今週のまとめのトップを飾るのは、CTIによるSpecops社の「 2023 Weak Password Report」の概要です。このレポートは、何よりもまず、既知の漏洩パスワードリストと照合して候補となるパスワードをスクリーニングする「漏洩パスワードチェック」の必要性を示しています。
続いて、CTIは、北朝鮮との関連が指摘されている新たに特定されたハッキンググループ（APT43）に注目しています。マンディアント社は、このグループを、北朝鮮政府の目標と自らの活動目標を一致させている、国家の支援を受けた高度なサイバー諜報グループであると見なしています。
最後に、CTIは、Telegram上で配布されている新しい「AlienFox」ツールキットについて取り上げ、この件を締めくくります。このツールキットは、クラウドにおけるサイバー犯罪活動の進化を浮き彫りにするだけでなく、APIキーから認証情報を収集したり、クラウドベースのメールサービスから認証秘密情報を収集したりするために利用されています。
エンドユーザーのパスワードに関するミスが、組織を危険にさらしています
Specops has released its 2023 Weak Password Report (opens in a new tab), which contains an analysis of over 800 million breached passwords.
このレポートでは、企業をしばしば危険にさらす不適切なパスワード管理の実態について詳しく解説し、なぜパスワードが依然としてネットワークにおける最も脆弱な部分の一つであるのかについて考察しています。
Specopsレポートの主な調査結果
- Specops analyzed over 800 million compromised passwords and tested them against five regulatory standards including NIST, HITRUST for HIPAA, PCI, ICO for GDPR, and Cyber Essentials for NCSC. 同社の調査によると、漏洩したパスワードの83％ (新しいタブで開きます) は、依然としてこれらの規格が定めるパスワードの複雑性および長さの要件を満たしていることが判明しました。
- Specops looked at passwords used to attack RDP ports in real attacks and analyzed a subset of 4.6 million passwords. 攻撃で使用されたパスワードのうち、 88％以上が 12 文字以下であり、最も多かった文字数は8 文字でした。 小文字のみで構成されたパスワードが、最も多く見られた文字の組み合わせでした。
- のパスワードで、ネットワークへの攻撃に使用される最も一般的な3つの基本用語は、 （新しいタブで開きます） にある通り、「password」、「admin」、「welcome」です。
- Specops uncovered several themes and patterns during their analysis of 800 million+ compromised passwords. パスワードを作成する際、人々は世界的な出来事や身の回りの状況などからヒントを得ることが多いようです。 これは、ハッカーたちが認識している傾向であり、標的を定めた際に意図的に利用しようとするものです。
- サッカーは世界中で通用する普遍的な言語ですが、研究者たちは、パスワードの世界においてもそれが当てはまることが判明しました。 「 2022 ワールドカップ」というキーワードをきっかけに、研究者たちは、流出したパスワードデータベースの中から、ワールドカップに関連するいくつかの用語を発見しました。 「サッカー」は、関連用語リストで実際に 140k 件以上を記録して首位となっており、「フットボール」が2位となっています。 研究者たちは、ワールドカップに関連するパスワードのランキング上位に、多くの現役および元選手の名が挙がっていることを突き止めました。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
「不適切なパスワード管理が、ご自身や組織をサイバー攻撃の標的にしてしまう可能性があることは、周知の事実です。 以前の のパスワードマネージャーに関するレポート （新しいタブで開きます） によると、アメリカ人の 41％がパスワードの管理に記憶に頼っており、これは彼らが覚えやすい単純なパスワードや繰り返し使えるパスワードを使用している可能性が高いことを示しています。
「パスワードの長さや複雑さだけでは不十分です。サイバーセキュリティの基準を定めているコンプライアンス規制（NISTなど）は数多くあり、その中には組織のパスワードポリシーも含まれています。」 「こうした規制の多くは、パスワードポリシーの策定において、文字数や複雑さに関する要件を重視していますが、今日の攻撃がますます巧妙化していることを考えると、それだけでは不十分な場合が多いのです。」
「Specops社の調査結果によると、漏洩したパスワードの 83％が、規制基準のパスワードの複雑さや長さに関する要件の多くを依然として満たしていたことが明らかになっており、これは長さや複雑さだけでは不十分であることを明確に示しています。」 つまり、規制基準を満たす長くて複雑なパスワードであっても、そのパスワードが脅威アクターの「流出したパスワードリスト」に含まれているのであれば、強固なセキュリティ体制を維持するという点では何の意味もありません。」
