今週はまず、CTIが、悪名高いBlackCat/ALPHVランサムウェアの新たな亜種「Sphynx」に関するIBM X-Forceのレポートを調査します。 続いて、CTIは、Microsoftが発見した脆弱性について解説します。この脆弱性を利用すると、ルート権限を持つ攻撃者がmacOSのシステム整合性保護（SIP）のチェックを回避し、「削除不可能な」マルウェアをインストールすることが可能になります。 最後に、CTIでは、Group-IBが発表した最近のレポートを取り上げ、「Dark Pink」として追跡されている脅威アクターによる最新の活動について詳しく解説し、本記事を締めくくります。
1. 改良された「BlackCat」ランサムウェアは、電光石火の速さとステルス的な戦術で攻撃を仕掛けてきます
IBM Security X-Forceチームによる最新のレポートでは、 のBlackCat/ALPHVランサムウェア作戦における主要な更新内容が詳しく解説されています。 （新しいタブで開きます）。 今回のアップグレードには、ランサムウェアの処理速度、ステルス性、およびデータ窃取機能の向上が含まれています。
BlackCatとは何ですか？
- CTIは、BlackCat（ ）を、今日の組織が直面しているランサムウェア（ ）および恐喝の脅威の中でも、最も深刻なものの一つと見なしています。
- 攻撃者は主にBlackCatを利用して、政府、教育、製造、ホスピタリティ、医療の各セクターを標的にしています。
- BlackCatは、攻撃に二重恐喝の手口を取り入れようとしています。 盗まれたデータは通常、恐喝被害者への支払いを迫る圧力を強める手段として、その犯罪グループの公式リークサイトに掲載されます。
IBMのレポートの著者が説明しているように、BlackCatは 2022 年にのRustプログラミング言語 （新しいタブで開きます）へ移行しました。この決定は、同言語が提供するカスタマイズ性のほか、マルウェアの検出や分析を困難にするという点での有用性にも影響を受けたものと考えられます。
サイバー脅威の舞台に登場したとみられるようになってから1年半が経過しましたが、BlackCatグループの活動に衰えの兆しは見られません。 BlackCat/ALPHVは、サイバー脅威の分野に数多く存在するトップクラスのランサムウェア・アズ・ア・サービス（RaaS）の中でも、常に最も収益性の高いサービスの一つとしてランクインしており、LockBitなどの他の主要な恐喝グループと、身代金支払いの大部分を巡って熾烈な争いを繰り広げています。
スフィンクスとは何ですか？
IBMのX-Forceによる分析によると、SphynxはBlackCatの強力な新亜種であり、「検知を回避するための同グループの取り組みを強化する、数多くの更新された機能」が搭載されているとのことです。
IBM Security X-Forceより：
X-Forceの調査によると、BlackCatの関連グループは、データ窃取や暗号化といった攻撃の成功確率を高めるため、引き続きその手口を洗練させ続けていることが確認されています。 攻撃者は、「メルト」（自己削除）機能を備えたカスタムマルウェア「ExMatter」を使用して、この攻撃におけるデータ流出の工程を自動化しました。 さらに、BlackCatグループは最近、「Sphynx」と呼ばれるランサムウェアの新バージョンをリリースしました。この新バージョンは、防御策を無効化することを目的とした機能が強化されています。
ExMatterは.NETベースのデータ流出ツールであり、IBM X-Forceによると、Microsoftが「」DEV-0504として追跡している、あるBlackCatランサムウェアの関連グループによってのみ使用されています。 （新しいタブで開きます）。 前述のBlackCatの回避機能の強化に関してですが、SphynxバージョンのBlackCatには、検出や解析を妨げることを目的としたジャンクコードや暗号化された文字列が組み込まれています。 バイナリに渡されるコマンドライン引数も全面的に見直されました。これは、以前のバージョンとは一線を画す点です。
以前のバージョンでは、実行にアクセストークンパラメータを利用していましたが、最新バージョンではそのパラメータが完全に削除され、その代わりに一連のより複雑な引数が設定されるようになりました。 これはおそらく、ランサムウェアの検知を困難にするために行われたものと思われます。というのも、セキュリティ専門家には現在、ハンティング活動を行うための標準的なコマンドが不足しているからです。
これは驚くことではありません。BlackCatギャング自身が、このマルウェアは完全に一から書き直されたと主張しており、今回のアップデートの優先事項として「to optimize detection by AV/EDR (新しいタブで開きます)」と明記されているからです。
また、この新型モデルを先代モデルと一線を画す点として、「BlackCat Sphynx Loader」が追加されたことが挙げられます。
『The Hacker News』より：
Sphynxには、ランサムウェアのペイロードを復号化するローダーも組み込まれており、実行されると、ネットワークスキャンを行って他のシステムを探し出し、ボリュームシャドウコピーを削除し、ファイルを暗号化し、最後に身代金要求メッセージを表示します。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
「BlackCatがこれほど長く存続し、収益を上げ続けているのは、絶えず自らを刷新し、マルウェアが検知を逃れ、セキュリティ対策を回避できるようにする機能や性能をその都度向上させている能力によるものであることは明らかです。」
