ロシアの国家支援を受けたハッカー集団「 APT29 continues 」が、話題を呼び、頭痛の種となっています。 今週は、脅威アクターが持つ「MagicWeb」と呼ばれる新たな侵害後の機能について詳しく掘り下げます。この機能により、 APT29 は侵害されたネットワーク内の任意のユーザーとして認証を行うことが可能になります。また、APT29 がAzure Active Directoryサービスを悪用し、米国およびNATO加盟組織のアカウントをハッキングしている実態についても検証します。 さらに、ハッカーたちがCobalt Strikeの代替としてSliverツールキットをどのように活用しているかについても詳しく解説しています。
1. マイクロソフトは、侵害発生後に任意のユーザーとして認証を行う APT29’s の手法を詳細に説明しています
マイクロソフトの脅威インテリジェンスセンター（MSTIC）が発表した新たな報告書によると、ロシア政府が支援する高度な持続的脅威（APT）グループ「 APT29 」（別名「Nobelium」および「Cozy Bear」）が、「MagicWeb」と呼ばれるのポストエクスプロイトツールを開発したことが明らかになりました。 （新しいタブで開きます）。このツールにより、攻撃者は任意のユーザーとして認証を行うことが可能になります。
マイクロソフトは、「MagicWeb」と名付けた侵害後の機能を発見しました。これは、NOBELIUMとして追跡されている脅威アクターが、侵害した環境への持続的なアクセスを維持するために利用しているものです。 詳細な技術分析と狩猟のガイドはこちらをご覧ください： msft.it/6016jeB4i
APT29とは誰のことですか？
APT29を初めてご利用になる方へ、このグループは非常に活発で、多才であり、複数のキャンペーンを同時に展開することが可能です。 このグループの標的には、米国、欧州、中央アジアに拠点を置く政府機関、非政府組織（NGO）、政府間組織（IGO）、およびシンクタンクが含まれます。
MagicWebとは何ですか？
APT29 は現在、「MagicWeb」と呼ばれる侵害後の機能を利用しており、これにより同グループは侵害された環境への持続的なアクセスを維持し、横方向の移動を実現しています。 MagicWebは、Active Directory Federated Services（AD FS）サーバーによって生成されたトークンを改ざんすることを可能にする悪意のあるDLLで構成されています。 MagicWebは、署名用証明書とは異なり、認証に必要なユーザー認証証明書を扱います。
MSTICの研究者らは、MagicWebは継続中の侵害の過程で何らかの時点で展開された可能性が最も高く、 APT29 が「排除を未然に防ぐための戦略的な是正措置」の期間中、アクセスを維持するためにこれを活用したと分析しています。
同レポートではさらに、「…『 2021年9月』において、マイクロソフトは『』と呼ばれるポストエクスプロイト機能を開示しました。FoggyWeb （新しいタブで開きます） この機能は、MagicWebと同様の手法と目的を持っています。」と述べられています。 FoggyWebは、侵害されたAD FSサーバーの設定データベースを外部へ持ち出し、のトークン署名証明書 (新しいタブで開きます) および のトークン復号証明書 (新しいタブで開きます) を復号し、さらに追加のマルウェアコンポーネントをダウンロードして実行することが可能でした。 MagicWebは、FoggyWebのデータ収集機能を超え、直接的な隠密アクセスを可能にします。」
MagicWebのリスク軽減策
APT29’s ability to deploy MagicWeb hinges entirely upon obtaining access to the highly privileged credentials with administrative access to AD FS servers. したがって、AD FS システムを最上位の極めて重要な資産として扱い、ドメイン コントローラーや、技術スタック内で重要とみなされるその他の資産に対して適用するのと同じ保護対策を講じることが極めて重要です。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
「MSTICが明らかにしたように、MagicWebという機能自体は、 APT29 にとって決して新しい領域ではありません。また、同グループによる身元情報や認証済みアクセス権の悪用も同様です。」
APT29’s の高度な手口、これまでにも注目を集めた侵害事例の履歴、手法の絶え間ない進化、そしてマルウェアのレパートリーの拡充といった点を踏まえると、MSTICがレポートの終盤で、推奨されるハンティングの指針や高度なハンティングクエリをいくつか提示してくれたことは喜ばしいことです。 「マイクロソフトの『Defender Antivirus』と『Defender for Endpoint』は、それぞれこの脅威を検知し、警告を発します。」
2。 ロシアのハッカーがAzureサービスを悪用し、米国およびNATOのMicrosoft 365 アカウントをハッキングしました
サイバーセキュリティ企業マンディアント（Mandiant）の最近の報告によると、 APT29 は、に掲載されている米国およびNATO関連組織のMicrosoft 365 アカウントを標的としており、 （新しいタブで開きます） から機密データを盗み出そうとしていることが明らかになりました。