「このデータは、パスワードのセキュリティを強化するため、一部の規制上の提言に、脆弱なパスワードのチェックが盛り込まれるようになった理由を浮き彫りにしています。」 結局のところ、適切なパスワード管理はこれまで以上に重要であり、それは単にシステムに組み込まれたパスワードの複雑性要件を満たすだけにとどまりません。」
新たに明らかになったハッキング集団「 APT43 」が、米国の組織を標的にしています
マンディアット社は、「 APT43 」の活動を初めて公表し、この高度なサイバー諜報グループは国家が支援する組織であり、その活動目標は北朝鮮政府のそれと同一であると見なしています。
APT43 は、スパイ活動に関与しているほか、戦略的情報の収集という主要な任務を遂行するために、サイバー犯罪活動を通じて資金を調達しているとみられています。
概要
- Mandiant以外の報告において、 APT43 に帰属するとされる活動については、同グループを「Kimsuky」または「Thallium」と呼ぶことがよくあります。
- APT43’s の攻撃では通常、ソーシャルエンジニアリングの手法の一環として、偽装されたドメインやメールアドレスを利用したスピアフィッシングキャンペーン が活用されています。 マンディアット社は、このグループがゼロデイ脆弱性を悪用している事実は、現時点では確認できていません。
- マンディアントが「 APT43」の追跡を開始して以来、同社は、この攻撃者が韓国および米国の組織に対して一貫してスパイ活動を行っていることを確認しています。
- 2020年10月が登場する前は、 APT43 は主に政府機関、外交機関、およびシンクタンク関連の組織を標的としていました。 2020年10月から2021年10月にかけて、活動の方向性が変わり、その活動の大部分が医療関連分野や製薬企業を標的とするようになりました。これはおそらく、新型コロナウイルスのパンデミックへの対応であったと考えられます。
- APT43 には、一般に公開されているマルウェアと独自開発のツールの両方で構成される大規模なツールキットがあります。 このグループの武器庫は、時間の経過とともに着実に進化・拡大を遂げてきたことが見て取れます。 このグループは、VisualBasicスクリプトをベースとしたバックドアであるLATEOP（一般にはBabySharkとして知られています）に加え、 Gh0st RAT、QUASARRAT、AMADEYといった一般に公開されているマルウェアを展開しています。
APT43のためのサイバー作戦
APT43は、多くの脅威アクターと同様に、初期侵入経路としてスピアフィッシングメールを頻繁に利用しています。 さらに、このグループは、認証情報の収集を目的として、偽装されたウェブサイトの利用も行っています。
APT43 社は、フィッシングの誘引メッセージの内容も定期的に更新しており、特定のターゲット層に合わせて調整しています。 そのために、説得力のあるペルソナを作成・維持し、特定の業界の個人になりすましています。また、 APT43 は仮想通貨の資金洗浄も行っています。その利益は、同グループの運営インフラの拡充に充てられています。
スパイ活動
APT43 は確かに金銭を目的とした犯罪にも手を染めていますが、その主な目的はサイバー諜報活動です。 このグループは、米軍や米国政府、防衛産業基盤（DIB）内で作成・保管されている情報、および米国が策定した研究・安全保障政策に関心を寄せています。 同事業は、韓国国内の同種の業界に関心を寄せています。
マンディアント社は、APT「43 may 」が、北朝鮮の他の作戦についても内部監視を行っている可能性があると見ています。「APT43 」は、自組織内の要員を含め、個々の諜報活動従事者を乗っ取っています。 この活動が監視を目的としたものなのか、それとも単なる偶発的なものであり、運用上のセキュリティ対策の不備によるものなのかは不明です。
認証情報の収集
APT43 は、金融データ、個人識別情報（PII）、および顧客データを不正に入手するため、定期的に認証情報の収集キャンペーンを実施しています。 このグループは、人気のある検索エンジン、ウェブプラットフォーム、および仮想通貨取引所のドメインを、タイプミスを利用したドメイン乗っ取り（タイポ・スクワッティング）の目的で登録しています。 収集された認証情報は、オンライン上のペルソナを作成し、その活動のためのインフラを構築するために使用されます。 この攻撃では、侵害されたインフラや攻撃者が所有するインフラを利用して、マルウェアをホストし、配信していました。
APT43’s の標的設定の変更は、情報収集要件における戦術的な転換を反映している可能性があります。 例えば、 2021年の後半、 APT43 は宗教団体、大学、NGOを対象とした認証情報の収集活動を再開しました。 その後、 2022年の初め頃、学者、ジャーナリスト、政治家、ブロガー、その他の民間人を標的としたキャンペーンが確認されました。 最後に、2022年半ばには、これらのキャンペーンは再び方向転換し、韓国の情勢に関与する韓国のブロガーやソーシャルメディアユーザーを標的とするようになりました。
暗号資産を標的とした攻撃
この作戦は、仮想通貨が登場して以来、それを標的としてきました。 政権への資金調達を主な目的とする他の北朝鮮の組織とは異なり、 APT43 は自らの活動を維持するために仮想通貨関連の活動を行っている可能性が高いと考えられます。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
「マンディアント社は、一見すると自主資金によるものと思われる APT43’s 件の作戦について、またこれが北朝鮮のグループによるより広範な活動の一端を示唆している可能性について、非常に興味深い指摘を行っています：
北朝鮮のグループの間で、これまでサイバー諜報活動に重点を置いてきたグループを含め、金銭的な動機に基づく活動が広く見られることは、自己資金による運営が広く求められており、追加の資金提供なしに自立して活動を維持することが期待されていることを示唆しています。
