今週のまとめでは、CTIが、国家支援型ハッカー集団「 APT28 」による活発な攻撃キャンペーンについて調査しています。この攻撃では、脅威アクターがOutlookの重大なセキュリティ上の脆弱性を悪用し、機密情報を盗み出しています。 続いて、CTIでは、QRコード を用いたフィッシングメール の主な特徴について、攻撃者が攻撃に利用する最も一般的な送信元、件名、ドメインなどを含めて解説します。 CTIでは、最近発生した、一般に公開されているMSSQLサーバーへの侵入事件についても分析を行っています。この事件では、BlueSkyランサムウェアが展開されました。
1. APT28 は、Outlookの重大な脆弱性を悪用しています
クレムリンの支援を受ける APT28 グループ （新しいタブで開きます）（別名： 、Fancy Bear）は、Outlookメールサービスに存在した（現在は修正済みの）重大なセキュリティ脆弱性を積極的に標的にしています。 APT28 は、CVE-2023-23397 （新しいタブで開きます） を悪用し、Microsoft Exchangeアカウントへの不正アクセスを行い、機密情報を盗み出しています。
CVE-2023-23397 は、Windows版Microsoft Outlookにおけるの重大な権限昇格の脆弱性です。 （新しいタブで開きます） この脆弱性を悪用するために、攻撃者はユーザーに特別に細工されたメッセージを送信します。 攻撃者は、PidLidReminderFileParameter の値を指定することで、攻撃者が管理するサーバーへの Net-NTLMv2 ハッシュ漏洩を引き起こすことができます。 被害者は、そのメールに反応する必要はありません。 リマインダーが作動した時点でOutlookが起動している限り、この脆弱性が悪用されます。
Windows版のOutlookのすべてのバージョンがこの脆弱性の影響を受けましたが、Android、iOS、Mac版OutlookおよびOWAは影響を受けませんでした。 マイクロソフトは、この脆弱性が悪用された可能性を示す証拠を、 2022年4月にまで遡って特定しました。 この脆弱性は 2023年3月に初めて報告され、その後、パッチが公開されました。
APT28について
この脆弱性は数ヶ月前に公表されましたが、マイクロソフトは最近、 APT28 がこの脆弱性を積極的に悪用していることを確認しました。APT28 （別名「Forest Blizzard」および「Fancy Bear」）は、ロシアの参謀本部情報総局（GRU）と関連付けられているロシアの脅威グループです。
このグループは少なくとも 2004 年から活動を続けており、米国、欧州、中東の政府機関、エネルギー関連企業、運輸関連企業、および非政府組織を標的とする傾向があります。APT28 は、攻撃において一般に公開されているエクスプロイトを活用することが知られており、2023年9月 の期間の大部分を、ウクライナの政府機関を標的としたWinRARの脆弱性（CVE-2023-38831）の悪用に費やしていました。 このグループは、豊富なリソースと高度な訓練を備えており、TTPを絶えず洗練させ、新たに開発したカスタムマルウェアを活用していると見られています。
APT28 は現在、Exchangeサーバー内の電子メールアカウントへの不正アクセスを得るため、9か月前に発見されたOutlookの脆弱性を攻撃に積極的に悪用しています。 マイクロソフトは、ポーランドのサイバー司令部（DKWOC）と協力し、この最新の活動を分析しました。
Outlookの脆弱性を悪用した後、 APT28 は通常、被害者のメールボックス内のフォルダ権限を変更し、組織内の認証済みユーザーなら誰でもアクセスできるようにします。 これにより、攻撃者は、Exchange 組織内の任意の侵害されたメールアカウントを介して、Exchange Web Services（EWS）プロトコルを使用して、価値の高い情報が格納されたメールボックスにアクセスできるようになります。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
APT28 は、新たな悪意のある活動が頻繁にこのグループによるものと見なされている、活発な脅威グループです。
APT28 は機転が利くグループですが、脆弱性が公表されて間もなくそれを悪用することでも知られています。 したがって、 APT28 の攻撃からシステムを守るためには、重要なパッチの適用が不可欠です。
2。 QRコードを使ったフィッシング詐欺の手口はますます巧妙になっています
