今週のまとめの第一弾として、CTIは、Apache Hadoop YARN、Docker、Confluence、およびRedisを実行している設定ミスのあるサーバーを標的とした、新たなLinuxマルウェアキャンペーンについて取り上げています。 続いて、CTIは、ランサムウェア攻撃者が、攻撃において増え続けるデータ流出ツールをどのように活用しているかについて解説します。 最後に、CTIは「 2023」の終了時点における、クラウド関連の脅威に関する主な調査結果を分析しています。
1. Linux向けマルウェア攻撃キャンペーンが、設定ミスのあるサーバーを標的にしています
Apache Hadoop YARN、Docker、Confluence、およびRedisを実行している、設定ミスのあるサーバーを標的とした、新たな「 」Linuxマルウェアキャンペーン（ ）が発見されました。 このキャンペーンでは、これまでに報告されていないペイロードを活用するとともに、一般的な設定ミスを悪用し、ConfluenceのCVEを突いて、リモートコード実行（RCE）攻撃を実行しています。
Cado社は、Docker Engine APIのハニーポット上で初期アクセス活動が集中しているのを発見したことをきっかけに、このキャンペーンを突き止めました。 このアクティビティでは、Alpine Linuxをベースとした新しいコンテナを起動し、そのコンテナ内にハニーポットのルートディレクトリへのバインドマウントを作成するDockerコマンドが使用されました。
このキャンペーンにおいて、攻撃者は「/usr/bin/vurl」に実行ファイルを作成し、エンコードされたシェルコマンドを復号して実行するためのCronジョブを登録しました。 冗長性を確保するため、攻撃者は、最初の方法が失敗した場合に別のペイロードを取得するための追加のCronジョブを作成しました。 研究者たちは、この追加のペイロードを入手することができませんでした。
主ペイロード
このキャンペーンの主なペイロードは、ごく単純なシェルスクリプトです。 まず、追加のペイロードが格納される C2 ドメインを定義することから始まります。 その後、chattr ユーティリティが存在するかどうかを確認し、見つかった場合はその名前を zzhcht に変更します。 このユーティリティが見つからない場合は、インストールされます。 最後に、このシェルスクリプトは、現在のユーザーがroot権限を持っているかどうかを確認し、その結果に基づいて次のペイロードを選択します。
その他のスクリプト
- Ar.sh：このシェルスクリプトは、フォレンジック対策を実施し、追加のペイロードを取得することで、システムをさらなる侵害にさらされる状態へと仕向けます。 このスクリプトは、「firewalld」と
「iptables」を無効にし、シェル履歴を削除し、SELinuxを無効にし、/etc/resolv.confにパブリックDNSサーバーを追加して、外部へのDNSリクエストが確実に成功するようにします。 また、このスクリプトでは「shopt」を使用して、シェルコマンドが履歴ファイルに記録されないようにし、分析を困難にするようにします。 次に、このスクリプトは、自身のプロセスを隠すためにルートキットをインストールし、Alibaba CloudおよびTencentの監視エージェントをアンインストールします。
このスクリプトに関するその他の機能については、 および Cado Security のレポート『』をご覧ください。
- Fkohts：これは、マルウェアによって展開される一連の「 」Go言語ELFファイル（ ）のうち、最初のものです。 これにより、Docker イメージが検索・削除され、「/etc/hosts」ファイルが更新されます。
- S.sh：これは感染チェーンの次の段階であり、もう1つのシェルスクリプトです。 S.shは追加のペイロードをダウンロードし、それらをホスト上に残します。
- 初期アクセスおよび拡散ユーティリティである h.sh、d.sh、c.sh、w.sh は、すべて前の段階で取得されています。 これらの実行ファイルは、それぞれApache Hadoop、Docker、Redis、およびConfluenceを実行しているホストを特定し、その脆弱性を悪用します。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
Cado Securityが指摘しているように、「攻撃者は、クラウド環境に展開されているWeb向けサービスの種類を把握し、それらのサービスで報告されている脆弱性の最新情報を常に追跡し、その知識を活用して標的となる環境への足掛かりを確保することに、多大な時間を費やしている」ことは明らかです。
