今週の「サイバー脅威インテリジェンス（CTI）」まとめ（本シリーズの 2022回目にして最終回！）では、シスコ・タロス（Cisco Talos）が最近発表したレポートを詳しく掘り下げます。このレポートでは、 で新たに報告された「QakBot （QBot）」マルウェアの配布手法について詳述されており、Scalable Vector Graphics（SVG）ファイルとHTMLスマグリングを悪用して、ローカル上で悪意のあるペイロードを組み立てる仕組みが解説されています。 続いて、フォーティネットが、Windowsシステムに対する現在進行中の攻撃の波を主導していると指摘している、3つの新しいランサムウェアファミリーについて見ていきます。 最後に、Recorded Futureの「 2022 Adversary Infrastructure Report」の概要をご紹介し、脅威アクターが使用するコマンド＆コントロール（C2）インフラの動向の変化に焦点を当ててまとめます。これには、昨年と比較して 2022 年に検出されたユニークなC2 サーバーの数が30％増加したことも含まれます。
1. 攻撃者はSVGファイルを利用して、QBotマルウェアをWindowsシステムに潜り込ませています
Cisco Talosのインテリジェンスブログ「 」（新しいタブで開きます） では、SVGファイルを利用してHTMLの密輸を行い、最終的に被害者のデバイス上で悪意のあるペイロードをローカルに組み立てる、新たなQBotマルウェアの配布手法について詳しく解説されています。
簡単に言えば、この攻撃の被害者が悪意のあるメールの添付ファイルを受信して開くと、ブラウザが埋め込まれたスクリプトをデコードして実行し、その結果、被害者の端末上で直接悪意のあるペイロードが組み立てられることになります。
HTMLスマグリングとは何ですか？
HTMLスマグリング （新しいタブで開きます）は、攻撃者がHTML形式のメールの添付ファイルやウェブページ内に、エンコードされた悪意のあるスクリプトを隠すことを可能にするマルウェア配布の手法です。 HTMLがどのような形式で届いたとしても、そのHTMLを開くことで、そこに含まれる悪意のあるコードが復号され、受信者の端末上でペイロードが組み立てられます。 この手法により、攻撃者は、悪意のある実行ファイルを境界防御を突破させようとする必要がなく、ファイアウォールの内側でマルウェアを構築することが可能になります。
SVGを利用したHTMLの密輸
HTMLの密輸は、いくつかの異なる方法で行うことができます。 しかし、シスコ・タロスは最近、攻撃者がSVG画像を利用した、比較的新しいHTMLスマグリングの手法を駆使している事例を確認しました。
JPEG画像ファイルとは異なり、SVG画像はベクター形式です。つまり、画質を損なうことなく画像を拡大することができます。 これらの画像はXMLを使用して作成されており、HTML内に簡単に配置することができます。
Cisco Talosは、HTMLスクリプトタグを含むエンコードされたSVG画像が埋め込まれたHTML添付ファイル付きの悪意のあるメールを特定しました。 SVG画像内に<script>タグを埋め込むことは、SVGの正当な機能の一つですが、攻撃者によって悪用され、被害者のデバイスに悪意のあるコードを潜り込ませる手段となっています。 この手法では、攻撃者は、ほとんどのウェブブラウザが、このコードをあたかもドキュメントのHTMLの正当な一部であるかのようにデコードして実行してしまうという事実を悪用しています。
SVG画像に潜り込まれた悪意のあるコードには、より大きな悪意のあるZIPアーカイブが含まれています。 その後、マルウェアは被害者のマシン上で直接解凍され、組み立てられます。 マルウェアのペイロード自体が被害者のマシン上で生成されるため、この手法により、攻撃者はネットワークに侵入しようとする悪意のあるコンテンツを遮断するように設計された基本的なセキュリティ検知機能を回避することが可能になります。
QBotのインスタンス
QBotの既知の感染経路の一つとして、被害者のメールアカウントを乗っ取り、既存のメールスレッドに返信する際に、マルウェアを添付ファイルとして含めるという手法があります。 この手法は、攻撃用のメールが正当で信頼できる送信元から送られてきたように見えるという事実を利用しており、それによって、受信者が攻撃者が意図する通りにその内容に反応する可能性が高まります。 シスコ・タロスが確認した事例では、攻撃者は非常に古いメールのスレッドに返信していました。
被害者が添付ファイルを開くと、SVG画像内に隠されていたコードが動作を開始し、悪意のあるZIPアーカイブが生成されます。 その後、被害者にファイルを保存するかどうかを確認するダイアログボックスが表示されます。 このHTML添付ファイルには、被害者のコンピュータ上で作成されたばかりの暗号化されたZIPアーカイブを開く際に、被害者が使用する必要のあるパスワードが表示されます。
