今週のまとめのトップを飾るのは、CTIによる、オンプレミス環境とクラウド環境の両方に属する資産を標的とした攻撃を含む破壊的な活動が発見されたという、マイクロソフトの懸念すべき報告書の概要です。
CTIは、ポーランド軍事防諜局からの勧告を踏まえ、ロシアの脅威アクター「ノーベリウム」による最新のサイバー諜報活動の概要をまとめ、本記事を締めくくります。
1. Mercury と DEV-1084：ハイブリッド環境に対する破壊的な攻撃
Microsoft Threat Intelligenceは、 （新しいタブで開きます） オンプレミス環境とクラウド環境の両方を標的とした破壊的な攻撃を検知しました。
これらの攻撃は、イランの支援を受ける国家主体の脅威アクターである「Mercury」によって実行されたもので、同グループは、攻撃中に「DEV-1084」というアクターと連携して、侵害後の破壊的行動を実施し、オンプレミス環境からクラウド環境へと攻撃の拠点を移したものとみられます。
この攻撃は、その活動を従来のランサムウェア攻撃に見せかけようとしており、その最終的な目的は破壊と機能妨害にあります。
- Mercury：Mercuryは、 として知られるほか、MuddyWater （新しいタブで開きます） とも呼ばれ、イラン政府とつながりを持つ国家主体の脅威アクターです。 より具体的には、マーキュリーはイランの諜報・治安省（MOIS）と関連があると言われています。 Mercuryによるこれまでの攻撃は、通信、地方自治体、防衛、石油、天然ガスなど、さまざまな分野にわたる政府機関や民間組織のオンプレミス環境のみを標的としてきました。 これまでの被害者は、主に中東、アジア、アフリカ、ヨーロッパ、北米に集中しています。 Mercuryはさらに 、昨年、 Log4j 2 の脆弱性を悪用する動きに便乗したことで、再び脚光を浴びました (新しいタブで開きます)。
- DEV-1084: DEV-1084 は、マイクロソフトが追跡しているもう1つのイラン系の脅威アクターであり、最新のキャンペーンにおいてMercuryと連携して活動していたとみられています。 DEV-1084は、今年初め、テクニオン （新しいタブで開きます） を標的としたランサムウェアおよび恐喝攻撃の一環として、「DarkBit」という名称を公に採用しました。 この攻撃は、コマンドラインオプションと最適化された暗号化ルーチンを用いて、イスラエルを標的としたものでした。
これら2つの脅威グループ間の関連性は、インフラ、IPアドレス、および使用ツールの重複に起因しています。 現時点では、これら2つの脅威アクター間の正確な関係や、両者が独立して活動しているのか、あるいはDEV-1084がMercuryのサブグループであり、Mercuryの運営者からこの種の破壊的攻撃を実行するよう指示があった場合にのみ活動を開始するのかについては、明らかではありません。
ハイブリッド環境への攻撃
マイクロソフトは、Mercuryが、パッチが適用されていないインターネットに接続されたデバイスを遠隔から悪用することで、初期アクセス権を取得すると考えています。 その後、MercuryはDEV-1084へのアクセス権を譲渡したようです。
攻撃者は、最初の侵入に何度か試みを行ったようですが、最終的には、公開されていた脆弱性のあるアプリケーションを悪用することで侵入に成功したようです。
アクセス権を取得した後、攻撃者は、持続性を確立するために、さまざまなツールや手法を展開しました。 これには以下のものが含まれていました：
- ウェブシェルのインストール
- ローカル管理者権限を付与する前に、ローカルユーザーアカウントを追加する
- RPort、Ligolo、eHorusなどの正規のリモートアクセスツールのインストール
- カスタマイズされた のPowerShellスクリプト「 」によるバックドアのインストール
- 認証情報の盗み出し
その後、攻撃者は、netstat や nltest といった Windows の標準ツールやコマンドを利用して、偵察活動を行いました。
盗まれた認証情報を悪用し、攻撃者はその環境内で横方向の移動を行うことができました。 これらの動作には、カスタマイズされたPowerShellバックドアを起動するためのリモートでのスケジュールされたタスク、コマンドを実行するためのWMI、およびエンコードされたPowerShellコマンドを実行するためのリモートサービスなどが含まれます。 新たに感染したデバイスには、上記の箇条書きで挙げたのと同じ持続化メカニズムが適用されました。
マイクロソフトによると、攻撃者は攻撃チェーンの次の段階に進むまでに、数週間（場合によっては数ヶ月）待つことがあったとのことです。
オンプレミスへの影響
