今週のサイバー 脅威インテリジェンス (CTI)のまとめ( 2022!のシリーズ最終投稿）では、Scalable Vector Graphics (SVG)ファイルとHTMLの密輸を利用して悪意のあるペイロードをローカルに組み立てる、 新しく文書化されたQakBot (QBot)マルウェア配布ション方法を詳述したCisco Talosレポートについて詳しく説明します。 次は、Windowsシステムに対する継続的な攻撃の波を先導している3つの新しいランサムウェアファミリーのバッチを見ていきます。 最後に、Recorded Futureの 2022 Adversary インフラ Reportの概要をまとめ、脅威が使用するコマンドアンドコントロール(C2)インフラの変化するTrendsに焦点を当てます。これには、 2022 で検出された一意のC2 サーバ数が昨年と比較して30%増加することが含まれます。
1. 攻撃者はSVGファイルを使用してQBotマルウェアをWindowsシステムに密輸する
最近のCisco Talos インテリジェンスブログ (新しいタブで開く) では、SVGファイルを使用してHTML密輸を実行し、最終的には被害者のデバイスに悪意のあるペイロードをローカルに組み立てる、新しいQBotマルウェア配布トリビューション方法を詳述しています。
簡単に言うと、この攻撃の被害者が悪意のあるメールの添付ファイルを受信して開くと、ブラウザは埋め込みスクリプトをデコードして実行し、被害者のデバイスに直接悪意のあるペイロードを組み立てます。
HTML密輸とは？
HTMLの密輸 (新しいタブで開く)は、攻撃者がHTMLメールの添付ファイルやウェブページ内にエンコードされた悪意のあるスクリプトを隠すことを可能にするマルウェア配信手法です。 HTMLがどのフォーマットに到達したかに関係なく、HTMLを開くと、に含まれる悪意のあるコードがデコードされ、受信者のデバイス上のペイロードが組み立てられます。 この手法により、攻撃者は、悪意のある実行可能ファイルを境界防御を通過させることなく、ファイアウォールの背後にマルウェアを構築できます。
SVGを使用したHTMLの密輸
HTMLの密輸は、いくつかの異なる方法で行うことができます。 しかし、Cisco Talosは最近、SVG画像の使用を含む かなり新しい HTML密輸技術を攻撃者が展開しているのを目撃しました。
JPEGイメージファイルとは異なり、SVGイメージはベクトルベースです。つまり、画像品質を損なうことなくサイズを大きくできます。 これらの画像はXMLを使用して作成され、HTML内に配置できます。
Cisco Talosは、HTMLスクリプトタグを含むエンコードされたSVGイメージを含むHTML添付ファイルを含む悪意のあるメールを特定しました。 SVGイメージに<script>タグを含めることは、攻撃者によって悪用され、悪意のあるコードを被害者のデバイスに密輸するSVGの正当な機能です。 この手法では、攻撃者は、ほとんどのウェブブラウザがこのコードをドキュメントのHTMLの正当な部分であるかのようにデコードして実行するという事実を利用しています。
SVGイメージ内に密輸された悪意のあるコードには、より大きな悪意のあるzipアーカイブが含まれています。 その後、マルウェアが抽出され、被害者のマシンに直接組み立てられます。 マルウェアペイロード自体は被害者のマシン上に作成されるため、攻撃者はネットワークに侵入する悪意のあるコンテンツフィルタするように設計された基本的なセキュリティ検知を回避できます。
QBotインスタンス
QBotの既知の配信方法の1つは、被害者のメールをハイジャックし、マルウェアを添付ファイルとして含めて既存のメールスレッドに返信することです。 この手法は、武装したEメールが正当な信頼できる情報元からのように見えるという事実を利用して、受信者が攻撃者が望む方法でコンテンツとInteractする可能性を高めます。 Cisco Talosによって観察されたインスタンスでは、ハイジャッカーは古いメールスレッドに応答しました。
被害者が添付ファイルを開くと、SVGイメージ内の密輸されたコードによって、悪意のあるzipアーカイブの作成が開始されます。 次に、ファイルを保存するためのダイアログボックスが被害者に表示されます。 HTML添付ファイルには、被害者がコンピュータに作成したばかりの暗号化されたzipアーカイブを開くために、被害者が使用する必要があるパスワードが表示されます。
HTML添付ファイル内で、Cisco Talosは攻撃者がJavaScriptをデバイス密輸するために利用したコードを観察することができました。 既知の難読化技術に加えて、研究者は base64-encoded SVGイメージを含む＜埋め込み> タグも見ました。 このイメージがデコードされ、JavaScriptが難読化されると、Cisco TalosはこのQBotキャンペーンで使用されているSVG HTML密輸技術を見ました。
- charCodeAt()機能は、JavaScript変数からのテキストをバイナリBLOBに変換するために使用されます。 createObjectURL()機能を使用すると、バイナリBLOBはzipアーカイブに変換され、ユーザはローカルファイルシステムに保存するよう求められます。
- 被害者が攻撃者から提供されたパスワードを入力し、zipアーカイブを開くと、ISOファイルを抽出できます。 このISOファイルは、QBotに感染すると考えられます。
HTML密輸統計
Trustwaveは最近、HTMLファイルの添付ファイルが脅威であることに関するブログを公開し 脅威 、Cisco Talosが観察した前述の活動は確かにこれを確認しています。
Trustwaveは、HTMLファイルの添付ファイルが、スパムトラップでよくある出来事になっていることを発見しました。 Over a 30-day period, Trustwave found that the combination of HTML (11.39%) and HTM (2.7%) files were the second most spammed file attachment - totaling 14.09%.