このことから、脅威アクターが自らの攻撃を可能な限り成功させるために、どれほど多くの時間を費やす用意があるかが、よくわかります。 また、脅威アクターが報告された脆弱性に細心の注意を払い、技術の最新動向を常に把握しているのなら、私たちも同様にそうすべきである、と改めて強調しています。
2。 ランサムウェアの攻撃者は、データ窃取ツールを多様化させています
ランサムウェアの攻撃者は、攻撃において、 のデータ流出ツールのリスト（ （新しいタブで開きます）、、 ）を活用しています。 ここ3か月間だけでも、シマンテックは、データの持ち出しに利用されている少なくとも12種類の異なるツールを確認しました。 これらのツールには、一部のマルウェアも含まれていますが、その圧倒的多数は、悪意のある活動に利用されるデュアルユースの正規ソフトウェアです。
データ流出ツールを詳しく見てみましょう
シマンテックが調査した12のツールのうち、Rcloneは依然としてデータ流出に最も頻繁に使用されているツールです。 全体として最も成長が著しいカテゴリーは、当然のことながら、リモート管理ツールです。
- Rclone：これは、クラウド上のコンテンツを管理するために使用されるオープンソースのツールです。 これは、脅威アクターによってデータを盗み出すために悪用されています。
- AnyDesk、ScreenConnect、Atera、およびTightNVC：これらは、被害者のコンピュータへのアクセスを得るために利用される可能性のある、正規のリモートデスクトップ／リモート監視ツールです。
- RDP：このプロトコルにより、あるコンピュータから別のデバイスを制御することが可能になります。 攻撃者は、RDPプロトコルを利用するツールを悪用できるよう、この機能を有効にしようとすることがよくあります。
- Cobalt Strike：これは、一般的に使用されている市販のツールであり、「コマンドの実行、他のプロセスへのインジェクション、現在のプロセスの権限昇格、あるいは他のプロセスへのなりすまし、およびファイルのアップロードやダウンロード」を行うことができます。
- WinRAR：このアーカイブ管理ツールは、ファイルをアーカイブ化・圧縮するために使用されますが、脅威アクターによって、ファイルを外部へ持ち出すための準備に悪用される可能性があります。
- Restic：これはオープンソースのコマンドライン用バックアップツールです。 本製品は、複数のプラットフォームに対応するように設計されており、ローカルディレクトリ、Amazon S3、Azureなどのストレージバックエンドをサポートしています。
- WinSCP：これは、Windows用の正規のSFTPクライアントおよびFTPクライアントです。
- Pandora RC：以前はeHorusとして知られていたPandora RCは、正規のリモートアクセスツールです。 Windows、Linux、Mac用のエージェントがあり、脅威アクターによって、さらなるツールを展開するために悪用されています。
- Chisel：オープンソースのプロキシツールであるChiselは、暗号化されたトンネル接続を確立します。 ランサムウェア攻撃の際、この脆弱性が悪用され、脅威アクターのインフラへのトンネルが構築され、データが外部へ流出させられます。
事例研究：Rclone
シマンテックは、Rcloneを利用したRagnarLockerランサムウェア攻撃について詳細に調査しました。Rcloneは、脅威アクターが被害者の環境からデータを盗み出すためによく使用するツールです。 通常、脅威アクターは初期アクセス後にこれをインストールします。 非常に頻繁に使用されているため、攻撃者はRcloneの名前をsvchost.exeなど、別のものに見えるように変更し始めています。
その一例として、昨年のRagnarLocker攻撃が挙げられます。 この攻撃では、LSAの保護機能を無効にするPowerShellコマンドが実行されたことを受け、調査が開始されました。 その後、その俳優は、一般に公開されている別のツールであるnetscan.exeを実行し、ホスト名やその他のネットワークサービスを特定しました。
MimikatzとLaZagneをデプロイして認証情報をダンプした後、攻撃者は複数の「リビング・オフ・ザ・ランド（LotL）」ツールを使用して情報を収集し、コマンドを実行するとともに、リモートアクセス用にRDPを有効にしました。 その後、関係者たちはRcloneに切り替えて、ネットワーク共有からデータをコピーしました。 データ漏洩を目的として、さまざまな put[.]io の URL に対して Rclone による接続が行われました。 この攻撃は、RagarLockerランサムウェアの展開とファイルの暗号化をもって終了しました。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
