今週のまとめでは、CTIがBlackCatのランサムウェア運営者による最新の活動状況、およびツールの最新アップデートについて明らかにしています。 Next CTIは、ラザルス・グループに所属する2つの北朝鮮の国家系脅威アクターと、それらが最近行った CVE-2023-42793への攻撃について調査しています。 CTIの報告書では、脅威アクターがMacを侵害するために新たな手法をどのように活用しているかについて詳細に分析しており、これを受けてAppleは防御体制を進化させ、組み込みのマルウェア対策機能を強化しています。
1. BlackCatのオペレーターが、Munchkinユーティリティをご紹介します
、BlackCatランサムウェア （新しいタブで開きます） を運営するグループは、最近、ツールの更新を発表しました。これには、「Munchkin」と呼ばれるユーティリティが含まれており、これにより脅威アクターは、BlackCatのペイロードをネットワーク内のリモートマシンや共有フォルダに拡散させることが可能になります。
最近入手した「Munchkin」のインスタンスが、カスタマイズされたAlpine仮想マシンに読み込まれています。これにより、脅威アクターは仮想マシン（VM）を利用してセキュリティ対策を回避することが可能になります。
BlackCatランサムウェアについて
BlackCatは、ランサムウェア・アズ・ア・サービス（RaaS）として運営されており、提携パートナーは、利益の一部を受け取る見返りとして、同グループのツールを利用することができます。 このグループは、従来は米国内の被害者に焦点を当てていましたが、長年にわたり活動範囲を広げ、さらなる能力や隠蔽手法を活用できるよう進化してきました。
BlackCatは、これまで主に米国内の被害者に焦点を当ててきました。 しかし、このマルウェアファミリーは、人気が高まっていることから、最近その活動範囲を拡大しています。 このマルウェアファミリーは、長年にわたり進化を続け、さらなる機能や難読化メカニズムを活用するようになっています。
BlackCatが「Munchkin」ユーティリティを発表しました
同グループは最近、「Munchkin」と呼ばれる新しいツールを発表しました。これは、BlackCatの最新亜種であるSphynxを搭載したLinuxベースのOSを提供するものです。 管理者は、Munchkin ユーティリティを使用して、リモートマシン上で BlackCat を実行したり、リモートの SMB/CIFS を暗号化したりすることができます。
- BlackCatの新しいMunchkinユーティリティは、ISOファイルとして被害者に配信され、新しくインストールされたVirtualBox仮想化製品のインスタンスに読み込まれます。
- このISOファイルは、Alpine OSをカスタマイズして実装したものです。 この脅威アクターは、そのフットプリントが小さいという理由から、これを選んだ可能性が高いと思われます。 OSの実行中に、マルウェアがVMのrootパスワードを変更できるようにするいくつかのコマンドが実行されます。
- その後、組み込みのtmuxユーティリティを介して新しいターミナルセッションを生成し、これを使用して「controller」という名前のマルウェアバイナリを実行した後、VMの電源を切ります。
- このコントローラー型マルウェアは、他の関連ファイル数点とともに、/app ディレクトリ内に格納されています。 注目すべきファイルとしては、/app/controller、/app/config、および /app/payload などがあります。 このほかにも、VM内での今後の更新作業で使用できるPythonスクリプトがいくつか用意されています。 これらのスクリプトの多くは、ラテラルムーブメント、パスワードのダンプ、およびマルウェアのさらなる実行に利用される可能性があります。
コントローラー型マルウェア
このコントローラー型マルウェアはRustで記述されており、その記述方法はBlackCatマルウェアファミリーと非常に似ています。
実行されると、独自の1バイトXOR演算を用いて、いくつかの文字列を復号します。 その後、期待される設定ファイルとペイロードファイルが /app ディレクトリ内にあることを確認するための基本的なチェックを行います。 確認されれば、設定ファイルを解析します。 そうでない場合は、エラーメッセージを表示して終了します。
/app/config ファイルには、アクセストークン、タスク識別子、被害者の認証情報、BlackCat の被害者 URL、ブロックリストに登録されたファイルの種類とパス、および暗号化の対象となるホストや共有フォルダなどの情報が含まれています。 その後、BlackCatのインスタンスをホストするために使用される「/payloads/」ディレクトリが作成され、マウントされます。 このコントローラーは、/app/payload をテンプレートとして使用し、カスタマイズされた BlackCat サンプルを作成します。 テンプレートファイル内には、コントローラーが検索し、ファイルの変更に利用する複数の特定のマーカーが含まれています。