Taniumのサイバー脅威インテリジェンスチームからのアナリストコメント
HTMLの密輸は、悪意のあるコードをネットワーク内から組み立てることができるため、インバウンドアクティビティを監視する従来のセキュリティツールをバイパスできます。 これは、マルウェアの実行防止に役立つエンドポイントの保護に対するニーズの高まりを強調しています。」
「HTMLの密輸は新しい技術ではありませんが、コンテンツスキャンフィルタなどのセキュリティ防御をすり抜ける上記の能力のおかげで脅威の間で注目を集めています。 HTML密輸にSVGイメージを使用することは、脅威が関連性と成功を維持するために技術を継続的に進化させているもう一つの例です。
2。 Windowsシステムに対する攻撃を主導するランサムウェアファミリーの新しいバッチ
Windowsシステムを対象とする攻撃は、Vohuk、ScareCrow、AESRT（別名AERST）の3 つの新しいランサムウェアファミリー （新しいタブで開く ）が主導しています。
フォーティネットの最新2週間に1回のランサムウェアラウンドアップで述べたように、Vohuk、ScareCrow、AERSTランサムウェアには以下の共通する機能があります。
- 影響を受けるプラットフォーム： Microsoft Windows
- 影響を受ける関係者： Microsoft Windowsユーザ
- Impact：侵害されたマシン上のファイルを 暗号化し、ファイルの復号化に身代金を要求する
- 重大度レベル： 高
ここでは、各ランサムウェアファミリーを詳しく見ていきます。
Vohukランサムウェア
Fortinetより：
ほとんどのランサムウェアと同様に、新しいVohukバリアントは侵害されたマシン上のファイルを暗号化し、被害者からお金を強要しようとします。 そのドロップされた身代金メモ「README.txt」は、被害者に各被害者に一意のIDが割り当てられているEメールで攻撃者に連絡するよう求めます。 ランサムウェアのメモに見られるように、このVohukランサムウェアのバリアントはバージョン 1.3であり、攻撃者がランサムウェアを数回更新したことを示している可能性があります。
- Vorhukはファイルを暗号化し、ファイル拡張子に「.Vohuk」を追加します。
- また、対象ファイルのアイコンを赤いロックアイコン（以下を参照）に置き換え、デスクトップの壁紙を独自のテーマに置き換えます。
Fortinetより：
「ランサムウェアは独自のミューテックス」である「Global\\VohukMutex」を残し、Vohukランサムウェアの異なるインスタンスが同じシステムで実行されないようにします。 VirusTotalへのファイル提出場所に基づくと、Vohukランサムウェアは主にドイツとインドに影響を与えています。
ScareCrowランサムウェア
Fortinetより：
「ScareCrowランサムウェアは、悪名高いContiランサムウェアといくつかの類似点があるように見えます。どちらもCHACHAアルゴリズムを使用してファイルを暗号化し、シャドウコピーIDに基づいてwmicを使用してシャドウコピーを削除します。 Contiランサムウェアのソースコードが今年初めに漏洩したと報じられているため、これはそれほど驚くべきことではありません。 しかし、ScareCrowの脅威アクターは、分析でいくつかの大きな違いが分析見つかったため、このランサムウェアの亜種の開発に多少の努力を払っています。 例、Contiは1つの復号化ルーチンですべてのコマンド文字列を暗号化しますが、ScareCrowは読み込まれるDLLの名前( kernel32など）文字列、使用するAPIの名前、独自の復号化ルーチンでコマンド文字列を含むすべての文字列を暗号化します。
ほとんどの場合、ScareCrowは一般的なランサムウェアです。 被害者のマシン上のファイルを暗号化し、「readme.txt」という形式の身代金メモを残します。 このメモには、被害者が攻撃者との通信に使用する3つの異なるTelegramチャンネルが含まれています。攻撃者は通常、身代金に関するメモに金銭的な要求を残すことを怠っています（攻撃者が、被害者の企業権限のある交渉者から連絡があったときに、その場で価格を思いつく権利を留保する意向を示す可能性がある事実）。
フォーティネットは、執筆時点では、3つのTelegramチャンネルのいずれも利用できなかったと指摘しています。
ScareCrowランサムウェアはまた、影響を受けたファイルに「.CROW」ファイル拡張子を持つ暗号化ファイルを追加します。
AERSTランサムウェア
Fortinetより：
AESRTは、FortiGuard Labsが最近遭遇した新しいランサムウェア株です。 侵害されたマシン上のファイルを暗号化し、暗号化するファイルに「.AESRT」ファイル拡張子を追加します。 ランサムウェアのメモを残す代わりに、攻撃者のEメールアドレスを含むポップアップウィンドウが表示されます。 また、ランサムウェアファイルの復号化に必要な購入済みキーを入力するフィールドも受け付けます。 ランサムウェアはシャドウコピーも削除し、被害者がファイルを回復能力ようにします。
Taniumのサイバー脅威インテリジェンスチームからのアナリストコメント