"APT43’s continuous shifting of its methodology and tradecraft suggests it is highly responsive to the ever-changing landscape and to the goals of its espionage mission. 「この組織は、政権を支援するために必要な行動を実行するため、そのTTPを迅速に変更します。」
3。 新しい「AlienFox」ツールキットが、クラウドサービスの認証情報を盗み出します
SentinelOneの は、Telegram上で配布されている「AlienFox」と呼ばれる新しいツールキット (新しいタブで開きます) を発見しました。 AlienFoxを利用することで、攻撃者は、一般的なクラウド型メールサービスのAPIキーや認証シークレットから認証情報を収集することが可能になります。
- このツールキットはモジュール式になっており、いくつかの独自開発ツールや改変されたオープンソースのユーティリティで構成されているため、脅威アクターは自身のニーズに合わせてこれを適応・変更することができます。
- AlienFoxの標的選定は、主に機会を捉えたものであり、Drupal、Joomla、Magento、Opencart、Prestashop、WordPressなどのWebフレームワークをホストしているサーバーの設定ミスを悪用しています。
- サーバーが特定されると、攻撃者は、有効になっているサービスや関連するAPIキー、シークレットなどの機密情報が保存されている設定ファイルをダンプすることができます。
AlienFoxのバージョン管理
AlienFoxツールキットは、主にクラウドベースのメールサービスに焦点を当てています。 現時点で、研究者たちはAlienFoxのバージョン 2 から4 までを特定しており、これらは2022年2月 以降にリリースされたものです。
AlienFox V2
AlienFox V2 の分析対象となったアーカイブの一つには、あるアクターがツールを実行した際の出力が含まれており、そこにはAWSのアクセスキーやシークレットキーも含まれていました。 このバージョンのツールセットでは、中核となるユーティリティが「 s3lr[.]py」という名前のスクリプトに格納されています。 Pythonスクリプト「Awses[.]py」は、AWS Simple Email Serviceに関連するいくつかの作業（メッセージの送受信や、AWSアカウントへのパーシステンスプロファイルの適用など）を自動化します。 このスクリプトでは、攻撃者が実行時にユーザー名を指定するため、これは「ハンズ・オン・キーボード」型のツールであることが示唆されます。
このバージョンには、永続化と権限昇格を目的とした新しいプロファイルを作成する「goblok」機能（goblokはインドネシア語で「馬鹿」を意味します）が含まれています。 この関数は、パラメータの値を変数 iam に渡して、そこで解析を行います。 この操作により、被害者のAWSアカウントに新しいユーザーが作成されます。 新規ユーザーの作成が正常に完了した場合、そのユーザーに管理者権限が付与されます。
もう1つの V2 スクリプトである「ssh-smtp[.]py」は、設定ファイルから認証情報を解析し、Pythonライブラリ「Paramiko」を使用して、標的となったWebサーバー上のSSH設定の有効性を検証します。 このバージョンのAlienFoxには、Laravel PHPフレームワークのデシリアライゼーション脆弱性「 CVE-2022-31279」に対するエクスプロイトも含まれています。
AlienFox V3
SentinelOneが確認したバージョンのうち、最も特徴的なアーカイブにはバージョン 3というラベルが付けられていました。 以下の名称のバリエーションがありました：
- ALIEN-FOX AFV 3.0 イズミル – 作成者： 2022年2月
- ALIENFOX III V3.0 AFV.EXE – 作成者： 2022年2月
- ALIEN-FOX AFV 3.5 JAGAUR – 制作： 2022年4月
- ALIEN-FOX AFV 3.5 rondrickmadeit – 作成者： 2022年2月
このバージョンでは、パフォーマンスが向上したほか、初期化変数、モジュール化された関数を持つPythonクラス、およびプロセスのスレッド処理が導入されました。
AlienFox V4
最近確認された道具一式は、構成がこれまでとは大きく異なり、各道具に番号が割り当てられています（例：道具1、道具 2）。 AlienFoxのルートディレクトリにある「 ALIENFOXV4[.]py」という名前のコアスクリプトは、サブフォルダ内にある番号付きのツールスクリプトのブートストラップとして機能します。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
「AlienFox ツールキットは、クラウドにおけるサイバー犯罪活動の変遷を浮き彫りにしています。 とりわけ注目すべきは、攻撃がもはや暗号通貨マイニングだけに限定されなくなったという点です。 このツールキットに含まれるツールのほとんどはオープンソースであるため、脅威アクターにとっては、個々のニーズに合わせてツールキットをカスタマイズできるという追加の利点があります。 SentinelOne社は、このツールキットについて、高度にモジュール化されており、急速に進化しているため、新機能が追加されるにつれて、より深刻な脅威となっていると指摘しています。」
さらに詳しくお読みになりたい方は、の最近のサイバー脅威インテリジェンスまとめ記事をご覧ください。
