今週のレポートでは、国家の支援を受ける北朝鮮の脅威アクター「Kimsuky」による最新のキャンペーンについて取り上げます。このキャンペーンでは、標的とされた被害者のみがペイロードをダウンロードするように仕組まれています。 この活動の標的を絞った性質は、この機会主義的な脅威アクターの戦術の変化を示しており、同アクターはキャンペーンのリバースエンジニアリングを妨げるためにも多大な努力を払っています。
次に、ScanBoxというエクスプロイトフレームワークを配布することを目的とした、中国が関与するサイバー諜報活動の概要をご紹介します。 「 TA423-operated 」キャンペーンは、主にオーストラリアの政府機関や報道機関を対象としてきました。
最後に、危険な新型ランサムウェア「Agenda」について、その概要をご紹介します。このランサムウェアはGoプログラミング言語で記述されており、標的となる各被害者に合わせてカスタマイズされた亜種を配布していることが確認されています。
1. Kimsukyのハッカーたちは、マルウェア攻撃が確実に正当な標的のみに届くように、どのようにしているのでしょうか
北朝鮮の脅威アクター「Kimsuky」は現在、 の悪意のあるペイロード（ （新しいタブで開きます）、、 ）が、セキュリティ研究者のシステムに侵入することなく、正当な標的のみがダウンロードするようにするための措置を講じています。
Kimsuky （新しいタブで開きます） は、北朝鮮を拠点とするサイバー諜報グループであり、少なくとも 2012年以降、活動を続けています。 このグループは、これまで主に韓国の政府機関やシンクタンクを標的としてきましたが、その後、その活動範囲を拡大し、米国、ロシア、欧州、および国連加盟国に拠点を置く組織への攻撃も行っています。
これまで、Kimsukyは、朝鮮半島に関連する外交政策や国家安全保障上の問題、核政策、および制裁措置について、主に情報収集活動を行ってきました。
- カスペルスキーが「GoldDragon」と名付けたKimsukyによる新たな攻撃キャンペーンでは、マクロが埋め込まれたWord文書が添付されたスピアフィッシングメールから、感染の連鎖が始まります。
- このキャンペーンの攻撃チェーンの一部には検証ステップが含まれており、その結果によって、ユーザーが悪意のある文書を受け取るかどうかが決まります。
- 被害者に送付された悪意のある文書には、ペイロードの次の段階を取得するためのマクロが含まれています。 このマクロは単純なものですが、動作ベースの分析を回避する目的で、複数の子ウィンドウのコマンドプロンプトを起動します。 このマクロは、最終的に、Microsoft HTML アプリケーションを実行するように設計されたペイロードを実行します。
カスペルスキーは、このキャンペーンの標的は政治や外交活動に関わる個人や団体であると考えており、これはこれまでの「Kimsuky」の標的と一致しています。
「Kimsuky」ハッカーたちが、マルウェアを確実に適切な標的のみに届ける方法 - @billtoulas bleepingcomputer.com/news/security/…
Kimsukyの新たな安全対策
Kimsukyは、悪意のあるペイロードが正当な標的のみによってダウンロードされるよう、新たな安全対策を講じました。 これらの新たな防御策は非常に効果的であるため、カスペルスキー社は、Kimsukyのコマンド＆コントロール（C2）サーバーに接続した後でさえ、最終的なペイロードを取得できなかったと報告しています。
このキャンペーンで使用されるスピアフィッシングメールには、被害者を第1段階の「 C2 」サーバーへ誘導するリンクが含まれています。このサーバーでは、侵害されたホストが有効な標的のリストに含まれているかを確認するとともに、悪意のある文書が配信される前に満たすべきいくつかの条件が満たされているかを確認します。
被害者が標的リストに一致しない場合、無害な文書が提示されます。 不思議なことに、悪意のある文書も無害な文書も、同じスクリプトを介してユーザーに配信されます。 第1段階の C2 によって配布された文書には、被害者を第2段階のC2に接続し、次の段階のペイロードを取得して、mshta.exeプロセスでそれを実行する悪意のあるマクロが含まれています。
