今週のまとめでは、CTIが、ソーシャルエンジニアリングを用いて世界中の組織を攻撃する、金銭目的の脅威アクター「Octo Tempest」について解説しています。 Next CTIは、9月のランサムウェアの活動が過去 2023年間で最高水準に達したという報告について調査を行っています。 また、オープンソースのRAT「Quasar」が、DLLのサイドローディングを利用して、侵害されたWindowsホストからデータを盗み出す仕組みの概要についても解説しています。
1. 「Octo Tempest」が世界中の組織を脅かしています
マイクロソフトは、金銭的動機を持つ脅威アクター「 （Octo Tempest）」 （新しいタブで開きます） の活動を追跡しています。このグループは、Adversary-in-the-Middle（AiTM）手法、ソーシャルエンジニアリング、およびSIMスワッピング機能を用いた攻撃を仕掛けることで知られています。
マイクロソフトによると、このグループは急速に進化しており、複雑なハイブリッド環境を巧みに操るために、多種多様な脅威や戦術・手順（TTP）を活用しているとのことです。 Octo Tempestは、 0ktapus、Scattered Spider、 UNC3944といった他の脅威グループとも一部重複しています。
オクト・テンペストの年表
2022: このグループは当初、SIMスワップを実行するために、モバイル通信事業者やビジネスプロセスアウトソーシング企業を標的にしていることが確認されていました。 同社は、他のサイバー犯罪者にSIMスワップの手法を販売したり、アカウント乗っ取りを行って仮想通貨を盗んだりすることで、攻撃を収益化し始めました。
2022 年の後半から2023年の初めにかけて： オクト・テンペストは、ケーブル通信、電子メール、およびテクノロジー関連の組織を標的とするよう、その活動範囲を拡大し始めました。 このグループは、盗んだデータを盾に被害者から金銭を脅し取ることで侵入行為から収益を得始め、場合によっては身体的な脅迫に及ぶこともありました。
2023年半ば： のOcto Tempestは、 のBlackCat RaaSグループ（）の提携組織となりました。 これは注目すべき点です。というのも、Octo Tempestは英語を話すグループであり、多くのランサムウェアグループが彼らとの取引を拒否しているからです。
6月 2023： Octo Tempestは、ESXiサーバーを標的として、BlackCatランサムウェアのペイロードの展開を開始しました。 同グループは再び、標的を天然資源、ゲーム、ホスピタリティ、消費財、小売、MSP、製造、法律、テクノロジー、金融サービスへと拡大しました。
初回アクセス
Octo Tempestは、通常、ソーシャルエンジニアリング攻撃を用いて、高い権限を持つシステム管理者を標的にします。 攻撃者は、標的となる個人を特定するための調査を行い、その人物になりすまして電話をかけ、標的を騙してパスワードのリセットや多要素認証（MFA）の手続きを行わせるために必要な情報を収集します。
このグループは、初期アクセスに以下の方法のいずれかを一般的に使用しています：
- 従業員に電話をかけ、RMMのインストールを促したり、AiTMツールキットを使用して特定のサイトにアクセスさせたりする手口です。
- 組織のヘルプデスクに電話して、パスワードをリセットしてもらう。
- ダークウェブ上で従業員の認証情報を購入すること。
- SMSを利用した フィッシング攻撃の実施。
- SIMカードの交換を開始します。
ある事例では、Octo Tempestは、被害者に身体的な脅迫を加え、企業ネットワークへのアクセス権限を明かすよう強要しました。
偵察と発見
Octo Tempestは、高度なアクセス権を取得するために、列挙および情報収集活動を行います。 このアクターは、ユーザー、グループ、およびデバイス情報の初期一括エクスポートを実行した後、そのユーザープロファイルで利用可能なデータやリソースを列挙します。
この担当者は、ネットワークアーキテクチャ、オンボーディング、リモートアクセス方法、パスワードポリシー、および認証情報保管庫に関連する文書を特定するために、頻繁に検索を行っています。 その後、マルチクラウド環境について学び、データベースやストレージコンテナの列挙について取り上げます。
権限の昇格と認証情報のアクセス
Octo Tempestは、SIMスワップを実行したり、従業員の電話番号に通話転送を設定したりすることで権限を昇格させ、従業員が自身のアカウントのパスワードをセルフサービスでリセットできるようにします。 また、組織のヘルプデスクに直接電話をかけ、ソーシャルエンジニアリングの手法を用いて、ヘルプデスクに管理者パスワードのリセットや、MFAトークンの変更・追加を行わせる事例も確認されています。
これらの権限昇格の手法は、信頼関係を築くことに依存しています。 場合によっては、攻撃者が乗っ取った管理者のアカウントを使用して、パスワード再設定のリクエストを承認することがあります。 同社では、オープンソースのツールを活用し、コードリポジトリ全体にわたる平文の鍵、シークレット、認証情報を自動的に特定し、将来の利用に備えています。
防御回避
