今週のまとめのトップ記事として、CTIは、大きな成功を収めているランサムウェアの亜種「LockBit 3.0 」に関する新たなアドバイザリについて取り上げます。 続いて、CTIは、CISAが最近相次いで実施している称賛に値する取り組みの最新事例――Microsoftのクラウド環境における悪意のある活動の兆候を検知するのに役立つ、新しいオープンソースのインシデント対応ツール――について詳しく解説します。 また、北朝鮮のサイバー諜報グループとみられる「 APT37 （ScarCruft）」による新たな活動についても取り上げています。
1. LockBit 3.0 ランサムウェアに関する新たな共同勧告が発表されました
3月16日 による共同サイバーセキュリティ勧告 （新しいタブで開きます） は、連邦捜査局（FBI）、サイバーセキュリティ・インフラセキュリティ庁（CISA）、および多州情報共有・分析センター（MS-ISAC）が作成したもので、悪名高く、その成功率もますます高まっている「LockBit 3.0 」ランサムウェアに関連する最新のIOCおよびTTPを周知するために公開されました。
この勧告に含まれる技術情報は、 2023年3月に実施されたFBIの捜査の過程で特定されたものです。
まずは基本から：LockBit 3.0とは何でしょうか？
LockBit 3.0 は、ランサムウェア・アズ・ア・サービス（RaaS）モデルに基づいて動作しています。 これらの活動は、LockBit 2.0 や LockBit を含む、ランサムウェアの以前のバージョンに関連して確認された活動の継続であると考えられます。
CISAの説明によると：
2020年1月以降、LockBitはアフィリエイト型のランサムウェアの亜種として機能してきました。LockBit RaaSを展開するアフィリエイトは、多種多様なTTP（戦術・技術・手順）を用い、幅広い企業や重要インフラ組織を標的として攻撃を行っているため、コンピュータネットワークの効果的な防御や被害軽減が困難になる可能性があります。
LockBit 3.0について知っておくべきこと
- LockBit 3.0 は、これまでのランサムウェアの中で最もモジュール化が進んだ亜種です。 「LockBit Black」としても知られるこの最新バージョンは、以前のバージョンよりも検知を回避する能力が高く、BlackmatterやBlackcatといった他のトップクラスのランサムウェアファミリーと類似点が見られます。
- LockBit 3.0 は、感染先の環境に応じて高い適応性とカスタマイズ性を備えており、コンパイル時にマルウェアの動作に影響を与える幅広いオプションが設定されます。
- LockBit 3.0 には、そのコードを保護し、マルウェアの検出や分析を妨げることを目的とした組み込みの仕組みが備わっています。
- 攻撃者は、リモートデスクトッププロトコル（RDP）の脆弱性を悪用することで、被害者のネットワークへの初期アクセス権を取得することができます。 その他の手口としては、有効なアカウントの悪用、一般公開されているアプリケーションの脆弱性の悪用、ドライブバイ攻撃、および フィッシングキャンペーンなどがあります。。
- LockBit 3.0 は、現在の権限レベルを確認します。 ランサムウェアがこの属性がないことを検知した場合、より好ましい権限の昇格を試みます。
- LockBit 3.0 は、侵入の際に多種多様なオープンソースツールを悪用していることが繰り返し確認されています。 これらのツールは、ネットワーク偵察、リモートアクセスやトンネリング、認証情報のダンプ、ファイルの持ち出しなど、さまざまな活動を支援するように設計されています。
さらに、LockBit 3.0 は、確認された侵入事例のほとんどにおいて、PowerShellやバッチスクリプトを巧みに活用していることが判明しています。 これらのユーティリティは、システムの検出、偵察、パスワードや認証情報の収集、および権限昇格を支援するものです。
CISAはまた、LockBit 3.0’s の暗号化機能についても次のように強調しています：
LockBit 3.0 は、[T1486 (新しいタブで開きます)] ローカルまたはリモートのデバイスに保存されているデータを暗号化しようとしますが、システムの主要な機能に関連するファイルは対象外となります…… ファイルが暗号化されると、LockBit 3.0 は新しいファイル名「.README.txt」の身代金要求メッセージを配置し、ホストの壁紙やアイコンをLockBit 3.0 のブランドイメージに変更します [T1491.001 (新しいタブで開きます)]。 必要に応じて、LockBit 3.0 は、暗号化されたホストおよびボットの情報を、コマンド＆コントロール（C2）サーバー [T1027 （新しいタブで開きます）] に送信します。
さらに、CISAはLockBit 3.0’s のデータ窃取機能について次のように指摘しています：