攻撃者は、グループポリシーオブジェクト（GPO）を介してセキュリティツールを妨害し、高い権限を持つ認証情報を悪用してドメインコントローラーにアクセスしました。 これにより、彼らは大規模な暗号化への準備を整えることができました。
GPO を使用して、事前に複数のドメイン コントローラーの NETLOGON 共有に読み込まれていたランサムウェアを起動するスケジュールされたタスクを登録しました。 このランサムウェアのペイロードは、システム上に存在するファイルを暗号化し、DARKBITという拡張子を付加します。
オンプレミスからクラウドへ
攻撃者は、グループポリシーオブジェクト（GPO）を介してセキュリティツールを妨害し、高い権限を持つ認証情報を悪用してドメインコントローラーにアクセスしました。 これにより、彼らは大規模な暗号化への準備を整えることができました。 GPO を使用して、事前に複数のドメイン コントローラーの NETLOGON 共有に読み込まれていたランサムウェアを起動するスケジュールされたタスクを登録しました。 このランサムウェアのペイロードは、システム上に存在するファイルを暗号化し、DARKBITという拡張子を付加します。
クラウドの影響
攻撃者は、Azureリソースの一斉削除を行ったり、Exchange Web Server APIを悪用したり、電子メールのなりすましを行ったりすることができました。
- Azure リソースの削除： 攻撃者は、PIM（Azure Privileged Identity Management）を介してグローバル管理者権限を取得し、そのアクセス権限を昇格させて、管理グループおよび Azure サブスクリプションへのアクセス権を取得しました。 この侵害された管理者アカウントと、Azure AD Connector アカウントが、Azure 環境の破壊に利用されました。 この削除作業では、わずか数時間でサーバーファーム、仮想マシン、ストレージアカウント、および仮想ネットワークが削除されました。
- Exchange Web Server API の悪用： 攻撃者は、適切な権限と管理者の同意を持つ正規の OAuth アプリケーションを利用することで、Exchange Web Services を通じてメールボックスへの完全なアクセス権を取得しました。 これらの権限により、攻撃者はOAuthアプリケーションに証明書を登録して更新し、悪意のある活動を行うことが可能となりました。 その後、攻撃者はこのアプリケーションの権限を利用して、GetItem操作を実行し、数千件もの検索活動を行いました。これは、メールボックスデータを抽出したり、メールボックス内の機密データを検索したりするためだった可能性があります。
- メールのなりすまし： 侵害された管理者アカウントが、Azure AD Connector アカウントに対して SMTP の「代理送信」権限を付与するために使用されました。 この操作は、PowerShellのSet-Mailboxコマンドレットを使用して、ある上級管理職のメールボックスに対して実行されました。 その後、メールを作成し、社内外の双方に送信しました。
認証情報の抽出
ランサムウェアが展開される2週間前に、侵害された認証情報を使用してAzure AD Connectデバイスにアクセスされました。 この時点で、攻撃者は、自身が制御するデバイスに向けてSSHトンネルを確立しました。
ランサムウェアの展開の直前に、既知の攻撃者のIPアドレスがAzure AD Connectorのクラウドアカウントに認証されました。 このログインでは、認証情報のパスワードを推測したり変更したりする行為は確認されなかったことから、攻撃者はこのアカウントのパスワードをすでに把握していた可能性が高いと考えられます。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
「1回の攻撃でオンプレミス環境とクラウド環境の両方を標的とするハイブリッド型攻撃は、日常的に見られるものではありません。」 確かに、オンプレミス環境とクラウド環境の両方を標的とできる複数の亜種を持つマルウェアは存在するかもしれませんが、現在私たちが追跡している脅威アクターの間では、1回の攻撃でオンプレミスからクラウドへと攻撃の拠点を移すという実際の行為は、はるかに稀にしか確認されていません。」
「同様に、Mercuryがオンプレミス環境のみを標的としていた状態から、オンプレミス環境とクラウド環境の両方に対する攻撃を行うようになったことは、脅威の状況を形成する攻撃者たちが採用する手法における潜在的な進化を示しており、クラウド環境の悪用が増加していることを浮き彫りにしています。」 このキャンペーンでは、必ずしも新しくも斬新でもないTTPを活用しています。 例えば、認証情報の盗用、権限の昇格、Webシェルのインストール、悪意のあるグループポリシーの適用などは、いずれも過去の攻撃キャンペーンで確認されてきた手口です。」