HTML添付ファイルの中で、Cisco Talosは、攻撃者がJavaScriptをデバイスに潜り込ませるために利用したコードを確認することができました。 既知の難読化手法に加え、研究者たちは、 base64-encoded のSVG画像を含む<embed> タグも確認しました。 この画像が復号され、JavaScriptの難読化が解除されると、Cisco Talosは、このQBotキャンペーンで使用されていたSVG HTML密輸の手口を確認しました。
- charCodeAt() 関数は、JavaScript の変数に含まれるテキストをバイナリ BLOB に変換するために使用されます。 createObjectURL() 関数を使用して、バイナリブロブは ZIP アーカイブに変換され、ユーザーにはローカルファイルシステムへの保存を促すメッセージが表示されます。
- 被害者が攻撃者から提供されたパスワードを入力してZIPアーカイブを開くと、ISOファイルを抽出することができます。 このISOファイルは、被害者のコンピュータにQBotを感染させるものと思われます。
HTMLの密輸に関する統計
Trustwaveは先日、HTMLファイルの添付が依然として脅威となっていることに関するブログ記事を公開しましたが、Cisco Talosが観測した前述の活動は、まさにこのことを裏付けています。
Trustwaveの調査によると、同社のスパムトラップにおいて、HTMLファイルの添付が頻繁に見られるようになってきていることが判明しました。 Trustwaveの調査によると、30日間の期間において、HTMLファイル（11.39％）とHTMファイル（2.7％）を合わせたものが、スパムメールの添付ファイルとして2番目に多く、その合計は 14.09％に達しました。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
「HTMLスマグリングは、ネットワーク内部から悪意のあるコードを組み立てることができるため、インバウンドの通信を監視する従来のセキュリティツールを回避することが可能です。」 「これは、マルウェアの実行を防ぐのに役立つエンドポイント保護の必要性が、ますます高まっていることを浮き彫りにしています。」
「HTMLスマグリングは新しい手法ではありませんが、前述の通り、コンテンツスキャンフィルターなどのセキュリティ防御を迂回できるという特性から、脅威アクターの間で注目を集めつつあります。」 「HTMLスマグリングにSVG画像を利用することは、脅威アクターが自らの手口を絶えず進化させ、その存在感を維持し、成功を収め続けていることを示す、また一つの例です。」
2。 Windowsシステムを標的とした攻撃を主導する、新たなランサムウェアファミリーの群れ
の3つの新しいランサムウェアファミリー （新しいタブで開きます） が、Windowsシステムを標的とする攻撃の先頭に立っています。その3つとは、Vohuk、ScareCrow、そしてAESRT（別名AERST）です。
フォーティネットの最新の隔週刊「ランサムウェア・ラウンドアップ」で述べられているように、Vohuk、ScareCrow、およびAERSTの各ランサムウェアには、以下の共通点があります：
- 影響を受けるプラットフォーム「」：Microsoft Windows
- 影響を受ける対象：Microsoft Windows ユーザー
- 「」の影響：感染したマシン上のファイルを暗号化し、復号のための身代金を要求します
- 深刻度レベル： 高
ここでは、各ランサムウェアのファミリーについて詳しく見ていきます。
Vohukランサムウェア
フォーティネットより：
「ほとんどのランサムウェアと同様に、この新しいVohukの亜種は、感染したマシン上のファイルを暗号化し、被害者から金銭を脅し取ろうとします。 攻撃者が残した身代金要求メッセージ「README.txt」には、各被害者に割り当てられた固有のIDを使用して、メールで攻撃者に連絡するよう求められています。 身代金要求メッセージからもわかるように、このVohukランサムウェアの亜種はバージョン 1.3であり、これは攻撃者がランサムウェアを何度か更新したことを示唆している可能性があります。
- Vorhukはファイルを暗号化し、ファイル名に「.Vohuk」という拡張子を付加します。
- また、対象となるファイルのアイコンを赤い鍵のアイコン（下図参照）に変更し、デスクトップの壁紙を独自のテーマに置き換えます。
フォーティネットより：
「このランサムウェアは、『Global\\VohukMutex』という特徴的なミューテックスを残します。これにより、同じシステム上で複数のVohukランサムウェアのインスタンスが実行されるのを防ぎます…… VirusTotalへのファイル提出先から判断すると、Vohukランサムウェアは主にドイツとインドで被害が広がっています。」
ScareCrowランサムウェア
フォーティネットより：