「セキュリティの専門家として、私たちも同様に柔軟に対応し続けなければなりません。」 CTIは、この脅威について重要な進展がないか引き続き注視し、必要に応じて最新情報を提供してまいります。」
2。 マイクロソフトは、ハッカーがSIPのルート制限を回避できるmacOSのバグを発見しました
マイクロソフトのセキュリティ研究者チームは、ルート権限を持つ攻撃者が、 システム整合性保護（SIP） （新しいタブで開きます） を回避し、「削除不可能な」マルウェアをインストールすることを可能にする脆弱性を発見しました。 また、攻撃者は、Appleの「透明性、同意、および制御（TCC）」というセキュリティ対策を回避することで、被害者の個人データにアクセスする可能性があります。
CVE-2023-32369について知っておくべきこと
このセキュリティ上の脆弱性は、マイクロソフトによって「Migraine」と名付けられ、CVE-2023-32369 (新しいタブで開きます) として追跡されていますが、macOSのSIP技術に起因するものです。
マイクロソフトより：
SIP（ ）は、macOS （新しいタブで開きます） に搭載されているセキュリティ技術であり、root ユーザーがシステムの完全性を損なうおそれのある操作を行うことを制限するものです。 SIPをバイパスすると、攻撃者やマルウェア作成者がルートキットを正常にインストールしたり、永続的なマルウェアを作成したりする可能性が高まり、さらなる攻撃手法やエクスプロイトに対する攻撃対象領域が拡大するなど、深刻な結果を招く恐れがあります。
SIP（ルートレス）は、rootユーザーアカウントに制限を課し、オペレーティングシステムの特定の保護領域内での権限を制限することで、悪意のある可能性のあるソフトウェアが特定のフォルダやファイルを変更することを防ぎます。 この仕組みは、「Appleによって署名されたプロセス、あるいは特別な権限を持つプロセスのみが、macOSの保護されたコンポーネントへのアクセスや変更を許可されるべきである」という指針に基づいて動作します。
発見と開発
マイクロソフトの研究者は、定期的なマルウェア調査の過程で、この脆弱性と、SIPの通常の制限を回避するために使用された手法を発見しました。 マイクロソフトの研究者は、Appleによって署名され、「com.apple.rootless.install.heritable」という権限を持つシステムプロセスに注目しました。 (新しいタブで開きます)。
この手法を用いて、研究者らは、SIPのチェックを回避しつつ、任意のコードを実行できるほど操作可能な2つの子プロセスを発見しました。
SIPと権限
マイクロソフトの説明によると、SIPはAppleのサンドボックスを活用することで、システムの根本からセキュリティを強化します。 これは、SELinuxがLinuxシステムを保護するのと同様に、プラットフォームの保護に役立ちます。
「SIPの最も際立った機能の一つは、ファイルシステムに対する制限機能であり、これによりファイルやディレクトリ全体が上書きされるのを防ぐことができます」とマイクロソフトは説明しています。 「SIPによってデフォルトで保護されているファイルやディレクトリは、一般的にシステムの整合性に関連するものです。」
さらに、稼働中のシステムにおいて、リカバリOSを経由する方法以外でSIPを無効にする手段はありません。この方法では、デバイスへの物理的なアクセスが必要となります。 したがって、SIPバイパスとは、リモートのユーザーがその制限を回避することを可能にする脆弱性です。 マイクロソフトは、このようなバイパスが実現された事例として、SIPによる制限を回避してSIPで保護されたディレクトリに書き込みを行う方法と、SIPで保護されたファイルを作成する方法の2つを挙げています。
次に、macOSのエンタイトルメントについて説明します。 Appleの ドキュメント では、 (新しいタブで開きます) において、これを「実行ファイルに特定の機能を与える権利または特権」と説明しています。
これらの権限を偽造する方法は存在しません。これらは、macOS内のセキュリティを確保するためにAppleによって広く採用されており、ごく特定のプロセスにのみ付与されているからです。
これらの権限について理解しておくべき重要な点は、あるプロセスにこれらの権限が付与されると、そのプロセスは設計上、SIPのセキュリティチェックをバイパスできるようになっているということです。
マイクロソフトより：
特に興味深い権限の一つに、 com.apple.rootless.install.heritable という権限があります。この権限により、そのプロセスの下位にあるプロセスツリー全体が、ファイルシステムに基づく「システム整合性保護」のセキュリティ制限を回避できるようになります。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
「マイクロソフトが説明しているように、SIPの任意バイパスには深刻な影響が伴います。その多くは、マルウェアの作成者が、実質的に削除不可能なコードを作成できる可能性が極めて高いという点に関連しています。」
「マイクロソフトは、その影響についてわかりやすいリストにまとめています。」 その中には、削除不可能なマルウェアの作成や、攻撃対象領域の拡大などが含まれます。 こちらからぜひご覧ください。 （新しいタブで開きます）。」
「Appleはその後、2週間前に 5月18日で公開された、、macOS Ventura 13.4 (新しいタブで開きます)、、macOS Monterey 12.6.6 (新しいタブで開きます)、および、macOS Big Sur 11.7.7 (新しいタブで開きます) 向けのセキュリティアップデートにおいて、この脆弱性に対する修正を適用しました。」