攻撃者は、セキュリティ担当者のアカウントを乗っ取り、セキュリティ製品や機能を無効化することで、検知を逃れようとします。 こうした侵害されたアカウントは、EDRやデバイス管理技術を利用して、悪意のあるツールの実行、RMMソフトウェアの導入、セキュリティ製品の変更、機密ファイルの窃取、およびペイロードの展開を行います。 さらに一歩踏み込んで、Octo Tempestは、セキュリティ担当者のメールボックスのルールを改変し、不審な点があると思われるベンダーからのメールを自動的に削除するようにします。
粘り強さ
Octo Tempestによる攻撃では、一般に公開されているツールを使用して、持続的な侵入経路を確立します。 例えば、彼らはAADInternalsのようなツールを使用して既存のドメインをフェデレーションしたり、正規のドメインを偽装して新しいドメインを追加・フェデレーションしたりすることがあります。 その担当者は、アクセスを可能にするために、いくつかのRMMツールを導入し、ネットワークの設定変更を行います。 WindowsおよびLinuxのエンドポイントにおける多くのOcto Tempestによる侵入事例において、リバースシェルの使用が確認されています。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
Octo Tempestは、短期間のうちにかなり多くのTTPを蓄積してきた、洗練された攻撃主体です。 数多くの分野を幅広くターゲットにしている点は、やや機会主義的であるように見えますが、それでもなお、確固たる姿勢がうかがえます。 この脅威アクターは、初期アクセスを得るために多岐にわたる高度なソーシャルエンジニアリングの手法を活用しており、マイクロソフトが指摘するように、「最も危険な金融犯罪グループの一つ」となっています。 その複雑なソーシャルエンジニアリングの手法に加え、BlackCatの関連組織であるという点から、Octo Tempestは注視すべき脅威アクターと言えます。
マイクロソフトのこの詳細なレポートには、Octo Tempestのその他のTTPが数多く取り上げられており、一読の価値があります。
2。 9月にはランサムウェアの活動が急増しました
NCC Groupは、「 2023年9月」に関するインテリジェンスレポートを発表しました。このレポートでは、 の脅威情勢における最新の動向 （新しいタブで開きます） — 特にランサムウェア分野について詳しく解説しています。 同社のデータによると、8月に比較的落ち着きを見せていたランサムウェアの活動は、9月に 2023 年以来の最高水準に達したとのことです。
NCCグループは、各グループが利用する情報流出サイトを監視し、追加される被害者の詳細情報を収集することで、二重恐喝の手口を用いるランサムウェアグループを追跡してきました。 収集されたデータによると、 2023年9月 では514 件の攻撃が発生しており、前月比で32％増加しました。
2023年8月 によると、ランサムウェア攻撃は22％減少したものの、9月のランサムウェアの活動は7月の水準に戻っています。 NCCグループとその収集したデータによると、これは二重恐喝攻撃の件数としては過去最多となります。 また、 2022年9月 から 2023年9月 へのアクセス数は 153％増加しており、前年比で大幅な伸びが見られました。
ランサムウェア被害が最も多い業界
『 2023年9月 』で対象とされたセクターは、一般的な傾向から外れることはありませんでした。 NCCグループの調査によると、産業部門が最も標的とされており、攻撃件数は 169 件で、全体の33％を占めました。 しかし、これは前月比でわずか 2％の増加に過ぎません。 先月、テクノロジー業界ではランサムウェア攻撃の約 10％が発生しており、これは前月と比べてわずかに増加しています。
新たなランサムウェアの攻撃者
9月において、上位 10 の脅威アクターによるランサムウェア攻撃の合計は、同月の全ランサムウェア攻撃の70％を占めました。 他の月と同様、9月もまた、いくつかの新たなランサムウェア攻撃グループが現れました。
新参者のLostTrustが攻撃の 10％を占め、RansomedVCは 9％を占めました。 NCCグループでは、他にも「Cactus」と「Trigona」という、比較的最近登場した2つのグループによる活動が若干活発化していることが確認されました。 カクタスでは、9月の症例数が 51 件に達しました。7月は13 件でした。
ランサムウェアの発生が最も多い地域
9月も、主なターゲット地域は変わらず、北米、欧州、アジアで最も活発な動きが見られました。 北米がリストのトップを占め、攻撃件数の 50％を占めており、これは前月比で 3％の増加となっています。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
興味深いことに、 Cl0p は9月には実質的に活動が見られず、MOVEitへの攻撃以来、全体としてもあまり活動が見られないようです。 このランサムウェアの活動としては、かなり目立たないものですね。
NCCグループは、これが Cl0pの特徴であると考えています。 このため、NCCグループは、より標的を絞った攻撃が間もなく行われるものと予想しています。 Cl0p がランサムウェアの世界に復帰するかどうかは、時が経てば分かることですが、これまでの確かな実績と成功を鑑みれば、復帰しても不思議ではありません。
