今週の「Roundup」では、CTIが、Python Package Index（PyPI）上で6つの悪意のあるパッケージが発見された件に関する調査を特集しています。 続いて、ワーム型マルウェアフレームワーク「Raspberry Robin」に関する最近の報道について詳しく掘り下げていきます。このマルウェアは機能が大幅に強化されており、欧州の金融・保険機関が被害に遭っていることからも明らかなように、新たな標的パターンに従っているようです。 「The Roundup」の締めくくりとして、CTIによる最近のIcedIDマルウェア攻撃の分析をご紹介します。この攻撃では、脅威アクターが初期アクセスを獲得してから 24 時間以内に、Active Directoryおよびドメインへの侵害に成功しました。
1. 悪意のあるPyPIパッケージは、Cloudflareのトンネルを利用してファイアウォールをすり抜けています
Phylum社は、Python Package Index（ 、以下PyPI）において、6つの 悪意のあるパッケージを発見しました。PyPIは、Pythonの公式サードパーティ製ソフトウェアリポジトリです。 これらのパッケージは、リモートアクセス型トロイの木馬（RAT）や情報窃取型マルウェアをインストールしていることが判明したほか、リモートアクセスを行う際にCloudflare Tunnelを利用してファイアウォールの制限を回避していたことも明らかになりました。
発見の経緯
Phylum氏は、 2022年12月22日で「pyrologin」というパッケージを初めて報告しました。 一見したところ、このパッケージは、zipファイルの取得やPowerShellコードを含むいくつかの文字列を除けば、標準的なPythonマルウェアのように見えました。 その後、 12月28日において、easytimestampという同様の悪意のあるパッケージが発見されました。 翌日、discorderとdiscord-devが発見されましたが、これらもまた、元のpyrologinと類似点が見られました。 そして最後に、 12月31日において、研究者たちはstyle[.]pyとpythonstylesを発見しました。これらはいずれも、当初発見されたものと類似していました。
このパッケージや、これに類似した多くの悪意のあるパッケージが発見されたことから、これは単発の公開ではなく、より大規模な攻撃の一環であったことが示唆されます。
Phylumによって検出された6つの悪意のあるパッケージは、複数回ダウンロードされており、その後PyPIから削除されました：
- pyrologin — 165 回のダウンロード
- easytimestamp – ダウンロード数 141 回
- discorder – 83 回のダウンロード
- discord-dev – 228 回のダウンロード
- style.py — 193 回のダウンロード
- pythonstyles – 130 回のダウンロード
これらの悪意のあるパッケージのいずれかをインストールすると、次のような事態を招く可能性があります：
- 機密情報の流出
- 確立された持続性
- キーストロークロガーのインストール
- Cloudflareトンネルの設定
- 攻撃者が上記のトンネルを介してアクセスするフラスコアプリの起動
なぜこれに関心を持つべきなのか
Phylum社によると、このマルウェアは「ステロイドを投与されたRAT」のようなものだとのことです。 このツールには、 の基本的なRAT機能 がWeb GUIに組み込まれており、リモートデスクトップ機能と情報窃取機能が備わっています。
したがって、たとえ攻撃者が持続性を確立できなかったり、リモートデスクトップユーティリティを動作させられなかったりした場合でも、データ窃取モジュールは検出したデータを依然として外部へ持ち出します。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
「Phylumの調査結果は、攻撃者がオープンソースのパッケージリポジトリを標的にしてサプライチェーン型攻撃を仕掛けている実例の一つであり、こうした傾向は今後も続くものと見られます。」
「これまで特定された悪意のあるオープンソースパッケージのいくつかと比較して、今回の事例が特にユニークなのは、正規のCloudflare Tunnelソフトウェアを使用して、侵害されたマシンにリモートアクセスしている点です。Cloudflare Tunnelを利用すると、パブリックにルーティング可能なIPアドレスを持たないあらゆる種類のインフラへのトラフィックを保護・暗号化できるほか、ファイアウォールの設定を行うことなく、Cloudflareを通じてWebサーバーを外部から利用可能にすることができます。」
2。 新たなマルウェア「Raspberry Robin」が、ポルトガルとスペインの金融機関を標的にしています
ハッカーたちは現在、「Raspberry Robin」として知られる、自動化され、ワームのように拡散可能なマルウェア・フレームワークを利用して、スペインおよびポルトガルの金融機関や保険会社を標的にしています。
このワームは、他のマルウェアのローダーとして機能し、被害者のネットワーク内の他のデバイスへと拡散します。Security Joesによると、Raspberry Robinは「よく設計された自動化されたフレームワーク」であり、「攻撃者が感染後に、検知を回避し、横方向への移動を行い、Discord、Azure、Githubなどの既知のデータホスティングプロバイダーの信頼できるクラウドインフラを活用することを可能にする……」とのことです。
