今週のまとめのトップを飾るのは、CTIによるProofpointのレポートに関する記事です。このレポートによると、国家が支援するハッカーが世界中で中小企業（SMB）を標的とするケースが増加しており、侵害されたインフラを利用して、他の中小企業、政府機関、軍、大手企業などを標的としたさらなる攻撃を展開していることが明らかになっています。 続いて、CTIは、オンプレミスのMicrosoft Exchangeサーバーにバックドアを仕込むことを目的とした攻撃で使用されている、「PowerExchange」と呼ばれるPowerShellベースの新たなマルウェアに関するフォーティネットのレポートを分析します。 最後に、CTIは、ランサムウェア攻撃と内部者による脅威の両方が絡んだ興味深い事例を紹介し、本稿を締めくくります。
1. 国家と結びついた脅威アクターが中小企業を標的にしています
Proofpointによると、 ロシア、イラン、北朝鮮の各政府の支援を受ける国家支援型ハッカー (新しいタブで開きます) が、世界中の中小企業を標的とするケースが増加しているとのことです。 これらの攻撃は、侵害されたインフラを足掛かりとして、攻撃者が他の中小企業だけでなく、政府、軍、大手企業などを標的とするさらなる攻撃キャンペーンを展開することを目的としています。
Proofpointの研究チームは、 2022 年第1四半期から2023年第1四半期にかけて、高度持続的脅威（APT）の攻撃者によって標的とされた中小企業を対象に、遡及的な分析を実施しました。 同社が「Proofpoint Essentials」と呼ぶテレメトリデータに対する独自の視点により、このセキュリティプロバイダーは、サイバー脅威の動向における主要なトレンドを特定しようとする研究者に対し、20万社以上の中小企業に関する洞察を提供しています。特に、世界中の中小企業に特有の脅威をもたらす攻撃者の動向を観察することに重点を置いています。
Proofpointは、この貴重なデータを活用し、中小企業を標的とするさまざまなAPT攻撃グループを特定しました。 研究者らは、こうしたアクターがロシア、イラン、北朝鮮の各政府と結託しているとみており、これらの国の国益を支援するための活動を行っていると報じられています。
中小企業を標的とした主な攻撃の傾向
Proofpointの研究者らは、従業員数 2022 人から2023人の中小企業（SMB）を標的とした攻撃において、3つの主な傾向を特定しました。 これには以下が含まれます。
- のフィッシング攻撃における、侵害されたSMBインフラの利用.
- 州と連携するアクターによる、金銭的窃取を目的とした地域の中小企業（SMB）への標的型攻撃。
- セキュリティ対策が不十分な地域のマネージドサービスプロバイダー（地域MSP）がフィッシング攻撃の標的となっており、それによって中小企業（SMB）に対するサプライチェーン攻撃の脅威が生じています。 地域密着型MSPとは、特定の地域に集中して顧客にサービスを提供する中小規模のMSPのことです。
APT攻撃における侵害されたSMBインフラの利用
Proofpointの分析から浮かび上がった最も興味深い傾向の一つは、APT攻撃者が侵害されたSMBのインフラを利用して、二次的な高価値の標的に対するフィッシング攻撃を容易にしているという点です。
研究者らが指摘しているように、こうした活動の典型的な例として、ある脅威アクターが中小企業（SMB）のWebサーバーや電子メールアカウントへの侵入に成功した事例が挙げられます。
最初のアクセス方法はさまざまでした。 この侵入は、認証情報の収集によるものだった可能性もありますし、Webサーバーの場合は、パッチが適用されていない脆弱性の悪用によるものだった可能性もあります。 侵入経路が何であれ、乗っ取られたメールアドレスは、多くの場合、「信頼できる送信元」を装って、狙いのある二次的な標的に悪意のあるメールを送信するために悪用されます。
Proofpointが指摘しているように、もし脅威アクターが運よくドメインをホストしているWebサーバーを侵害できた場合、次のステップとして、この正当なインフラを悪用し、それを利用して悪意のあるマルウェアをホストしたり、上流にある第三者の被害者に配信したりすることが、極めて高い確率で想定されます。
実例を3つご紹介します
実例： TA473
同レポートでは、Proofpointの研究者が、 2022年11月 から2023年2月にかけて行われたフィッシング攻撃において、同社が「 TA473 （Winter Vivern）」として追跡しているAPT攻撃者が、侵害されたSMBインフラを利用しているのを確認した実例が挙げられています。
Proofpointより：