LockBit 3.0 のアフィリエイトは、以前LockBit 2.0 で使用されていたカスタムデータ流出ツール「Stealbit」を利用しています [TA0010 (新しいタブで開きます)]； また、オープンソースのコマンドライン型クラウドストレージマネージャーである「rclone」[T1567.002 (新しいタブで開きます)]や、MEGA [T1567.002 (新しいタブで開きます)]などの一般に利用可能なファイル共有サービスも使用し、暗号化を行う前に企業の機密データファイルを外部へ流出させています。 rcloneや多くの一般公開されているファイル共有サービスは、主に正当な目的で使用されていますが、脅威アクターによって、システムの侵害、ネットワークの探索、あるいはデータの持ち出しを助長するために悪用される可能性もあります。 LockBit 3.0 のアフィリエイトは、データを外部へ持ち出すために、他の一般に公開されているファイル共有サービスも頻繁に利用しています [T1567 (新しいタブで開きます)]。
CTIによる見通しとガイダンス
CTIは以前、LockBitランサムウェアを、金銭を目的とした最上位クラスのサイバー脅威として特定していました。 この最新の複数機関によるサイバーセキュリティに関する勧告は、この評価を裏付けています。
LockBitは、不満を抱いた開発者（LockBit 3.0のビルダーコードを公開した人物）による大規模な妨害行為から、見事に立ち直ることができたことが証明されました。 このランサムウェア攻撃の被害者には、重要なインフラ関連組織に加え、いくつかの著名な民間企業も含まれています。
TheHackerNewsによると、「産業用サイバーセキュリティ企業のDragosは、今年初め、 Q4 2022の重要インフラを対象とした 189 件のランサムウェア攻撃のうち、21％がLockBit 3.0 によるものであり、40 件のインシデントを占めていたことを明らかにしました。 「こうした攻撃の大部分は、食品・飲料業界および製造業に影響を及ぼしました。」
In November, the U.S. Department of Justice reported that the LockBit ransomware strain has been used against at least 1,000 victims worldwide, netting the operation over $100 million in illicit profits.
CISAより：
FBI、CISA、およびMS-ISACは、LockBit 3.0’s の活動を踏まえ、組織のサイバーセキュリティ態勢を強化するため、以下の対策を実施することを推奨しています。 これらの緩和策は、CISAおよび米国国立標準技術研究所（NIST）が策定した「セクター横断型サイバーセキュリティ達成目標（CPG）」に沿ったものです。 CPGでは、CISAおよびNISTがすべての組織に対して実施を推奨する、最低限の対策と保護措置が示されています。 CISAおよびNISTは、最も一般的かつ影響の大きいTTPから防御するため、 の既存のサイバーセキュリティ・フレームワークおよびガイダンス を基にCPGを作成しました。 CPGに関する詳細情報（追加で推奨される基本保護対策など）については、CISAの「セクター横断型サイバーセキュリティ達成目標（Cross-Sector Cybersecurity Performance Goals）」をご覧ください。
その他の実用的な緩和策については、元のアドバイザリをご覧ください。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
「この勧告は、ランサムウェアおよびサイバー脅威の全体的な状況にとって興味深い時期に発表されました。というのも、ますます多くのランサムウェア攻撃が、暗号化による恐喝から、データ窃取による直接的な恐喝へと移行しつつあるからです。」 例えば、 によると、BianLianランサムウェア （新しいタブで開きます） を展開するグループは、被害者のファイルを暗号化することから、純粋なデータ窃取を目的とした恐喝攻撃へと （新しいタブで開きます） 焦点を移しています。 「これは、CTIが 2023 年以降も引き続き続くものと見込んでいる傾向です。」
2。 CISAの新しいツールが、マイクロソフトのクラウドサービスにおけるハッキング活動を検知します
米国サイバーセキュリティ・インフラセキュリティ庁（CISA）は、 マイクロソフトのクラウド環境における悪意のある活動の兆候を検知するのに役立つ、新しいオープンソースのインシデント対応ツール「 」（新しいタブで開きます） を公開しました。
情報セキュリティ（InfoSec）コミュニティには、真面目な事柄に奇抜な名前をつけるという長年の伝統がありますが、「Untitled Goose Tool」は、サンディア研究所と共同で開発されたPythonベースのユーティリティであり、Azure Active Directory、Microsoft Azure、およびMicrosoft 365 環境からテレメトリ情報をダンプすることができます。
CISAより：