Cofenseが発表した新しいレポートでは、QRコードを用いたフィッシングメールの主な特徴について詳しく解説しています。 （新しいタブで開きます）。このレポートでは、脅威アクターがこうしたキャンペーンで頻繁に利用する送信元、件名、ドメインの種類について取り上げています。 QRコードを使ったフィッシングメールに共通して見られる特徴としては、キャプチャ、多要素認証（MFA）、および認証情報窃取ページへのオープンリダイレクトを含むURLなどが挙げられます。
Cofenseは、QRコードが含まれているすべての「アクティブ脅威レポート（ATR）」について、再確認を行いました。 調査の結果、QRコードを用いたフィッシングおよびすべての認証情報フィッシングにおいて、キャプチャを伴うキャンペーンが最も多く見られたことが判明しました。 MFAタグは、すべての認証情報フィッシングに関する報告の中で最も報告数が少なかったものの、QRコードに関する報告に限れば、僅差で2位となりました。 さらに、QRコードレポートの 29％が何らかの形でMFAの機能を活用しており、これらのキャンペーンはほんの数ヶ月前と比べて、現在ではより多様化している可能性があることが示唆されています。
QRコード画像の出典
QRコードは、通常、メールに埋め込まれた画像として配信されてきました。 しかし、こうした手法によるQRコードの検出やスキャン精度が向上したため、攻撃者は新たな配布方法を模索し始めています。
新たな代替手法の一つとして――とはいえ、キャンペーンの約 3％でしか見られないものの――Google APIを利用してQRコードを生成する方法があります。 このQRコードは、メールやHTML添付ファイル内で外部画像として参照されます。 このURLは、googleapis[.]com のURL内に含まれる、攻撃者が指定したURLへのリンクを含むQRコードを生成します。 この手法は、現時点では検知を逃れる可能性があります。というのも、ほとんどのメールゲートウェイは外部画像を無視するからです。
より一般的な別の方法としては、QRコードが埋め込まれた添付ファイルを使用する方法があります。 Cofenseの調査によると、同社が確認したQRコードを利用したキャンペーンの 17％で添付ファイルが使用されており、この割合は近い将来さらに増加すると見込まれています。
QRコードを使ったフィッシングメールによく見られる件名
Cofenseの調査によると、QRコードが添付されたメールのうち、多要素認証（MFA）を題材としたものが 29％を占めていたことが判明しました。 また、黒塗りが必要な対象物の中に、個人を特定できる情報が含まれているケースも増えてきています。
ドメインの種類
QRコードには、さまざまな種類のURLを埋め込むことができます。 URLの一種として、リダイレクトに使用できる正規のドメインがあります。 また、攻撃者は時折、BitlyのようなURL短縮サービスを利用することもあります。 あるQRコード短縮サービスのドメインが、約 7％の割合で使用されていることが判明しました。 最も多かったドメインの種類は、 62％を占めた悪意のあるドメインまたは乗っ取られたドメインでした。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
この分析では、QRコード関連のフィッシングキャンペーンに関して画期的なTTPは明らかになりませんでしたが、こうしたキャンペーンは当初考えられていたよりも多様化しつつある可能性があることが示唆されています。
QRコードを使ったフィッシングが最初に流行し始めた頃、ほとんどのメールの件名は、多要素認証（MFA）やパスワードのリセットに関連するありふれたものでした。 現在、個人情報や特定の日付などを件名に含む、より標的を絞ったQRコードを使ったフィッシング攻撃が増加しています。 また、QRコードフィッシングを検知するソリューションがますます普及するにつれ、攻撃者たちが手口を変え始めている様子も見受けられます。このことから、当面の間はQRコードを利用したフィッシング攻撃が引き続き見られるものと予想されます。
3。 SQLによるブルートフォース攻撃により、BlueSkyランサムウェアが拡散しました
DFIRレポートでは最近、一般に公開されているMSSQLサーバー (新しいタブで開きます) に対する による侵入が確認され、その結果、BlueSkyランサムウェアが展開されました。 今回の攻撃におけるランサムウェアの感染までの時間は、わずか 32 分でした。 BlueSkyランサムウェアは、ContiおよびBabukの流出ソースコードと関連があることが知られています。
約1年前、DFIRレポートでは、MSSQLサーバーを標的とした一連の活動が確認されました。 この活動は、インターネットに公開されているサーバー上のMS SQLシステム管理者アカウントに対する、総当たり攻撃によるパスワードの推測から始まりました。 ログインに成功するまでに、 10,000 回以上の失敗が確認されました。 パスワードを突き止めた後、攻撃者はxp_cmdshellを有効にし、ホスト上でシェルコマンドを実行できるようにしました。