これらの攻撃は、米国および欧州の政府機関を標的としていました。 『 2023年3月』において、Proofpointは、侵害されたメールアドレスから送信された TA473’s 通の転送メールに関する詳細を公開しました。 いくつかの事例では、これらのメールは、侵害された時点でパッチが適用されていなかったか、あるいはセキュリティ対策が不十分だった可能性のある、WordPressがホストしているドメインから送信されていました。 さらに、パッチが適用されていないZimbraのウェブメールサーバーが悪用され、政府機関の電子メールアカウントが乗っ取られました。 TA473 は、侵害されたSMBインフラを介して電子メールを送信するだけでなく、侵害された中小企業向けのドメインを利用してマルウェアのペイロードを配信してきました。
実例： TA422
もう1つの実例としては、フィッシング攻撃の一環として、サウジアラビアに拠点を置き、自動車製造業界に属する中小企業（SMB）を常習的に装う事例がありました。その目的は、認証情報の収集でした。
このキャンペーンは、米国およびウクライナの被害者が所有する個人のメールアドレスを標的としており、ロシアのGRU（軍情報局）と関連があるとされる国家支援型の脅威アクター「 TA422 （別名APT28）」によるものとされています。 このキャンペーンでは、ロシアと関連のあるAPTによるウクライナの組織への継続的な標的型攻撃が明確に浮き彫りになったほか、中東の組織を装って米国や欧州の被害者を標的にする手口も見られました。
Proofpointより：
この攻撃者は、なりすました組織であるかのように見せかけるためのソーシャルエンジニアリングの手法を強化する目的で、メールヘッダーの「MailTo」フィールドに偽装したアドレスを記載したものとみられます。 しかし、この「MailTo」フィールドを利用したなりすましにより、実際には、配信されなかったメールが、脅威アクターによってなりすまされた正当なドメインに返送されてしまうという結果が生じます。 そのため、拒否されたメールによる予期せぬ副次的な効果により、Proofpointの研究者は、 TA422 の認証情報収集ページを把握することができました。これらのページでは、42web[.]ioおよびfrge[.]ioというサブドメインを利用して、認証情報を詐取するフィッシングページがホストされていました。
実例：TA499
Proofpointのレポートで紹介された3つ目にして最後の実例は、 2022年5月で発生した、APTによるなりすましという重大な事例に関するものでした。 Proofpointが「 TA499 」（別名「Vovan」または「Lexus」）として追跡している脅威アクターは、ロシアを拠点とし、国家と関連があるとされるアクターであり、ウクライナ支持の著名人に対して政治的なテーマの電話会議を頻繁に持ちかけていますが、このたび、米国で芸能人のマネジメントを手掛ける中堅企業を標的にしました。
Proofpointより：
TA499 は、ウクライナのヴォロディミル・ゼレンスキー大統領になりすますことで、ウクライナ紛争に関するビデオ会議に米国の著名人を誘い出そうとしました。 Proofpointは、このグループが 2022年を通じて一貫して使用していた、攻撃者によって管理されている一連のメールアドレスおよびドメインに基づき、このキャンペーンを TA499 の仕業であると特定することができました。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
「Proofpointのレポートで提示された調査結果を総合すると、国家が支援するAPT攻撃主体が、国家の意向に沿った情報収集の要件を満たすため、攻撃に対して脆弱な中小企業（SMB）や地域のMSPを標的とする傾向がますます強まっていることが明らかです。」
「また、上記の調査結果から明らかになったのは、こうした国家の支援を受けるグループが、SMBインフラの侵害を利用して、はるかに実用的な情報を得られる可能性の高い重要標的に対する二次攻撃を容易にすることを望み、その意思を持っているという点です。」
2。 新たな「PowerExchange」マルウェアが、Microsoft Exchangeサーバーにバックドアを仕込んでいます
フォーティネットは、「PowerExchange」と呼ばれる新しいPowerShellベースのマルウェアを発見しました。このマルウェアは、オンプレミスのMicrosoft Exchangeサーバーにバックドアを仕込むことを目的とした攻撃に利用されています。 この活動は、「 APT34」として知られるイランの脅威グループと関連があると考えられています。
フォーティネットは昨年、UAEの政府機関を標的とした複数の同時攻撃を確認しましたが、そのうちの一つはこれまで特定されていませんでした。 この件は、PowerExchangeというマルウェアが関与していたことが判明しました。 このバックドアのコマンド＆コントロール（C2）プロトコルは電子メールベースであり、被害者のMicrosoft Exchangeサーバーを C2 サーバーとして利用しています。