「Untitled Goose Tool」は、堅牢かつ柔軟な脅威検知・インシデント対応ツールであり、顧客の Azure Active Directory (AzureAD)、Azure、および M365 環境に対して包括的な調査を実施するために、斬新な認証手法やデータ収集手法を備えています。
上記のテレメトリに加え、Microsoft Defender for Endpoint（MDE）およびDefender for Internet of Things（IoT）からの追加のテレメトリも活用されています（D4IoT）。
ガチョウができること
BleepingComputerによると、CISAのが提供するクロスプラットフォームのMicrosoftクラウド調査・分析ツール「 」（新しいタブで開きます） を利用することで、セキュリティ専門家やネットワーク管理者は以下のことが可能になります：
- AADのサインインログおよび監査ログ、 M365 統合監査ログ（UAL）、Azureアクティビティログ、Microsoft Defender for IoT（モノのインターネット）のアラート、およびMicrosoft Defender for Endpoint（MDE）のデータをエクスポートして確認し、不審なアクティビティの有無を調査します。
- AAD、 M365、およびAzureの設定について、クエリを実行し、エクスポートし、調査します。
- 追加の分析を行うことなく、MicrosoftのAAD、Azure、および M365 環境からクラウド関連データを抽出します。
- UALの時間制限処理を行ってください。
- その期間内のデータを抽出してください。
- 「MDEデータについても、同様の時間制限機能を用いてデータを収集・検証してください。」
CISAは好調です
CISAによる防御担当者を支援するための今回の取り組みは、政府機関、民間企業、および重要インフラ組織に属する企業の保護への関与を強化するため、これまで行われてきた一連の先見的かつ透明性が高く、協調的な取り組みに続くものです。
例えば、CISAは最近、 「Decider」と呼ばれるオープンソースツールを公開しました。 （新しいタブで開きます） このツールは、セキュリティ担当者がMITRE ATT&CKマッピングレポートを作成するのを支援するものです。 Deciderのリリース直前に、CISAは1月に、MITRE ATT&CKマッピングに関する「 」ベストプラクティスガイド （新しいタブで開きます） を公開し、この標準規格を活用することの重要性を強調しました。
さらに、CISAは現在、 重要インフラ事業者に対し、 （新しいタブで開きます）インターネットに公開されているシステムのうち、ランサムウェア攻撃に対して脆弱なシステムについて警告を発しています。
後者の取り組みは、どうやらすでに成果を上げているようです。
CISAより：
CISAは、この予防的なサイバー防衛能力を活用し、 2023年1月以降、 60 を超える組織に対し、初期段階のランサムウェア侵入について通知を行ってきました。その対象には、エネルギー、医療・公衆衛生、上下水道システムの各分野における重要インフラ組織のほか、教育機関も含まれています。
BleepingComputerによると：
これに先立ち、米国の重要インフラをランサムウェアやその他のサイバー脅威から保護するため、 2021年8月 において、「共同サイバー防衛コンソーシアム（JCDC）」と呼ばれる新たなパートナーシップが発足しました。
サイバーセキュリティ機関は以前、 2021年6月 において、組織がランサムウェア攻撃の防止および復旧に向けた準備状況を評価できるよう支援することを目的とした、「ランサムウェア対応準備度評価（RRA）」と呼ばれる、サイバーセキュリティ評価ツール（CSET）の新しいモジュールを公開しました。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
「CISA（ ）とその指導部は、政府機関、民間企業、および重要インフラ組織に属する企業のサイバーセキュリティ向上に真剣に取り組んでおり、これは称賛に値します。」 私たちの多くは、国が包括的なサイバーセキュリティ政策やインフラを整備するのを長い間待ち望んでまいりましたが、こうした最新の取り組みは、その方向に向けた前向きな一歩と言えます。 「CISA、よくやりました。」
3。 スカークラフトの進化し続ける武器庫
Zscalerは、 （新しいタブで開きます） 2月に非常に活発に活動していた「ScarCruft」としても知られる APT37のTTPsを監視しており、 2023年3月。
APT37 （新しいタブで開きます） は、北朝鮮政府が支援するサイバー諜報グループです。 このグループは、これまで韓国、日本、ベトナム、ロシアなどの国々で標的を定めてきました。 APT37 はこれまで、ウォーターホール攻撃、脆弱性の悪用、悪意のある添付ファイルを含むフィッシングメールなどの感染経路を活用してきました。APT37 は、ChinottoというPowerShellバックドアを配布していることがよく確認されています。