作成されたファイルには、/payloads/0 という形式で連番が付けられます。 ペイロードの作成が完了すると、マルウェアは指定された設定を順に処理し、指定されたSMB/CIFSドライブをすべて感染させようとします。 マルウェアの実行が完了すると、VMは電源が切られ、それ以上の動作は行われません。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
BlackCatは、かなり長い間、最も活発なランサムウェア組織の一つであり続けています。 この事業では、最新の「マンチキン」ユーティリティのような新機能や工具が絶えず導入されており、それが継続的な成功に大きく寄与していることは明らかです。
カスタマイズされた仮想マシン（VM）を利用してマルウェアを展開するという最新の戦術は、脅威アクターの間で徐々に普及しつつあり、近い将来、さらに多く見られるようになる可能性があります。
2。 北朝鮮の「ラザロ」グループの攻撃者が、JetBrains TeamCityの脆弱性を悪用しています
マイクロソフトによると、北朝鮮の国家支援型 脅威アクターである「ラザルス・グループ」 に所属する2名が、を通じて、 CVE-2023-42793件の （新しいタブで開きます）を悪用しているとのことです。 このリモートコード実行の脆弱性は、継続的インテグレーション／継続的デプロイメント（CI/CD）アプリケーションであるJetBrains TeamCityサーバーの複数のバージョンに影響を及ぼしています。
攻撃者は、この脆弱性を悪用してバックドア型マルウェアを仕込み、ソフトウェアサプライチェーン攻撃を実行している可能性が高いと考えられます。
ダイヤモンド・スリーとオニキス・スリー
マイクロソフトが確認した2つの脅威アクターは、「Diamond Sleet」と「Onyx Sleet」（別名「 」「Andariel」「」）です。 どちらも、「ラザロ・グループ」として知られる悪名高い国家主体の攻撃グループの一員です。
- Diamond Sleetは通常、世界中のメディア、ITサービス、防衛関連組織を標的としていますが、最近ではセキュリティ研究者も標的にしていることが確認されています。 このグループは以前にも、ソフトウェアのサプライチェーンを標的とした攻撃を行ったことがあります。
- Onyx Sleetは、主に韓国、米国、インドに拠点を置く防衛およびITサービス企業を標的としています。 彼らは、システムへの定着を図るために幅広いツールを活用しており、初期アクセスを得るためにN-day脆弱性を頻繁に悪用しています。
攻撃経路 1：ダイヤモンドのみぞれ
この攻撃は、 CVE-2023-42793 の脆弱性を悪用してTeamCityサーバーへの侵入に成功したことから始まります。
この攻撃の後、Diamond SleetはPowerShellを利用して、以前に侵害されていた正規のインフラストラクチャから追加のペイロードをダウンロードしました。 これらのペイロードは、C:\ProgramData ディレクトリに「 Forest64.exe」および「 4800-84DC-063A6A41C5C」として保存されており、前者は後者の存在を確認します。
4800-84DC-063A6A41C5C の復号化された内容は、ForestTigerマルウェアの設定ファイルです。Forest64.exeは、永続性を確保するために、システムの起動時に実行されるスケジュールされたタスクを作成します。 また、ForestTigerバックドアを利用して、LSASS経由で認証情報をダンプします。
Attack path 2: Diamond sleet
また、この同じ攻撃者は、 CVE-2023-42793 の脆弱性を悪用した後、DLLの検索順序ハイジャック攻撃に使用するためのペイロードを展開しています。 そのために、彼らはPowerShellを利用して、自社のインフラから悪意のあるDLLをダウンロードしています。 このDLLは、正規の実行ファイルと一緒に配置されています。
正規の clip.exe によって Version.dll が読み込まれると、脅威アクターのインフラストラクチャからダウンロードされた readme.md ファイルの内容が読み込まれ、復号化されます。 このファイルには、Version.dllに埋め込まれた位置独立コードを復号化し、最終段階のRATを起動するためのデータが含まれています。 第2段階の実行ファイルは、マルウェアが C2のために使用するURLが記載された設定ファイルを復号します。 また、マイクロソフトは、この脅威アクターがLSASSを介して認証情報をダンプしていることを確認しました。