さらなる調査の結果、当該環境内の他のエンドポイントにもバックドアが存在することが判明し、さらに、さまざまなサーバー上に他にも複数のインプラントが潜んでいることが明らかになりました。 Microsoft Exchangeサーバー上に存在していたそのようなインプラントの一つは、「ExchangeLeech」として知られるWebシェルでした。
この攻撃の感染経路は、従来のフィッシングメールから始まりました。 被害者は、「Brochure.zip」という名前のZIPファイルを開きました。このファイルには、同名の悪意のある.NET実行ファイルが含まれていました。 そのファイルは、Adobe PDFのアイコンが付いた実行ファイルで、一時フォルダに保存されましたが、実行するとエラーメッセージが表示されました。 この実行ファイルは、実際には、最終的なペイロードのインストールと実行を可能にするドロッパーです。 これにより、「autosave.exe」、「wsdl.ps1」、および「Microsoft.Exchange.WebServices.dll」の3つのファイルが作成されます。 その後、ドロッパーは、5分間隔で定期的に実行されるスケジュールされたタスクを通じて、「autosave.exe」の永続化を設定します。 Autosave.exe は、最終的な PowerShell ペイロードである wsdl.ps1 を新しいプロセスで実行します。
PowerExchangeバックドアについて
- PowerExchangeバックドアという名称は、そのチャネル C2 の特性に由来しています。これは、Exchange Web Services（EWS）APIを利用して被害者のExchangeサーバーに接続し、メールボックスを介してコマンドの送受信を行うためです。
- これを実現するために、同じフォルダにある .NET DLL がリフレクションを介して読み込まれます。 Exchangeサーバーはインターネットからアクセス可能であり、外部サーバーへの通信を C2 回削減するとともに、脅威アクターのプロキシとして機能します。
- このバックドアはExchangeサーバーに接続し、 base64-encoded というコンピュータ名をメールボックスに送信することで、動作中であることを示します。 メールボックスと接続認証情報は、バックドア本体にハードコードされています。 その後、オペレーターは、現在のセッションでバックドアがビーコンを送信すべき追加のメールボックス、あるいはコマンドを取得して実行するためのメールのIDを返信することができます。
- データを送信するために、このバックドアは「Microsoft Edgeの更新」という件名のメールを作成します。 このメールの本文には、「Microsoft Edge の更新」というテキストのみが記載されています。 データ自体は、「New Text Document.txt」というタイトルのメールに添付ファイルとして送られてきます。
- コマンドは、メールの添付ファイル内に、パディングのない base64 エンコードされたコンテンツとしてバックドアに送信されます。 このバックドアは、評価された式に基づいてあらかじめ定められた変数の状態を確認することで、3つの特定のコマンドに対応しています。 応答は、コマンドメッセージの送信元と同じメールアドレス宛てに、メールで返信されます。
出典： APT34
フォーティネットは、PowerExchangeバックドアを用いたこのキャンペーンについて、イランの脅威グループ「 APT34」によるものと断定しました。同グループはこれまで、金融、政府、エネルギー、化学、通信など、幅広い分野を標的としてきました。 このグループは、組織間のつながりを巧みに利用して、サプライチェーン攻撃を仕掛けることがよくあります。
PowerExchangeには、以前 APT34と関連付けられていたTriFiveバックドアと、かなりの類似点が見られます。 これらのバックドアはいずれもPowerShellで記述されており、定期的なスケジュールされたタスクによって起動されます。また、 C2 のチャネルは、組織のExchangeサーバーのEWS APIを活用しています。 この2つの基盤となるコードは異なりますが、PowerExchangeは単にTriFiveの改良版であると見なされています。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
“This campaign uses the victim’s Exchange server for its C2 communication, allowing the backdoor to better blend in with legitimate and benign traffic."