C2 個のスクリプトのうちの1つは、アドレスのハッシュ値の最後の20 文字を切り取ることで、被害者のIPアドレスに基づいて一意のブログアドレスを生成します。 研究者たちは、この手口は、被害者一人ひとりに専用の偽ブログを運営し、詐欺に正当性があるかのような印象を与え、発覚の可能性を低くすることが目的であると考えています。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
「Kimsukyは、非常に洗練された脅威アクターであり、最近、Google Chromeの拡張機能を利用して、調査対象者のメールを盗み出す 、 （新しいタブで開きます）、、 といった件で話題となっています。」 悪意のあるリンクをクリックした個人を一人ひとり確認することは、多大な労力とリソースを要する防御作業であり、Kimsukyの成熟度がますます高まっていることを示すとともに、その最終的な目的、すなわち、極めて標的を絞ったサイバースパイ活動を行うことにあることを浮き彫りにしています。 「この機会主義的なグループは、リバースエンジニアリングの可能性を阻むためなら、明らかにあらゆる手段を講じるでしょう。」
2。 中国のハッカーが、ScanBoxマルウェアを用いてオーストラリア政府を標的にしています
ProofpointとPwCの （新しいタブで開きます） は、ScanBoxエクスプロイトフレームワークを配布するサイバースパイ活動を共同で特定しました。 この報告書では、 TA423によって実行されたとみられる「ウォーターホール攻撃」について詳しく解説しています。
TA423（別名「Red Ladon」および「 APT40」）は、中国を拠点とするサイバー諜報活動を行う脅威アクターであり、 2013年頃から活動していると考えられています。 このグループは、長年にわたり、南シナ海を中心に、アジア太平洋地域における地政学的出来事に対応して、さまざまな組織を標的にしてきました。
これまでに標的とされた組織には、防衛関連企業、製造業者、大学、政府機関、外交紛争に関与する法律事務所、およびオセアニア地域の政策や南シナ海での事業に関与する外国企業などが含まれていました。
TA423 は、国際的な法執行機関から繰り返し注目を集めてきました。米国司法省は、 （新しいタブで開きます） 昨年、このグループのメンバー数名を起訴しました。
TA423の最近のキャンペーン
最近行われた「TA423’s 」キャンペーンは、2022年4月 から開始され、 というフィッシングメール が送信されました。このメールは、被害者を悪意のあるウェブサイトにリダイレクトし、そこで「ScanBox」マルウェアのペイロードを被害者に配信するものでした。
このキャンペーンは、主にオーストラリアの地方および連邦政府機関、オーストラリアの報道機関、ならびに南シナ海で風力発電機の群の保守・点検を行っている世界的な重工業メーカーを対象としていました。
ScanBoxに関連するフィッシングメールは、Proofpointが脅威アクター自身によって作成されたものと見なしているGmailおよびOutlookのメールアドレスから送信されていました。 そのメールは、ニュースサイトを立ち上げた人物から送られたものだと称し、サイトに関するユーザーのフィードバックを求めていると記載されており、悪意のあるサイトへのリンクが含まれています。 この悪意のあるURLは、標的ごとにカスタマイズされているようですが、いずれも同一のページにリダイレクトされ、同じScanBoxのペイロードを配信しています。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
「中国を拠点とする攻撃者が、国家の利益に沿った活動を行う組織を標的にし続けていることは、さほど驚くことではありません。最近の TA423’s 号事件は、米国の法執行機関がどれほど尽力しようとも、こうした措置は多くの場合、世論をなだめ、国際的なハッカーの起訴に関して米国の影響力が及ぶ範囲が広いという認識を広めるための試みに過ぎないことを改めて示しています。」 中国の国家が支援する脅威アクターたちは、自分たちの追跡が困難であり、起訴されることはさらに難しいということをよく承知しています。 米国司法省による公の起訴でさえ、このグループが計画していたスパイ活動を阻止することはできませんでした。 「唯一のメリットは、こうした起訴状がしばしば、こうしたグループが用いる手法に関する洞察を与えてくれるという点です。」