「ラズベリー・ロビン」を振り返って
CTIは、 2022年7月の時点からRaspberry Robinを追跡してきました。 当社の調査の結果、Red Canary（）が提供したマルウェアに関する詳細な分析にたどり着きました。同組織は、 2021年9月において、関連する悪意のある活動のクラスターを最初に確認していました。
当時、このマルウェアは、USBメモリを介してインストールされることが多いワームであると説明されていました。 被害者分析の対象には、技術や製造業と関わりのある組織が含まれていました。 その同じ月、マイクロソフトは「Raspberry Robin」を、Evil Corpとして知られる悪名高いロシアのサイバー犯罪組織と結びつけました。
Raspberry Robinの最新情報
『The Record』紙によると、 Raspberry Robin は依然として、セキュリティが侵害された USB デバイスを介してコンピュータに感染しています 。したがって、このフレームワークの初期侵入経路に関しては、あまり変化が見られません。 しかし、「Security Joes」の報告によると、このマルウェアの最新亜種は以前のバージョンよりも複雑化しており、これにより、運営者は標的からより多くのデータを収集できるようになっているとのことです。
Security Joesの研究者たちはさらに、Raspberry Robinの独自性は、その高度な難読化と、このマルウェアを静的に逆アセンブルしようとする試みが極めて困難である点にあると述べています。
「開発者たちは、セキュリティツールやマルウェアアナリストの詮索の目を避けるために、コードに保護機能を追加することに忙しかったようです」と、報告書は述べています。
また、開発者たちはさらに別の暗号化層を追加したようで、被害者のデータはもはや平文では閲覧できず、 RC4 暗号で暗号化されているとのことです。 しかし、前述の研究者たちはめげることなく、今月対応した2件の事例において、粘り強い分析により「ダウンローダーを親となるラッパーから切り離し、前述の『Raspberry Robin』フレームワークを指し示すマルウェアを特定することに成功しました」。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
「Raspberry Robinワームは、複雑なマルウェアのエコシステムにおいて重要な役割を果たしており、その被害者の範囲はますます多様化しています。」 そのフレームワークは、世界中の組織を標的とするために利用されており、テクノロジー、製造、通信、政府、そして現在では金融・保険分野に関わる組織のネットワークへの侵入を可能にしています。
「マイクロソフトによると、 2022年10月 だけで、約1,000 の組織に属する3,000 台近くのデバイスが、Raspberry Robinのペイロードに関連するアラートを少なくとも1件受け取ったとのことです。」 これらすべてを考慮すると――さらに、絶えず開発が進められ、頻繁に更新されているようであるという事実も踏まえると――Raspberry Robinは明らかに世界クラスの脅威となっています。 "
「Raspberry Robinは、最初に発見された時点では何の目的も持っていないように見えたものの、その後進化を遂げ、現在もインストールされている環境に対して壊滅的な影響を及ぼす可能性が高まっています」と、10月に が発表した『 』マイクロソフト・セキュリティ脅威インテリジェンス・レポートは述べています。
「Raspberry Robinの開発は、おそらく 2023年まで続く見込みであり、このフレームワークは間違いなく、さらなるマルウェアの拡散やサイバー犯罪活動の助長につながるでしょう。」
3。 IcedIDマルウェアが再び襲来：Active Directoryドメインが 24 時間以内に侵害されました
IcedIDマルウェア（）は、BokBotとも呼ばれることがあり、 （ least 2017）の時点で既に存在していました。 歴史的に、被害者から金融情報を盗み出すために使用されるバンキング型トロイの木馬として知られています。 最近では、IcedIDは他のマルウェアファミリーのドロッパーとして、また初期アクセスブローカー向けのツールとして悪用されています。
のCybereasonによる最近の脅威分析レポート（）では、IcedIDマルウェア攻撃（ ）について詳しく解説しています。この攻撃により、攻撃者は初期アクセスを獲得してから 24 時間以内に、標的のActive Directoryドメインを侵害することに成功しました。
攻撃の詳細
Cybereasonのレポートでは、攻撃者がその後の攻撃の足掛かりとして利用した「患者ゼロ」のマシンに対して用いられた感染手法について、詳細に分析しています。
大まかに言えば、被害者がアーカイブを開き、ISOファイルをクリックして仮想ディスクを作成し、LNKファイルをクリックしてDLLを配置すると、そのDLLがIcedIDのドメインへの接続を確立し、IcedIDのペイロードがプロセスに読み込まれます。
これまでに確認されたIcedIDの感染事例では、被害者がISOファイルを含むパスワードで保護されたZIPファイルを開くことから始まっています。 ファイルをダブルクリックすると、ISOファイルが読み取り専用のディレクトリとしてマウントされ、その中には隠しフォルダとLNKファイルが含まれています。 この隠しフォルダには、難読化されたバッチファイルとDLLペイロードが含まれています。