APT29’s 最近の活動の特徴としては、運用セキュリティ（OPSEC）への継続的な重視と、マイクロソフトを標的とした高度な戦術を特徴とするスパイ活動が挙げられます 365。
マンディアント社は、最近の作戦で使用された以下の APT29 のTTPを挙げています：
- ライセンスの無効化： Microsoft 365 では、自社製品スイートにおけるサービスへのユーザーアクセスを管理するために、さまざまなライセンスが利用されています。 こうしたライセンスでは、ログの保存期間や電子メールへのアクセス履歴の記録など、セキュリティ設定が規定されていることがよくあります。
「Purview Audit」では、「Mail Items Accessed」監査機能が有効化されており、メールアイテムにアクセスされるたびに、ユーザーエージェント文字列、タイムスタンプ、IPアドレス、およびユーザーが記録されます。 この監査機能では、Graph API、Outlook、ブラウザ、その他の方法のいずれを使用する場合でも、あらゆる種類のメールへのアクセスが記録されます。
- MFAによる休眠アカウントの乗っ取り： 多要素認証（MFA）には数多くの利点がありますが（ ）、、依然として攻撃に対して脆弱であり、脅威アクターはこれを回避する新たな手法を絶えず考案しています。 マンディアントは以前、脅威アクターが のプッシュ型MFAを悪用し、 （新しいタブで開きます） を通じて、ユーザーが最終的にプロンプトを受け入れて脅威アクターへのアクセスを許可するまで、通知をスパムのように送り続ける手口について解説しました。
- OPSECに注力： 最近の活動動向からも明らかなように、 APT29 はOPSECやセキュリティ、および検知回避の手法に対して、引き続き強い取り組み姿勢を示しています。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
「キャリアの大部分を APT29’s の変遷を見守ってきた私たちにとって、この脅威アクターは、ロシアの国家支援型ハッキングチーム――とりわけ国家の諜報機関と明確なつながりを持つチーム――が享受しているリソース、訓練、ツールへのアクセスを、明らかに最大限に活用しています。 APT29 は、技術的手法の継続的な向上と開発に強く注力しており、とりわけ、APT29 が高度なOPSECを維持するために活用している手法の洗練において、その姿勢が顕著です。
このグループは、技術の進歩に十分についていける能力を十分に実証しており、マンディアント社の「Outlook」セグメントの表現を借りれば、CTIは「 APT29 が、Microsoft 365 に斬新かつ目立たない方法でアクセスするための手法や戦術の開発に、今後も遅れを取らないだろう」と確信しています。
3。 ハッカーたちは、Cobalt Strikeの代替としてSliverツールキットを採用しています
8月24日 Microsoftのブログ記事 （新しいタブで開きます）によると、脅威アクターが、人気があり非常に効果的なペネトレーションテストスイート「Cobalt Strike」の使用をやめ、、Brute Ratel （新しいタブで開きます）、そして最近では「Sliver」として知られるオープンソースのクロスプラットフォームキットといった、類似しているもののあまり知られていないフレームワークへと移行していることが確認されています。
マイクロソフトによると、同社の研究者は、Sliverコマンド＆コントロール（C2）フレームワークが、国家が支援する脅威アクターや、ランサムウェアや恐喝を専門とするサイバー犯罪組織による侵入攻撃において、ますます採用されるようになっていることを確認しました。また、このフレームワークは、検出を回避するために、その他のさまざまな脅威アクターによっても活用されています。
Sliverは 2019 年に初めて登場し、セキュリティの専門家向けに宣伝されました。 これは、Go言語で記述されたオープンソースのフレームワークで、GitHubで公開されています。 Sliverには、複数の同時ユーザーへの対応、さまざまなリスナータイプ、ユーザー作成の拡張機能、ペイロード生成など、 C2 フレームワークの標準的な機能がいくつか備わっています。 マイクロソフトは、 2020年12月以降、脅威アクターがSliverを自身のツールキットに組み込んでいるのを確認したと述べています。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
「Cobalt Strikeは、長年にわたり、あらゆる種類の脅威アクターに愛用されてきたフレームワークです。 そのため、防御側の検知戦略は着実に成熟してきており、サイバー犯罪者によるその利用手法も徹底的に解明されていることから、より多くの脅威アクターが次の段階へと進み、Sliverのような別のマルウェアフレームワークを採用し始めているのも不思議ではありません。 この特定のフレームワークがサイバー犯罪の新たな「MVP」となるか、あるいはその栄誉が他のフレームワークに与えられることになるかは、結局のところ大した問題ではありません。ただし、組織が、Sliverやその同類のフレームワークが引き金となり得る悪意のある活動を将来的に特定・防止するための「ハンティング・プレイブック」を、先を見据えて積極的に策定する取り組みを行っている限りにおいて、の話ですが。
Taniumの「Converged Endpoint Management（XEM）」ソリューションが、サイバー脅威から企業をどのように守ることができるか、実際に体験してみませんか？ 今すぐTaniumをお試しください。
また、 の最新のサイバー脅威インテリジェンスまとめについては、こちら（）からご覧いただけます。