- 攻撃者はまず、PowerShell コマンドを使用して Cobalt Strike C2 サーバーへの接続を確立し、その後、正当なプロセスである winlogon にコードを注入しました。
- 注入されたプロセスは、SMBexecを介してSMBスキャンと検出を行うために、PowerShellとcmdの両方を起動しました。
- その後、PowerShell セッションは Tor2Mine 番のステージャーサーバーに接続し、ユーザーの権限を確認し、ウイルス対策ソフトを無効化し、マイナーのペイロードを配置するための追加の PowerShell スクリプトを実行しました。
- 最初の侵入からわずか 15 分後、攻撃者はドメインコントローラーや、リモートサービス作成を通じて共有されたファイルへと横方向の移動を行いました。 これらのサービスは、PowerShell コマンドを実行し、 Tor2Mine マルウェアをダウンロードして実行するために利用されました。
- 最初のアクセスから30 分後、BlueSkyランサムウェアのバイナリがビーチヘッドにドロップされ、実行されました。 ランサムウェアの攻撃が発生するまでの時間は、わずか 32 分でした。
実行段階
攻撃のこの段階において、攻撃者は拡張SQLストアドプロシージャ（xp_cmdshell）を介してコマンドシェルを確立しました。 これにより、ユーザーはWindowsのコマンドシェルに対して、オペレーティングシステムレベルのコマンドを直接実行できるようになります。 その後、この攻撃者は、このキャンペーンで使用されているCobalt StrikeのビーコンとPowerShellスクリプトを実行し、 Tor2Mine 個のマルウェアを展開しました。
最初のPowerShellスクリプトは、Cobalt Strikeのビーコンをダウンロードするコマンドを実行しました。 この動作に続いて、別のPowerShellが実行され、その後、複数の Tor2Mine サーバーおよびURLへの接続が行われました。Tor2Mine では、PowerShellスクリプトを利用して、アクティブなユーザーが管理者であるかどうか、およびOSのバージョンを確認しています。 その後、mimikatzのPowerShell版である別のスクリプトがダウンロードされます。 MalwareBytes、Sophos、Windows Defenderなどのウイルス対策ソフトを無効にすることがあります。
また、このマルウェアは、ユーザーが特権ユーザーであるかどうかも確認します。 その場合、適切なバージョンのマイナーがダウンロード・インストールされ、複数のスケジュールされたタスクとサービスが作成されます。
BlueSkyランサムウェア
BlueSkyランサムウェアのバイナリは、最終的に「vmware.exe」という名前で橋頭堡に配置されました。 このバイナリを実行した結果、ネットワーク全体にランサムウェアが拡散しました。これは、ランサムウェアがポート 445 を介してホストに接続し、ファイルを暗号化したため、最終的にはSMBを介して実行されたものです。
これらの暗号化されたファイルは、拡張子を「.bluesky」に変更されました。 このランサムウェアは、「# DECRYPT FILES BLUESKY #.txt」という名前の.txtファイル形式の身代金要求メッセージを残しました。
攻撃全体はわずか約 30 分間しか続かず、情報収集も限定的で、データの持ち出しは一切ありませんでした。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
『The DFIR Report』が、約1年前の侵入事件に関するこのレポートを今になって公開しているとはいえ、そのTTPの多くは現在もなお有効であり、広く利用されています。
この攻撃は、データの持ち出しが確認されなかったという点で興味深いものであり、おそらくそれが、攻撃全体がわずか 30 分強で終了した一因となっていると考えられます。 さらに、ランサムウェアの発生までにかかった時間が 32 分であったという事実は、脅威アクターがいかに迅速に目的を達成し得るかを痛感させるものであり、それゆえ、アラートの迅速な優先順位付けがいかに重要であるかを改めて示しています。
これらの記事について、何かご意見やご感想など、共有したいことはありますか？ または Tanium のディスカッションフォーラム にアクセスして、会話を始めてみてください。
さらに詳しくお読みになりたい方は、当社の最近の「」サイバー脅威インテリジェンスまとめ（）をご覧ください。