Attack path 3: Diamond sleet
3つ目の確認された攻撃経路は、オニキス・スليートによって実行されます。 また、 CVE-2023-42793 の脆弱性をうまく悪用することから始まります。
この例では、攻撃者は侵害されたシステム上に「krtbgt」という名前の新しいユーザーアカウントを作成しています。これは、正規の Windows アカウント「KRBTGT」になりすますために使用されている可能性が高いと考えられます。 その後、このアカウントは「net use」コマンドを使用して「ローカル管理者」グループに追加されます。 Onyx sleetは、独自のペイロードを、自社のインフラストラクチャからC:\Windows\Temp\temp.exeまたはC:\Windows\ADFS\bg\inetmgr.exeのいずれかにダウンロードして展開します。 ペイロードは、埋め込まれたPEリソースを復号化し、それをメモリに読み込んで実行します。 内部のペイロードは、持続性を確立するために使用されるプロキシツールであり、HazyLoadであると特定されています。
また、この脅威アクターは、作成した「krtbgt」アカウントを使用して、RDP経由で侵害されたデバイスにログインしていることが確認されています。その際、TeamCityサービスを停止させ、LSASSを介して認証情報をダンプし、ブラウザに保存されている認証情報を取得するためのツールを展開しています。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
先月、このTeamCityの脆弱性に対する修正プログラムがリリースされたにもかかわらず、マイクロソフトは10月初旬からこの活動を監視し続けており、これは、まだパッチが適用されていない脆弱なインスタンスが依然として存在していることを浮き彫りにしています。
この活動で確認された2つの脅威アクターは、いずれもラザルス・グループに所属していますが、 CVE-2023-42793 の脆弱性を悪用した後、それぞれの目的を達成するために異なるツールセットや攻撃経路を使用していました。
ラザラス・グループおよびその関連するすべてのクラスターは、高度な脅威であり、甚大な被害をもたらす攻撃を仕掛ける能力を有しています。 彼らのTTPは攻撃のたびに急速に変化しているため、彼らの最新の動向を把握し、適切な検知体制を整えておくことが重要です。
3。 脅威アクターは、進化し続ける手口を用いてmacOSを標的にしています
2023 は、Macを侵害するためのいくつかの新しい手法をもたらしました。 その結果、Appleは防御体制を強化し、マルウェア対策ツール「XProtect」に新たなルールを継続的に追加しています。
SentinelOneの新しいレポートでは、 で最近発見された主要なmacOSマルウェア （新しいタブで開きます） について取り上げ、脅威アクターがmacOSデバイスを侵害するためにどのように適応・調整を行っているかを詳しく解説しています。
情報窃取型マルウェアにとって、持続性はもはや優先事項ではありません
今年は、意図的に永続化を回避するmacOS向けマルウェアのファミリーが増加しています。 これは情報窃取型マルウェアの特徴であり、通常、1回の実行で目的を達成しようとする傾向があります。
盗んだデータが脅威アクターにとってどれほど大きな利益をもたらすかを考えれば、彼らは通常、デバイス上に持続的に潜伏する必要はありません。 外部に流出させたデータは、多くの場合、脅威アクターにさらなるアクセスや侵害を行うために必要な情報を提供してしまいます。
増加傾向にある：標的型ソーシャルエンジニアリング
現在、攻撃者は、特にmacOSに関連するインシデントにおいて、より洗練されたソーシャルエンジニアリングの手法を用いています。
例えば、 、RustBucket、 （新しいタブで開きます）、、 といったmacOS向けマルウェアは、被害者に「機密」文書を開かせ、裏でマルウェアを実行するPDFビューアをダウンロードさせるように仕向けています。 RustBucket を使用するには、ユーザーが Apple の macOS のセキュリティ機能を無効にする必要があります。
また、研究者たちは、中小企業を標的とした、それほど高度ではないマルウェアも確認しています。 macOS向け「MetaStealer」キャンペーンでは、「広告の委託仕様書」や「Brief_Presentation-Task_Overview」といったソーシャルエンジニアリングの手口を用いて、被害者を標的にしました。 これらのファイルは、PDF文書に偽装された情報窃取型マルウェアを含むディスクイメージでした。
一般向けの攻撃型セキュリティツールの利用増加