研究者たちは最近、 APT37のメンバーが所有するGitHubのリポジトリを発見しました。 脅威アクターの運用上のセキュリティ上の不備とみられる事象により、Zscalerは、同グループが利用していた悪意のあるファイルに関する情報にアクセスすることができました。 このリポジトリは、脅威アクターが利用した多種多様な悪意のあるペイロードを一時的に保管するために使用されていました。
GitHubリポジトリから取得した情報により、研究者たちは、 APT37 がソーシャルエンジニアリングの餌としてどのようなテーマを用いているかについて、洞察を得ることができました。 こうしたテーマには、地政学に関連する投資対象、学術機関、そして韓国の企業などが含まれます。
最近のTTP
- CHM（: APT37 ）は、ChinottoというPowerShellバックドアを頻繁に使用しており、悪意のあるWindowsヘルプファイルやCHMファイルを介してエンドポイントにこれを展開します。 CHMファイルはアーカイブファイルとして配布されており、そのほとんどには、悪意のあるCHMファイルと、被害者に表示されるおとりファイルという2つの構成要素が含まれています。 確認されたおとりファイルは、多くの場合パスワードで保護されており、そのパスワードはCHMファイル内に含まれています。
- MS Excel アドイン「」： 3月15日 で観測されたキャンペーンにおいて、 APT37 が GitHub リポジトリに悪意のある Excel アドインをアップロードしていることが確認されました。 このグループがXLLファイルを利用しているのが確認されたのは、これが初めてでした。 このXLLファイルは、XLSファイルを抽出して、次のパスに保存します：C:\programdata\20230315_SejeongSupport[.]xls。 これは、おとりとして、あくまでソーシャルエンジニアリングの餌としてのみ使用される、ドロップされたXLSファイルを表示しています。 その後、MSHTAを起動し、yangak[.]comのURLからHTAファイルをダウンロードします。 ダウンロードされたHTAファイルには、PowerShellバックドア「Chinotto」が含まれています。
- LNK: 2022年8月 にアップロードされ、ほぼ同時期に実際の攻撃で確認されていた一部の LNK ファイルが、GitHub リポジトリから復元されました。 LNKファイルはRARアーカイブ内に含まれていました。 また、韓国の企業LGのログインページを装ったHTMLファイルも存在していました。 LNKファイルは、MSHTAを実行し、攻撃者が制御するサーバーから悪意のあるHTAファイルをダウンロードするために使用されました。 この攻撃チェーンの結果、同じPowerShellバックドア「Chinotto」がインストールされます。
LNKファイルのメタデータによると、これらのファイルはVMWareを実行している仮想マシン上で生成されたものであり、そのMACアドレスは 00:0c:29:41:1b:1cであることが判明しました。 この脅威アクターは、同じ仮想マシンを使用して複数のペイロードを生成しており、これは脅威ハンティングや今後の犯行者の特定に役立ちます。
- また、マクロを含むMS Officeファイル「: APT37 」が、GitHubリポジトリにマクロを含むMS Office Wordファイルをアップロードしていることも確認されました。 このマクロは、MSHTAを起動してChinottoをダウンロードします。
- OLEオブジェクトが埋め込まれたHWPファイル: APT37 は、OLEオブジェクトが埋め込まれたHWPファイルを使用して、エンドポイントにChinottoを展開しました。 OLEオブジェクトは、クリック可能な要素の形で存在しており、悪意のあるPEペイロードを実行するには、被害者がこれをクリックする必要があります。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
“APT37 は、極めて高度であり、そのTTPを絶えず進化させ続けている、また別のAPTです。 「悪意のあるペイロードを含むGitHubリポジトリを、 2 年以上にわたり、検知も削除もされることなく維持し続けてきたという事実は、その作戦の高度さをさらに浮き彫りにしています。」
「 がCHMファイルを利用してマルウェアを配布している件 (新しいタブで開きます) が、最近、北朝鮮と関連のある別のグループ「Kimsuky」によって悪用されていることが確認されました。 Kimsukyは、CHMファイルを利用して、クリップボードのデータやキー入力のデータを収集するバックドアを拡散させました。
「CHMファイルは、北朝鮮のAPTにとって次の大きなトレンドとなるのでしょうか？」 「それは時が経てば分かることでしょう。」
これらの記事について、何かご意見やご感想など、お聞かせいただけませんか？ 、Taniumのディスカッションフォーラム （新しいタブで開きます）、、 にアクセスして、会話を始めてみてください。
さらに詳しくお読みになりたい方は、当社の最新の「」サイバー脅威インテリジェンスまとめをご覧ください。