3。 Quasar RATは、DLLのサイドローディングを利用して検知を回避します
オープンソースの 「Quasar RAT」（ （新しいタブで開きます） ）が、最近、DLLのサイドローディングを利用して、侵害されたWindowsホストからデータを盗み出していることが確認されました。 このマルウェアは、広く信頼されている2つのMicrosoftファイル（ctfmon.exeとcalc.exe）を利用して、二重のDLLサイドローディングを行い、悪意のあるペイロードを密かに導入、展開、実行します。
Quasar RATのサイドローディングによる実行
Uptycsは、 のQuasar RAT DLLサイドローディング手法について、段階ごとに詳しく解説しています。 （新しいタブで開きます）
- この攻撃は、攻撃者がctfmon.exe（正規のマイクロソフト製ファイル）を利用して、悪意のあるDLLを読み込むことから始まります。 その後、攻撃者は「ctfmon.exe」バイナリを実行し、ステージ1のペイロードを取得します。このペイロードは、正規の「calc.exe」ファイルと悪意のあるDLLをシステム内に展開する役割を担っています。
- 攻撃の第2段階では、脅威アクターが calc.exe を実行し、それによって悪意のある DLL が起動されます。 この時点で、Quasar RATはコンピュータのメモリ内に潜伏しています。 このペイロードは、プロセスホローイングの手法を用いて正当なシステムプロセスに自身を埋め込み、検出を困難にしています。
テクニカル分析
Uptycs社は、分析のために、Quasar RATの実行フローに含まれるファイルのいくつかを入手しました。
バイナリファイル「ebill-997358806.exe」が実行されると、悪意のあるコードが隠されている「MsCtfMonitor.dll」というファイルの読み込みが開始されます。 このファイル内には、一連のAPIを介してアクセスされる暗号化されたデータを含むリソースセクションがあります。 復号処理を行うと、このデータは復号され、ステージ1であるPEファイル「FileDownloader.exe」が生成されます。 その後、PEファイルはAPIシーケンスを介してRegasm.exeに注入されます。
- ステージ1 – FileDownloader.exe: このステージ1のペイロードは、64ビットのMSILバイナリファイルであり、アーカイブ内に3つのバイナリを含むリソースセクションが含まれています。 このペイロードは、このアーカイブを解凍し、ファイルを「Public Pictures」フォルダに保存することができます。 このフォルダには、Calc.exe（正規の Windows ファイル）、 Secure32.dll（悪意のある DLL）、および Winsecu32.dll（もう 1 つの正規の Windows ファイル）の 3 つのファイルが配置されています。
- ステージ 2 – calc.exe： その後、calc.exe が実行され、「 Secure32.dll」という名前の悪意のある DLL が読み込まれます。 このDLLには、暗号化されたリソースセクションが含まれています。 リソースデータは、一連のAPIを介して再度アクセスされ、その後復号化されて、PEファイルが生成されます。 このPEファイルは、プロセスホーリングを介してRegasm.exeのメモリ空間に注入されます。
- 最終的なペイロード： このPEファイルは、Smart Assemblyによって難読化されたMSIL実行ファイルです。 「Copyright © MaxXor 2020」という著作権表示がされていることから、オープンソースのQuasar RATに着想を得たものと見られます。 難読化を解除したところ、関数名の中に、キーロガー、ファイル転送、シェル実行などのコマンドが実行されていることが判明しました。 また、再起動用のバッチファイルを作成するための.batスクリプトも生成されます。 RATは、 C2 番ポートに対してソケット接続を確立し、そこに被害者の情報を送信します。
このRATは、AntiVirusProductおよびFirewallのWMIクラスを照会するほか、BIOSのインフラストラクチャ、GPUの詳細、ホスト名なども確認します。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
Quasar RATは、ここ数ヶ月で人気が高まっているDLLサイドローディングの手法に便乗しているようです。
現時点では、この活動の背後にいる攻撃者の正体は不明ですが、Quasar RATはオープンソースであるため、技術力の低い攻撃者でも攻撃を実行できることから、今後も正体が判明しない可能性が高いと考えられます。
研究者たちは、この攻撃の最初の侵入経路を確認することができませんでした。 しかし、実行フローがISOファイルから始まっていることから、フィッシングメールが原因である可能性が非常に高いと考えられます。
これらの記事について、何かご意見やご感想など、共有したいことはありますか？ にアクセスし、Taniumのディスカッションフォーラム（ ）で会話を始めてみてください。
さらに詳しくお読みになりたい方は、当社の最新の「」サイバー脅威インテリジェンスまとめをご覧ください。