「この活動は、 TA423コースにおいて基本に立ち返ることを強調するものとなるかもしれません。」 ScanBoxが最後に使用されたと記録されているのは、 2018 キャンペーンの際であり、その後、攻撃者はRTFテンプレート注入や悪意のあるマクロへと攻撃手法を切り替えました。 ScanBoxは、中国の国家支援を受けた攻撃者たちの間で再び台頭しつつあるのでしょうか？ 「時が経てば分かるでしょう。」
3。 被害者ごとにカスタマイズされた「New Agenda」ランサムウェア
の最近のトレンドマイクロのレポート (新しいタブで開きます) によると、Goプログラミング言語で記述された新たな標的型ランサムウェアが明らかになりました。
身代金要求メッセージから明らかなように、このランサムウェアは「Agenda」と呼ばれており、アジアおよびアフリカの企業を標的としているとみられています。 Agendaは、システムをセーフモードで再起動したり、サーバー固有の多くのプロセスやサービスを停止させようとしたりすることができ、また、複数の実行モードを備えています。
トレンドマイクロはいくつかのサンプルを収集・分析しましたが、それらはすべてGo言語で記述された64ビットのWindows PEファイルであり、Windowsベースのシステムを標的としたものでした。 このマルウェアを拡散しているグループは、インドネシア、サウジアラビア、南アフリカ、タイの医療および教育機関を標的にしていることが確認されました。
各ランサムウェアのサンプルは、標的となる被害者に合わせてカスタマイズされており、企業ID、RSA鍵、暗号化前に終了させるプロセスやサービス、身代金の額などの詳細が含まれていました。 研究者たちは、ランサムウェアグループ「Agenda」が、アフィリエイトに対し、被害者ごとに設定可能なバイナリペイロードをカスタマイズする選択肢を提供していると見られています。
アジェンダのキルチェーン
トレンドマイクロは、Agendaランサムウェアに関連する特定のインシデントを詳細に調査した結果、その背後にいる攻撃者が、外部に公開されているCitrixサーバーを侵入経路として利用していたことを突き止めました。
ランサムウェアには有効な特権アカウントが設定されていたことから、攻撃者は有効なアカウントを利用してサーバーにアクセスし、その後、被害者のネットワーク内に侵入したとみられています。
研究者らは、Citrixサーバーへのアクセスからランサムウェアへの感染まで、2日未満しかかからなかったと指摘しています。 攻撃者は初日に、Nmap や Nping などのスキャンツールを展開してネットワークのスキャンを行い、その後、ランサムウェアを展開する前にグループポリシーオブジェクト（GPO）を作成しました。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
「Agendaランサムウェアは、高度なカスタマイズが可能であることが実証されており、クロスプラットフォームの互換性を高めつつ、成功を維持し、潜在的な提携先にとって魅力的な存在であり続けるために手法を進化させ続けている、他の多くのランサムウェア活動とまさに同じ傾向を示しています。」 Agendaは、デバイスのセーフモード機能を活用できるため、暗号化処理をほとんど気づかれることなく実行することができます。 「Agendaは、その手口の高度さにかかわらず、ランサムウェア攻撃を仕掛けようとする脅威アクターにとって、参入障壁がますます低くなっていることを示す、また一つの例です。」
今週のニュースについて、何か最新情報やご意見などございましたら、ぜひお聞かせください。 から、当社のディスカッションフォーラム にアクセスして、会話を始めてみてください。 さらに詳しくお読みになりたい方は、当社の最新のサイバー脅威インテリジェンスまとめ記事 をご覧ください。