「ScareCrowランサムウェアは、悪名高いContiランサムウェアといくつかの類似点があるようです。どちらもCHACHAアルゴリズムを使用してファイルを暗号化し、シャドウコピーIDに基づいてwmicを用いてシャドウコピーを削除します。」 これはそれほど驚くことではありません。というのも、Contiランサムウェアのソースコードは、今年前半に流出したと報じられていたからです。 しかし、ScareCrowという脅威アクターは、このランサムウェアの亜種を開発するためにかなりの労力を費やしたようで、当社の分析ではいくつかの重要な相違点が確認されました。 例えば、Contiはすべてのコマンド文字列を1つの復号ルーチンで暗号化しますが、ScareCrowは、読み込むDLLの名前（つまり「 kernel32」）、使用するAPIの名前、さらにはコマンド文字列に至るまで、すべての文字列を独自の復号ルーチンで暗号化します。
多くの点において、ScareCrowは典型的なランサムウェアです。 このマルウェアは、被害者のコンピュータ上のファイルを暗号化し、「readme.txt」という名前のファイルとして身代金要求メッセージを残します。 このメッセージには、被害者が攻撃者と連絡を取るために利用できる3つの異なるTelegramチャンネルが記載されています。攻撃者は通常、身代金要求メッセージに金銭的な要求を明記することを怠っています（この事実は、被害組織の正式な交渉担当者から連絡があった場合に、その場で身代金の金額を決定する権利を留保しておきたいという攻撃者の意図を示唆している可能性があります）。
フォーティネットによると、本稿執筆時点では、3つのTelegramチャンネルのいずれも利用できない状態でした。
ScareCrowランサムウェアは、感染したファイルの拡張子を「.CROW」に変更します。
AERSTランサムウェア
フォーティネットより：
「AESRTは、FortiGuard Labsが最近発見した新しいランサムウェアの亜種です。」 このマルウェアは、感染したマシン上のファイルを暗号化し、暗号化したファイルに「.AESRT」というファイル拡張子を付加します。 身代金要求のメッセージを残す代わりに、このランサムウェアは、攻撃者のメールアドレスが記載されたポップアップウィンドウを表示します。 また、身代金を支払った後にファイルを復号するために必要な購入済みキーを入力する欄も用意されています。 また、このランサムウェアはシャドウコピーも削除するため、被害者がファイルを復元することができなくなります。」
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
「ランサムウェア集団に身代金を支払うことは、極めて賢明ではありません（これはあくまで一般的な話であり、どのような状況にも常に酌量すべき事情は存在しますが）。」 ファイルが復元される保証がないだけでなく、犯罪者たちが再び襲ってくる可能性も否定できません。 さらに、さまざまな種類や管轄区域の米国政府機関は、身代金の支払いを控えるよう勧告しており、それに伴い、身代金を支払うことは多くの場合、違法とみなされる可能性があるという現実もあります。
「重要なのは、前述のようなランサムウェアグループが、攻撃の前後を通じて利用する行動やTTP（戦術・技術・手順）に対して常に警戒を怠らず、こうしたグループが好んで用いる初期侵入経路（例えば、「前駆体」マルウェアの展開――QBotや、Black Bastaランサムウェアの拡散におけるその役割などが挙げられます――これらは多くの場合、巧妙なフィッシング攻撃を通じて配布されます）に対する認識を常に維持することに重点を置くことです。」
3。 Recorded Future： 2022において、コマンド＆コントロールサーバーの数が急増しました
Recorded Futureの新しい「2022 敵対者インフラストラクチャ・レポート」（ （新しいタブで開きます） ）には、2022を通じて、予防的なスキャンおよび情報収集手法を用いて特定されたコマンド・アンド・コントロール（C2）インフラストラクチャに関する分析が掲載されています。
おそらく、この報告書の主な調査結果の中で最も注目すべき点は、 2022 年に発見されたC2 サーバーのユニーク数が、前年比で30％増加したことです。 これは、サイバー犯罪者や国家が支援する高度持続的脅威（APT）グループの双方が、攻撃を実行するためにこうしたデバイスをますます活用していることを明確に示しています。
C2 サーバー （新しいタブで開きます） は、基本的には感染したデバイスに命令を送るコンピュータです。 サーバーは、脅威アクターがデータを暗号化したり、攻撃を仕掛けたり、その他の有害な活動を行ったりするためのネットワークを構築することを可能にします。
The report’s authors claim to have detected more than 17,000 C2 servers in 2022, up from 13,629 servers identified the year before.