Cobalt Strikeの例からも明らかなように、脅威アクターがWindowsシステム向けの攻撃的セキュリティツールを使用することはよくあります。 現在、macOSのマルウェアの世界でも、同様の傾向が見られ始めています。 例えば、 、Geacon （新しいタブで開きます）、、 といったプロジェクトでは、Cobalt Strike の機能を Go ベースのペイロードに組み込んでいます。 SecureLinkなどのエンタープライズアプリの偽造版に組み込まれ、 C2sに向けてビーコン信号を送信しているものが多数確認されています。
オープンソースのレッドチームングツール「Mythic」や、「Poseidon」などのさまざまなペイロードも、最近のmacOSを標的とした攻撃キャンペーンで確認されています。 これらは、Cobalt Strikeと同様に、インプラントおよび C2 管理スイートとして機能します。 Poseidonには、コード難読化機能と暗号化通信機能が組み込まれており、脅威アクターに強力なツールキットを提供しています。
SentinelOneは、Appleのマルウェアブロックサービス「XProtect」には、Poseidonのペイロードを検知するためのシグネチャがまだ含まれていないため、追加のセキュリティ対策が必要であると指摘しています。
果樹園で生計を立てる
「リビング・オフ・ザ・ランド（LOLbin）」の手法は、これまで他のペイロードを標的とした攻撃で用いられてきました。 しかし、macOSでは、「リビング・オフ・ザ・オーチャード（LOOBins）」と呼ばれることもあるこうした手法に対する認識が高まっています。
最もよく使われる組み込みツールには、次のようなものがあります：
- ローカル環境のインストールに関するデータを収集するための System_profiler
- OSのバージョンおよびビルド情報を取得するためのSw_vers
- データのダウンロードおよび外部への流出にCurlを使用する
2023 およびここ数年で最もよく見られるマルウェアファミリーの一つに、Adload （新しいタブで開きます） があり、これらはLOLBinsを組み合わせて使用しています。
初期侵入のためのオープンソースソフトウェアの悪用
JokerSpy (新しいタブで開きます) このマルウェアは夏頃に登場し、2つのPythonバックドア、レッドチームングツール「SwiftBelt」、およびAppleのXProtectサービスを装おうとするSwiftベースのMach-Oなど、いくつかのコンポーネントを含んでいます。 研究者たちは、こうした攻撃の一部は、「QRLog」として知られるトロイの木馬化されたQRコード生成ツールを介して開始されたものだと考えています。
多段階かつモジュール式のマルウェアによるペイロードの保護
今年最も複雑なサプライチェーン攻撃の一つとして、 3CX’s のコールルーティングソフトウェアクライアント「3CXDesktopApp」が悪意を持って改ざんされ、下流の企業が被害を受けました。 感染チェーンのmacOS側については、マルウェアの初期段階および中間段階のさまざまなものが発見されましたが、真の最終段階のペイロードについては不明です。 このマルウェアの既知の段階は、明らかにステルス性を重視して構築されており、持続性を確保するために、ユーザーがトロイの木馬化されたアプリケーションを起動することに依存していました。 このマルウェアは、ホストの 3CX アカウントに関する限定的なデータを収集した後、その情報を脅威アクターに送信し、自ら削除されました。
同様に、 による JumpCloud （新しいタブで開きます） への攻撃（ 2023年7月 ）では、ステルス性を高め、最終段階のペイロードを保護するために、いくつかの段階が用いられました。 これらのキャンペーンはいずれも、サプライチェーン攻撃を主軸とする、北朝鮮と関連のある脅威アクターによるものとされています。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
SentinelOneの分析により、脅威アクターがmacOSを標的とするケースが増加している実態が明らかになりました。 Appleのセキュリティチームは、自社のプラットフォームを標的とするマルウェアの検知体制の強化に取り組んできたようですが、その進捗は遅々として進まないようです。
その一例として、5月に初めて報告された「Atomic Stealer」というmacOS向けマルウェアが挙げられます。 Appleは10月、XProtectに「Atomic Stealer」に関するルールを追加しました。 この例は、新たな脅威を迅速に特定し、それに対する対策を講じることの重要性を浮き彫りにしています。
これらの記事について、何かご意見やご感想など、共有したいことはありますか？ または Tanium のディスカッションフォーラム にアクセスして、会話を始めてみてください。
さらに詳しくお読みになりたい方は、当社の最近の「」サイバー脅威インテリジェンスまとめ（）をご覧ください。