3。 「ダークピンク」のハッカーたちは、政府や軍関係組織を標的にし続けています
のグループ「Group-IB」による最近のレポート（ （新しいタブで開きます） ）では、「Dark Pink」として追跡されている脅威アクターによる最新の活動について詳述されています。このハッカーグループは、高度な持続的脅威（APT）と見なされており、最近ではインドネシア、ブルネイ、ベトナムの政府機関、軍事機関、教育機関を標的としていることが確認されています。これにより、同グループの被害組織リストに、3カ国にわたる5つの新たな組織が追加されました。 「 」ダークピンクハッカーグループ（ （新しいタブで開きます） ）は、少なくとも2021年半ばから活動を続けており、主にアジア太平洋（APAC）地域のさまざまな組織に対する攻撃を行っていると報じられています。
この報告書では、アジア太平洋（APAC）地域の複数の国の政府機関や軍事組織から機密情報を盗み出す活動を支援するために、特注のマルウェアを活用できる、新たな高度な脅威アクターについて解説しています。
特注のマルウェアを含むツールキットを擁する「Dark Pink」は、USBドライブを介してマルウェアを拡散させたり、DLLのサイドローディングやイベントトリガー型の実行手法を活用して、侵害されたシステム上でペイロードを実行したりしていることも確認されています。
さて、Group-IBは、前回の「 2023年1月 」レポートの続編とも言える今回のブログ記事「Dark Pinkが華々しく復活：3 カ国の5 の組織が被害者リストに追加」において、このハッカーグループの最新の活動を報告しました。
華々しく復帰しました
最新の調査によると、Group-IBのアナリストたちは、「Dark Pink」の新たな被害者を5件発見したと主張しています。
さらに、このグループの活動範囲は、従来の評価よりもかなり広いようです。このことは、ブルネイ、タイ、ベルギーに拠点を置く組織が、ダーク・ピンクによるものとされるサイバー攻撃を受けたという事実からも裏付けられています。
Group-IBより：
継続的な分析の結果、このグループは依然として活動中であることが判明しました。というのも、Dark Pinkは今年1月にブルネイの省庁を、そしてつい最近 2023年4月にはインドネシアの政府機関を攻撃したからです。 さらに、Group-IBの研究者たちは、 2022 による他の3件の攻撃も、この特定のAPTグループによるものと特定することができました。
キーポイント
- スピアフィッシング（）およびフィッシング（ ）は、依然としてこのグループが好んで用いる初期侵入手段となっています。
- このグループの攻撃ツール群（Group-IBの以前のレポートで説明されている通り、ファイルやメッセンジャーデータの窃取を目的として設計されたカスタムツールでほぼ構成されています）は、現在もDark Pinkによって使用されています。 多くのツールが大幅な機能強化が行われました。
- こうした機能強化の多くは、Dark Pinkのオペレーターが検知されずに済み、さまざまな自動化されたサイバーセキュリティ防御策を回避するのに役立っています。
- Group-IBの脅威インテリジェンス部門が実施した調査の結果、GitHub上で新たな「Dark Pink」アカウントが発見されました。 さらなる分析の結果、このアカウントは、1月にハッキンググループに関する情報が公表された直後に作成されたことが判明しました。このGitHubアカウントにより、「Dark Pink」の運営者は、侵害されたシステムに対してコマンドを発行することが可能となります。
- 最近のDark Pinkによる攻撃では、Webhookサービスを利用してHTTPプロトコル経由で盗んだデータを外部へ流出させると同時に、MS Excelのアドインの機能を活用して、TelePowerBot（KamiKakaBotの簡易版。 、PowerShellで記述されています：）の永続化を確立しています。
- また、Dark PinkはPowerShellコマンドを使用して、侵害されたデバイス上に正規のソフトウェアや開発ツールが存在するかどうかを確認し、攻撃者がさらなる攻撃活動に悪用しうるリソースを発見しようとしています。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
「Group-IBの調査によると、Dark Pink APTは極めて活発な脅威アクターであり、独自の攻撃ツールの継続的な開発に注力するとともに、活動範囲の拡大――地理的範囲および業界の双方において――に重点を置いていることが示唆されています。」
「Group-IBが指摘しているように、『APTグループは、その機敏な対応力と、検出を継続的に回避するために独自のツールを適応させる能力で知られていますが、Dark Pinkも例外ではありません。』」
「同グループによる標的パターンの最近の拡大や、分析・検知回避能力の向上への注力は、セキュリティ専門家にとって懸念すべき点です。また、現時点では特定の政府や国家との関連は確認されていませんが、『ダーク・ピンク』は重大な脅威と見なすべきです。」
これらの記事について、何かご意見やご感想など、共有したいことはありますか？ 、Taniumのディスカッションフォーラム （新しいタブで開きます）、、、 にアクセスして、会話を始めてみてください。
さらに詳しくお読みになりたい方は、当社の最近の「 」サイバー脅威インテリジェンスのまとめ記事をご覧ください。