「ランサムウェアのギャングに支払いをすることは、非常に賢明ではありません（一般的には、どのような状況でも常に酌量すべき状況があります）。 あなたのファイルが回復されるという保証はありませんが、犯罪者がそれ以上戻ってこないという保証もありません。 さらに、さまざまな種類と法域の米国政府機関は、身代金を支払うことを勧めており、それを行うと多くの場合、違法とみなされる可能性があります。」
「重要なことは、上記のランサムウェアグループのような運用が運用前と運用中に活用する行動とTTPに引き続き注意を払い、これらのグループが好む初期アクセスベクトルの認識を維持することに重点を置くことです（「前駆者マルウェアのデプロイメントなど - QBotとブラックバスタランサムウェアの伝播におけるそのロールを考えてください - 高度なフィッシングキャンペーンを通じて提供されることが多い）」
3。 Recorded Future： 2022にスパイクされたコマンドアンドコントロールサーバの数
Recorded Futureの新しい 2022 Adversary インフラ Report （新しいタブで開く） には、2022全体でプロアクティブなスキャンと収集方法を使用して特定されたコマンドアンドコントロール（C2）インフラ分析が含まれています。
おそらく、レポートの主なFindingsの中で最も注目すべき項目は、 2022 で検出されたC2 台のサーバの数の増加です。これは、前年比で30%の増加です。 これは、サイバー犯罪者や国が支援するAPT (Advanced Persistent 脅威）グループが、これらのデバイスを利用して攻撃を実行していることを示す明確な兆候です。
C2 サーバ (新しいタブで開く) は、基本的に感染したデバイスに注文を発行するコンピュータです。 サーバを使用すると、脅威はデータの暗号化、攻撃の開始、その他の有害な活動を行うためのネットワークを確立できます。
レポートの作成者は、 2022台で 17,000 C2 台以上のサーバを検出したと主張しており、これは前年に特定された13,629 台から増加しています。
過去3年間のこれらの C2 台のサーバに関連するマルウェア/爆発のフレームワークの上位5つを調べると、Cobalt Strike、Meterpreter、PlugX（中国の国が支援するハッカーが好む人気のあるリモートアクセストロイの木馬）にリンクされているC2 台のサーバの数が継続的に増加していることがわかりました。 これは、これらの特定のツールの高齢化にもかかわらず発生します。
その他の重要な貢献家族には、IcedIDやQakBot（後者は非常に成功した年を経験しているように見える）などのボットネットファミリーや、QakBotとともに 2022年を通じて C2 のインフラストラクチャを拡大し続けた完全に再出現したEmotetがあります。
レポートからのその他の重要点
- 研究者は、独自のスキャン努力によって C2 サーバを検出してから他の情報元で報告されるまでの平均リードタイムを33日間観察しました。
- PlugXは、ShadowPadが「後継者」として宣伝されているにもかかわらず、引き続き大量に使用されています。
- ロシアの国が支援する C2 のインフラストラクチャの変化により、他の国が支援するエンティティよりも特定の運用の追跡が困難になる可能性があります。
- 最大級のホスティングプロバイダは、予想通り、引き続きサーバのサーバ観測数が最大 C2 です。 しかし、 C2 台のサーバにプロバイダが使用されているという変化がありました。これには、Shenzhen Tencent Computer Systemsのホスティングが300%以上増加し、Recorded Futureの調査で C2s 台で最も人気がありました。
- 中国は C2 のサーバホスティングで米国を抜いてトップの国になりました。 米国のサーバ C2 台の割合は34%から 22%に減少しましたが、中国のシェアは 14%から 24%に増加しました。これは主に、中国のホスティングプロバイダShenzhen Tencent Computer Systemsでの C2 台の検知が大幅に増加したためです。
- 2021年、Recorded Futureは、研究者が新しいツールによる検知の増加を見る、より多様な C2 の環境を予測しました。 しかし、最終的に観察された多様性は、新しいツールの使用ではなく、確立されたツールの広範な普及に起因しています。
Taniumのサイバー脅威インテリジェンスチームからのアナリストコメント
「敵対的な C2 インフラが2023に向かうと予測すると、Cobalt Strikeや EmotetやQakBotなどのボットネット のような堅固なフレームワークは、上記のような研究から生じるトップスポットを引き続き占めると想像するのは理にかなっていますが、専門家の中にはエンドポイントの検知と対応(EDR)ソリューション間の検知率が低いため、Cobalt Strikeの後継者としてBrute Ratelを指摘する人もいます。 最終的には、OPSECに重点を置き、インフラストラクチャ変更の継続的なサイクルに取り組み、エクスペリエンス最も成功する既成概念にとらわれないTTPを採用するマルウェア/爆発後ツール/ボットネットファミリーになります。