攻撃者は、検知を回避するために、攻撃において正規のツールをますます活用するようになっています。 業界がこの傾向に気づくにつれ、脅威アクターたちは再び戦略を転換し、あまり知られていない（あるいは報道が少ない）ツールの使用を開始したり、使用中のツールの名称を変更したりするようになりました。
正当なツールの使用状況を監視し、悪意を持って使用されている事例を特定することは、困難な場合があります。 シマンテック社は、 に対する対策手順をいくつか提供しています。 （新しいタブで開きます） これらが参考になるかもしれません。
3。 Cadoは、 2H23年におけるクラウド脅威に関する主要な調査結果をまとめたレポートを発表しました。
Cado Security has released its Cloud Threat Findings report for the second half of 2023. 本レポートは、セキュリティチームがクラウドを標的とする脅威アクターからシステムを守る一助となることを目的としており、いくつかのクラウドベースのマルウェア攻撃キャンペーンについて詳しく解説しています。
また、Cado Security社は、ハニーポットインフラから収集したデータを技術的な調査結果と結びつけ、クラウドを標的とした現在の脅威の全体像を明らかにしています。
攻撃者はクラウドサービスについて熟知しています
Cado Securityのデータによると、攻撃者は現在、Docker、Redis、Jupyterといったクラウドサービスについて深い知識を有しています。 Cado Security社は、自社のハニーポットに対してDocker特有の知識が利用されていることを確認し、ホストのファイルシステムをマウントすることで、作成されたコンテナから脱出しようとしていた脅威アクターを特定しました。 同様に、彼らは、脅威アクターがRedisを悪用していることを確認しました。
Dockerは依然として、狙われやすい標的となっています
Dockerは 2023において、初期アクセスにおける標的として最も多く狙われたサービスであり続け、Cado Securityのハニーポットトラフィックの約 90％を占めました（SSHを除いた場合）。
K8s は2位となり、その割合はわずか7.61％でした。 Cado Securityは、今年を通じてDockerを標的とした長期にわたる攻撃キャンペーンをいくつか確認しました。その中には、公開されていたDocker APIエンドポイントを悪用して悪意のあるコードを実行した2件の事例も含まれていました。
Cado社の報告書から得られたその他の調査結果
Cado Securityは、脅威アクターがDocker、Redis、Kubernetes、Jupyterといったクラウド環境内のWeb向けサービスを悪用し続けていることを確認しました。
さらに、クラウドおよびLinuxを標的とした攻撃の大部分は、仮想通貨のマイニングを目的としたリソースの乗っ取りを伴っていました。 しかし、クリプトジャッキングはもはや、クラウド上の脅威アクターの唯一の標的ではありません。 また、現在では、スパム攻撃を大規模に実行するために、さまざまなクラウド型SMTP（Simple Mail Transfer Protocol）サービスが乗っ取られています。
最後に、Cadoは、他の多くの関係者も報告している傾向として、開発者が複数のオペレーティングシステム向けにコードをコンパイルできるようにするRustおよびGolangのマルウェアが増加していることを確認しました。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
クラウド技術を採用する企業が増えるにつれ、Cadoのレポートの重要性はますます高まっています。
本レポートの主な調査結果の一つは、攻撃者が「Docker、Redis、Kubernetes、Jupyterといった、悪用するために専門的な技術知識を必要とするサービスを標的とするケースが増加している」という点であり、これは「一般的なLinuxサーバーを攻撃する場合に必要な知識とは異なります」。
この発見だけでも、脅威の主体がいかに巧妙化しつつあるかがわかります。 また、これは、脅威アクターが特定のクラウドサービスを悪用するために必要なスキルを習得・開発するために、多大な時間を費やしている可能性が高いことを示唆しています。 とはいえ、攻撃者はクラウドサービスを標的にすることで、何らかの投資対効果（ROI）を得ているに違いありません。
これらの記事について、何かご意見やご感想など、共有したいことはありますか？ にアクセスし、Taniumのディスカッションフォーラム（ ）で会話を始めてみてください。
さらに詳しくお読みになりたい方は、当社の最近の「」サイバー脅威インテリジェンスまとめ（）をご覧ください。