「この手法により、攻撃者はネットワークベースの検知をより効果的に回避できるようになります。」 ただし、このバックドアは現在、オンプレミスのExchangeサーバーを標的としていることを改めて強調しておく価値があります。クラウドへの移行が急速に進んでいることを考えると、こうしたサーバーは確かに減少傾向にあります。」
3。 IT社員がランサムウェア集団になりすまし、雇用主から金をゆすり取った
英国在住の28歳のアシュリー・ライルズ氏は、犯罪目的による不正アクセスおよび雇用主への恐喝の罪で有罪判決を受けました。
2018年当時、ライルズ氏はオックスフォードに拠点を置く企業でITセキュリティアナリストとして働いていました。 その年の 2月27日 、同社のコンピュータシステムの一部に脅威アクターがアクセスするサイバーセキュリティインシデントが発生しました。 その後、攻撃者は同社の幹部に対し、身代金を要求する連絡を入れました。
そこから事態はますます奇妙な方向へと進んでいきました。
その役職ゆえに、ライルズ氏はこの事件の調査を任されました。その過程で、犯人たちは同社の幹部に対し、身代金の支払いを要求する連絡をしてきました。 ライルズ氏は、同組織の内部調査およびインシデント対応活動において重要な役割を果たしました。これらの活動には、同社内のライルズ氏の同僚や地元の法執行機関の関係者も協力しました。
この時点で、ライルズ氏はサイバーセキュリティインシデントを悪用する機会を見出し、この侵害を好機と捉えて、既存のインシデントに「便乗」することで金銭的な利益を得ようとし、支払われる可能性のある身代金を、自身が管理する仮想通貨ウォレットに振り向けようと試みました。
BleepingComputerの報道によると、 のインシデント対応段階において、 （新しいタブで開きます） ライルズ氏は、「本来の外部攻撃者ではなく、雇用主に身代金を支払わせるよう騙し、この攻撃を利用して私腹を肥やそうとした」とのことです。
SEROCUのプレスリリースによると、「彼は理事のプライベートなメールに 300 回以上アクセスしたほか、元の恐喝メールを改ざんし、元の攻撃者が指定した支払い先を変更しました。」 「これは、もし支払いがなされるとしても、当初の加害者ではなく、彼に対して行われることを期待してのことでした。」
ライルズ氏は、実際の攻撃者が使用していたものとほぼ同じメールアドレ스를わざわざ作成し、そのアカウントを使って雇用主にメッセージを送り、身代金要求を受け入れて支払いを済ませるよう圧力をかけました。
雇用主も警察も知る由もなかったのですが、ライルズは、すでに別の局面で実際のランサムウェア攻撃と戦っていた同社に対し、事実上「別個かつ二次的な」攻撃を開始していたのです。
ライルズ氏にとって残念なことに、同社のオーナーは攻撃者への支払いに応じる気はなく、その後の社内調査によって、ライルズ氏の裏切り行為がすぐに発覚しました。その時点で、彼は会社の非公開メールに繰り返し無断でアクセスしており、そのアクセス記録から、捜査当局は彼の自宅のIPアドレスを特定することができたのです。
この時点で、ライルズ氏はどうやら追い詰められつつあることを察知し、個人の端末からすべてのデータを消去し始めていたようです。SEROCUのサイバー犯罪対策チームが彼の自宅を家宅捜索し、コンピュータを押収した時点では、彼はすでにその作業を無事に完了させていました。 不運なことに、苦境に立たされているライルズ氏に対して、捜査当局は彼に対する立証に十分な証拠となるデータを復元してしまいました。
その後5年間、ライルズ氏はこの犯罪への関与を一切否定し続けました。 しかし、先ごろレディング刑事裁判所で行われた公判で、彼はついにすべての容疑について有罪を認めました。 2023年7月11日にて判決が言い渡されます。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
「私たちはしばしば内部者による脅威について語り、それを組織が直面する深刻なサイバー脅威の一つとして常に挙げていますが、このような事例の衝撃的な詳細のすべてが明らかになることは、かなり稀なことです。」
「この事件の技術的な詳細はほとんど明らかになっていませんが、過度な裁量権を与えられたたった一人の悪意ある人物によって、どのような被害が生じ得るかを改めて思い知らされる事例となっています。」 セキュリティアナリストの職は、一般的に高給な職種であり、通常、従業員にはかなりのアクセス権や特権が与えられます。 脅威の攻撃者たちも、私たちと同じようにこれらの事実を認識しています。 とはいえ、脅威アクターたちがこぞってセキュリティ関連の職に応募しているというわけではありません。 しかし、悪意のある攻撃者が、内部関係者に悪意のある活動を助長させるよう仕向けるために、こうした従業員を標的にして、賄賂や強要、あるいは恐喝を行った事例も報告されています。」
、Help Net （新しいタブで開きます）、、 が次のように説明しています：
内部脅威の中には、不注意や無知に起因するものもありますが、この事例は、悪意を持ち、好機を伺う人物が関与する、より悪質なシナリオを浮き彫りにしています。 悪意のある内部関係者は、自身の権限や特権を悪用して、有害、非倫理的、あるいは違法な活動を行います。
これらの記事について、何かご意見やご感想など、共有したいことはありますか？ または Tanium のディスカッションフォーラム にアクセスして、会話を始めてみてください。
さらに詳しくお読みになりたい方は、 の最近のサイバー脅威インテリジェンスまとめ記事をご覧ください。