「このキャンペーンの特徴は、2種類の異なるネットワーク環境へのアクセス権を得るために、これらのTTPを効果的に組み合わせて活用している点にあります。」 この攻撃は、2つの脅威アクターが連携して行っているように見えますが、両方の活動クラスターは、イランを拠点とする主要な脅威アクター「MuddyWater」と関連しているようです。 「これは驚くことではありません。イランの国家が支援する脅威アクターは、作戦の特定の部分を外部に委託することで悪名高いからです。」
2。 NATOやEUを標的とした大規模な攻撃に関与したとされるロシアのハッカーたち
ポーランド軍事防諜局の勧告によると、同局のコンピュータ緊急対応チーム（CERT）は、ロシア政府が支援するハッキンググループ「 APT29 」（ 、または、Nobelium （新しいタブで開きます） ）を、大規模なサイバー諜報活動の一環として、NATO加盟国および欧州連合（EU）加盟国を標的とした、最近相次いで発生している広範囲にわたる一連の攻撃と関連づけています。
キャンペーンの詳細
CERT.PLの （新しいタブで開きます） におけるアドバイザリでは、このキャンペーンが現在も継続中である点が特に指摘されていますが、Nobeliumによる活動の主な目的は、機密情報の大規模な収集にあるようです。こうした情報は、ロシア政府の目的と合致し、その達成を後押しするものです。 標的には、NATOに所属する外交機関やEU加盟国の外務省、さらにはアフリカ諸国が含まれています。
被害者分析や標的選定のパターンに関しては、ノーベリウムにとって決して新しい分野ではありません。 しかし、CERT.PLの報告によると、インフラやTTPが以前のNobeliumの活動と一部（あるいは完全に）重複しているにもかかわらず、今回のキャンペーンで導入された独自のソフトウェアが、この作戦を他とは一線を画すものとしているとのことです。というのも、このソフトウェアはこれまで「公に言及されたことがない」とみられるからです。
この勧告では、新しいツールが同時に、かつ互いに独立して導入されたと指摘されています。その背景には、ノーベリウムが、効果が薄れつつあるユーティリティを系統的に置き換えることで、攻撃者が従来通りの高い作戦ペース（OPTEMPO）を維持できるようにしているという考えがあります。
攻撃の詳細
CERT.PLの勧告に記載されているとおり、このキャンペーンを構成する一連の攻撃はすべて、スピアフィッシング攻撃（ ） から始まりました。この攻撃では、欧州各国大使館を装った電子メールが、外交職に就いている特定の職員に送信されました。
- そのメッセージには、会議への招待、あるいは文書作成への協力を求める依頼のいずれかが含まれていました。
- 各メッセージにはリンクが含まれていました。そのリンクは、メールの本文内にあるか、添付されたPDF文書の中に含まれていました。
- このリンクは、受信者がなりすまされた大使のカレンダーにアクセスできるように見せかけたり、会議の詳細を確認できるように見せかけたり、あるいは被害者をダウンロード可能なファイルに誘導したりするように仕組まれていました。
実際には、そのリンクは、悪意のあるスクリプトを含む乗っ取られたウェブサイトへ受信者を誘導するものでした。このスクリプトは、一般に「 ENVYSCOUT （新しいタブで開きます） 」として知られているコードであり、少なくとも2021年以降、Nobeliumによって悪用されてきたドロッパーです。
CERT.PLより：
これは「HTMLスマグリング」という手法を利用しています。この手法では、ページに埋め込まれた悪意のあるファイルが、ページが開かれた際にJavaScriptによってデコードされ、被害者の端末にダウンロードされます。 これにより、悪意のあるファイルが保存されているサーバー側での検出がより困難になります。 また、そのウェブページには、被害者が正しい添付ファイルをダウンロードしたことを安心させるための情報も表示されていました。
この勧告によると、攻撃者は3つの異なるバージョンの「ENVYSCOUT」を展開し、キャンペーンが進むにつれて、検知を回避し、分析を困難にするための新たな仕組みを段階的に追加していったとのことです。
ファイル形式の変更
CERT.PLによると、ノーベリウムによるものとされる過去の攻撃キャンペーンでは、マルウェアを配布するために.ZIPファイルや.ISOファイルが頻繁に利用されていたとのことです。 今回のキャンペーンでは、攻撃者は通常の攻撃手法に加え、.IMGファイルの利用も取り入れました。
.ISO や .IMG 形式のディスクイメージは、開くとファイルシステムに自動的にマウントされるため、その内容は Windows エクスプローラー内に表示されます。 さらに、これらのファイル形式には「マーク・オブ・ザ・ウェブ（MOTW）」が表示されないため、Windowsは、そのファイルがインターネットから取得されたものであることをユーザーに警告しません。