過去3年間にわたり、これら C2 台のサーバーに関連するマルウェアおよびエクスプロイト・フレームワークの上位5つを調査したところ、Cobalt Strike、Meterpreter、およびPlugX（中国の国家支援ハッカーに好んで使用される、広く普及しているリモートアクセス型トロイの木馬）に関連するC2 台のサーバーの数が継続的に増加していることが、本調査で明らかになりました。 これらの特定のツールはすでにかなり古くなっているにもかかわらず、このような結果となっています。
その他の主要なファミリーとしては、IcedIDやQakBot（後者は今年、かなり成功を収めたようです）といったボットネット・ファミリーに加え、完全に復活したEmotetが挙げられます。EmotetはQakBotとともに、 C2 年を通じて2022年にかけてインフラを拡大し続けました。
本報告書から得られるその他のポイント
- 研究者らは、独自のスキャン作業によって C2 サーバーを検知してから、他の情報源でそれが報告されるまでの間に、平均33日のタイムラグがあることを確認しました。
- ShadowPadが「後継」として注目されているにもかかわらず、PlugXは依然として広く利用されています。
- ロシア政府が支援する「 C2 」インフラにおける変化により、特定の作戦の追跡は、他の国家帰属とみなされる組織の場合よりも困難になる可能性があります。
- 予想通り、大手ホスティングプロバイダーが引き続き、 C2 サーバーの観測件数が最も多くなっています。 しかし、 C2 サーバーの利用プロバイダーには変化が見られ、特に深セン・テンセント・コンピュータ・システムズでのホスティングが300％以上増加し、Recorded Futureの調査において C2s で最も人気のあるプロバイダーとなりました。
- China overtook the U.S. as the top country by volume for C2 server-hosting. C2 台のサーバーにおける米国のシェアは34％から 22％に低下した一方で、中国のシェアは 14％から 24％に上昇しました。これは主に、中国のホスティングプロバイダーである深セン・テンセント・コンピュータ・システムズにおける C2 件の検出件数が大幅に増加したことによるものです。
- 2021年、Recorded Futureは、同社の研究者が新しいツールによる検知件数の増加が見込まれる、より多様化した C2 環境を予測しました。 しかし、彼らが最終的に観察した多様性は、新しい道具の使用によるものではなく、すでに定着していた道具のより広範な普及に起因するものでした。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
「敵対的攻撃のインフラストラクチャについて、 C2 から2023へと移行する段階を予測するにあたり、Cobalt Strikeや といった定評のあるフレームワーク、およびEmotet やQakBotといったボットネットが、前述のような調査結果に基づき、引き続き上位を占め続けると予想するのは妥当でしょう。ただし、一部の専門家は、 のエンドポイント検出・対応（EDR）ソリューション における検出率が低いことを理由に、Brute RatelがCobalt Strikeの後継となる可能性が高いと指摘しています。」 「結局のところ、OPSECを重視し、インフラの変更を継続的に行い、型にはまらないTTPを採用するマルウェア・ポストエクスプロイテーションツール・ボットネットのファミリーこそが、最も大きな成功を収めることになるでしょう。」
