威は、ユーザがこれらのサービスの評判を見るための信頼関係を活用しています。 これにより、適用されているフィッシング対策メカニズムをバイパスする可能性が高まります。
URLフラグメント識別子のリダイレクト：URLフラグメント識別子は、ページまたはウェブサイト上の特定の場所にブラウザを指し示すURIリンクのハッシュマークです。 この手法は、より良いユーザエクスペリエンスを生み出すために目次でよく使用されます。 ただし、フィッシングキャンペーンの文脈では、セキュリティ製品でスキャンするとハッシュが無視されたり、見落とされたりすることがあります。 このキャンペーンでは、被害者に送信された元のリンクにハッシュマークとトークンが含まれています。 トークンは、後でJavaScriptによって、被害者がリダイレクトされるURIを再構築するために使用されます。 トークンを使用することで、攻撃者は被害者を追跡し、潜在的被害者の関与に関する統計情報を探すこともできます。
ランダムに生成されたURL：このキャンペーンの注目すべき部分は、特別に設計されたリダイレクト、ランディングページ、フィッシングサイトへの不要な訪問者フィルタしようとする試みです。 これを行うには、特定のユーザに紐付けられ、リダイレクトチェーンの一部として含まれるランダムURLを生成します。 フィッシングWebサイトに着陸した後、割り当てられた各URLは特定のユーザのみが使用でき、検知率が低下します。
CDNのパワー：悪用されたWebホスティングサービスの場合と同様に、詐欺のランディングページはドメイン登録など、CDNベンダが提供するサービスの一部を使用します。 脅威は、迅速かつ簡単なドメイン登録を使用してインスタンスをスピンアップし、インフラストラクチャを停止することなくフィッシングドメイン名をローテーションします。 また、CDNに関連付けられているIPアドレスをローテーションすることで、IPアドレスに基づいてアクティビティをブロックする可能性を排除します。
地理的対象設定：着陸ウェブサイトは被害者の地理的位置に基づいて変化し、地理的な場所によってはまったく禁止されていないように見えます。 Akamaiによって追跡されたキャンペーンは、主に米国在住の被害者を対象としており、観察された被害者の 89%は米国またはカナダのいずれかでした。 同じ初期フィッシングリンクは、キャンペーンの有効性と洗練性をさらに強調する地理的なカスタマイズを伴うさまざまなウェブサイトにつながります。
Taniumのサイバー脅威インテリジェンスチームからのアナリストコメント
Akamaiが観察したキャンペーンは、ホリデーシーズンに消費者を余計に活用する脅威の歴史的なTrendsに沿っています。 このキャンペーンは、ホリデーシーズンに入る中で、この種の活動のほんの始まりに過ぎません。 このストーリーは、このホリデーシーズンに誰もが自分の足に留まるよう促すリマインダーです。 休日のプロモーション用Eメール、Eカード、オンライン注文確認、発送追跡Eメールなどを開く際は特に注意してください。 常に注意を払い、小売店からの予想外/自発的な通信に注意を払ってください。
詳細は、最近の サイバー脅威インテリジェンスのまとめをご覧ください。