ショートカットまたはLNKファイルをクリックすると、隠しディレクトリ内にあるバッチファイルが実行されます。 このバッチファイルは、実行ファイルを呼び出して、DLLを一時ディレクトリにコピーして配置し、そこで実行します。
技術的な詳細
ラテラル・ムーブメント：攻撃者は、ラテラル・ムーブメントに関して標準的な手順に従っているようです。 最初の感染から1時間も経たないうちに、まず別のマシンへと標的を移し、その後、ping[.]exe を使用して、そのホストがオンラインかどうかを確認しました。 Wmic[.]exe を使用して、ワークステーション上でリモート DLL を実行しました。
攻撃者がリモートホストへの侵入に成功した後、gv[.]dll という名前の Cobalt Strike ビーコンを実行しました。 このプロセスはネットワーク全体にわたって継続され、ping[.]exe を使用してホストがオンラインであるかを確認し、WMI を通じて横方向の移動を行い、足場を築くために Cobalt Strike のペイロードを実行しました。 Cybereasonは、攻撃者が「kerberoasting」によって認証情報を不正に入手したことを利用し、内部のWindows Serverへ横方向の移動を行ったことを確認しました。 そのアカウントにはドメイン管理者権限がありました。
の持続性：攻撃者は、Conti から「」という手法を借用し、複数のマシンにAteraAgent RMMツールをインストールしました。 Ateraは、リモート管理に使用される正当なツールですが、Contiグループによって、感染した環境への持続的なアクセス権を取り戻し、検知を回避するために利用されていました。Ateraを使用することで、攻撃者は、当初の持続化メカニズムが発見されたり、是正されたりした場合に備えて、自分たちのために追加のバックドアを作成することができます。 AteraAgentのインストール中に実行されたコマンドラインからは、攻撃者が犯したミス――outlook[.]itというドメイン名のスペルミス――が明らかになりました。
認証情報の盗難： ケルボロースティングによる最初の感染からわずか 15 分後に、最初の認証情報の盗難が発生しました。 Kerberoasting を使用して、ドメイン上のサービスアカウントのハッシュを取得しました。 ファイルサーバーへ横方向の移動を行い、サービスを通じて権限を昇格させた後、攻撃者はDCSync攻撃を成功させました。これは、攻撃者がドメインコントローラーになりすまし、他のドメインコントローラーからパスワードハッシュを要求することを可能にする攻撃です。 これにより、攻撃者は最終的にそのドメインを乗っ取ることができました。
ブラウザへのフック： IcedIDは、FirefoxやChromeなどのブラウザにフックして、認証情報やクッキーを盗み出そうとする試みを過去に行ってきた実績があります。 メインのボットが読み込まれると、研究者たちはChrome内でフック行為を確認しました。
情報収集：この攻撃では、IcedIDボットの「SysInfo」モジュールの一環として実行された、複数の異なる情報収集コマンドが利用されました。 Net[.]exe を使用して OS や AD の情報を収集し、ping[.]exe を使用して、横方向の移動のためにリモートマシンがオンラインであるかどうかを確認しました。
また、攻撃者はnltest[.]exeを使用してAD情報を抽出し、PowerShellを使用してネットワーク内の非標準の共有を特定しました。 最後に、「wuauclt.exe /detectnow」というコマンドを実行し、適用されていない更新プログラムやパッチがないか確認しました。
ネットワークスキャン： 正規のnetscanツールを利用してネットワークをスキャンし、スキャン結果をローカルのXMLファイルに書き出しました。 これもまた、コンティから取り入れた手法の一つです。
データの持ち出し： 攻撃者は、広く利用されているファイル同期ソフトウェア「rclone」の名前を変更したコピーを使用し、ディレクトリを暗号化してファイル共有サービス「Mega」に同期させていることが確認されました。 Rcloneは脅威アクターの間でますます人気が高まっており、LockBitでさえデータ流出にこれを利用しています。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
「攻撃者が 24 時間でActive Directoryを侵害した事例は、まったく前代未聞というわけではありませんが、インシデントがいかに迅速に発生し得るか、また、異常なネットワーク活動に対して迅速に対応することがいかに重要であるかを改めて認識させるものです。」 また、この攻撃は、脅威アクターやランサムウェア集団が互いのTTPを再利用・共有（あるいは、場合によっては単に盗用）することがいかに一般的であるかを改めて示しています。これは、前述の通り、当該脅威アクターが既知のContiの手法を流用した事実からも明らかです。
これらの記事について、何かご意見やご感想など、共有したいことはありますか？ または Tanium のディスカッションフォーラム にアクセスして、会話を始めてみてください。
さらに詳しくお読みになりたい方は、当社の最新の「」サイバー脅威インテリジェンスまとめをご覧ください。