攻撃者は、被害者にマルウェアを実行させるよう誘導するために、さまざまな手法を用いました。
CERT.PLより：
そのうちの1つは、ドキュメントを装ったWindowsのショートカット（LNK）ファイルでしたが、実際には、攻撃者のツールが含まれた隠しDLLライブラリを実行するものでした。 また、DLLサイドローディングの手法も確認されました。これは、署名付きの実行ファイルを使用し、インポートテーブルのエントリに基づいて選択された名前で、同じディレクトリ内に配置された隠しDLLライブラリに含まれるコードを読み込んで実行するものです。 キャンペーンの後半では、exe拡張子が目立ちにくくなるよう、実行ファイルの名前に多くのスペースが含まれていました。
活用したツール
ENVYSCOUT以外にも、Nobeliumはキャンペーンの各段階でさまざまなツールを活用しました。 これらは、CERT.PL が公開している以下のリストに含まれており、それぞれについて詳細な技術的分析へのリンクが掲載されています：
- SNOWYAMBER （新しいタブで開きます）： 2022年10月 で初めて使用されたツールで、 Notion7 service 番の脆弱性を悪用して通信を行い、さらなる悪意のあるファイルをダウンロードします。 このツールには2つのバージョンが確認されています。
- HALFRIG （新しいタブで開きます）： 2023年2月で初めて使用されました。 このツールは、COBALT STRIKE ツールを実行する組み込みコードがある点で、他のツールとは異なります。
- QUARTERRIG （新しいタブで開きます）： 2023年3月 で初めて使用されたツールで、HALFRIG とコードの一部を共有しています。 このツールには2つのバージョンが確認されました。
CERT.PLより：
SNOWYAMBERおよびQUARTERRIGというツールが、いわゆるダウンローダーとして使用されました。 どちらのツールも、IPアドレスに加え、コンピュータとユーザー名を攻撃者に送信しました。 これらは、被害者が攻撃者の標的であったかどうか、またそれがマルウェア解析環境であったかどうかを評価するために使用されました。 感染したワークステーションが手動による検証を通過した場合、前述のダウンローダーを使用して、商用ツールである「COBALT STRIKE」または「BRUTE RATEL」を配信し、起動させました。 一方、HALFRIGは、いわゆるローダーとして機能します。つまり、COBALT STRIKEというペイロードを格納し、それを自動的に実行するのです。
このキャンペーンは、新たなマルウェアの出現（キャンペーンの進行に伴い、さまざまなアップグレードや改変が加えられました）という点でやや独特ではありますが、CERT.PL はこの作戦のいくつかの要素を「再現可能」であると説明しており、具体的には以下の攻撃の特徴を挙げています：
- インフラが構築される仕組みです。 このスパイ活動の背後にいる人物は、無作為に選ばれた組織が運営する脆弱性のあるウェブサイトを好んで利用しています。
- メールのテーマ。 キャンペーンで使用されたすべての取得済みメールは、外交機関間のやり取りをテーマとしていました。
- 一般に「ENVYSCOUT」と呼ばれるツールの利用。 この台本は、少なくとも 20219年以降、この俳優によって使用されてきました。 キャンペーン期間中、このツールのコードに変更が見られましたが、その機能性に大きな影響は及ぼしませんでした。
- ENVYSCOUTツール（ ）へのリンクが、メールの本文や添付されたPDFファイルの本文に埋め込まれたリンクという形で、被害者に提供されました。
- ISO および IMG ディスクイメージの使用について。
- 「DLLサイドローディング」と呼ばれる手法（ ）を利用し、悪意のないデジタル署名付きの実行ファイルを用いて、攻撃者のツールを起動させます。
- 商用ツール「 」「COBALT STRIKE」「BRUTE RATEL」の使用。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
「この特定のセキュリティ上の脆弱性に関するガイダンスは、 2021年4月から存在していたことは特筆すべき点です。 ブログ記事の見出しに「ゼロデイ」という言葉を含めれば、確かに注目を集めることは間違いありませんが、この特定の欠陥が本当に「ゼロデイ脆弱性」の一例であるかどうかについては、サイバーセキュリティの専門家の間で意見が分かれています。
さらに詳しくお読みになりたい方は、当社の最新の「」サイバー脅威インテリジェンスまとめをご覧ください。
