今週のまとめでは、CTIが、脅威アクター「 TA4557 」が、直接メールやマルウェアを用いて人材紹介業者を積極的に標的にしている実態について検証しています。 次に、CTIは、脅威アクターがOAuthアプリケーションを悪用して、仮想通貨マイニング用の仮想マシンを展開し、持続的な侵入を確立し、スパムキャンペーンを展開している実態について調査しています。 最後に、CTIでは、Sandman APTと中国を拠点とする脅威クラスター「Red Dev 40」との間の戦術および標的設定における共通点について概説し、本レポートを締めくくります。
1. TA4557 は、Eメールを通じて採用担当者を対象としています
「 TA4557」として知られる脅威アクター（ （新しいタブで開きます） ）が、採用担当者を標的とした直接メールを送信し、マルウェアを配布しています。
Proofpointによると、最初のメールは一見無害に見え、同社で現在募集中の職種に関心を示すことで、被害者との信頼関係を築こうとするものです。 採用担当者がそのメールに返信すると、攻撃の連鎖が始まります。
TA4557’s のキャンペーン戦略
直近の TA4557 件のキャンペーンにおいて、攻撃者は、公開求人サイトに掲載された求人に応募するという従来の手法に加え、採用担当者に直接メールを送信するという新たな手法を用いています。
この新しい直接メール手法を用いた攻撃チェーンでは、攻撃が開始されるためには、被害者が最初の無害なメールに返信する必要があります。 被害者から返信があると、攻撃者は、候補者の履歴書を装った、攻撃者が管理するウェブサイトへ被害者を誘導するURLを送信してきます。
また、場合によっては、その人物がPDFやWord文書を返信し、その偽の履歴書が掲載されている同じサイトにアクセスするよう指示してくることもあります。 最近のキャンペーンでは、メールの受信者に対し、自身のメールアドレスのドメイン名を参照してポートフォリオにアクセスするよう求めており、これによりメールが検知を逃れることが可能になっています。
被害者が指示通りにそのサイトにアクセスすると、ある求職者の履歴書や、その求職者向けの一般的な求人サイトを模したページが表示されます。 このウェブサイト自体には、攻撃チェーンの次の段階を決定するためのフィルタリング機能が実装されています。
フィルタリングのチェックに合格しなかった場合、被害者はプレーンテキスト形式の履歴書が掲載されたページに誘導されますが、フィルタリングのチェックに合格した場合は、候補者のウェブサイトに誘導されます。 この候補サイトではCAPTCHAを採用しており、入力が完了すると、LNKファイルが含まれたzipファイルのダウンロードが開始されます。
TA4557について
Proofpointは、 2018以来、 TA4557 を追跡してきました。 このアクターは金銭的な動機を持っていると見られ、エンドポイントを調査し、追加のペイロードを送信する「More_Eggs」バックドアを配布していることが知られています。
Proofpointが説明しているように、この脅威アクターは、同社が追跡している他の優先度の高い脅威アクターとは明らかに異なっています。 これは、彼ら特有のマルウェアやツールの使用、求職者を装ったおとり手口、標的を絞ったキャンペーン、高度な検知回避策、特徴的な攻撃チェーン、および攻撃者が管理するインフラストラクチャによるものです。
以前の TA4557 グループの活動の一部は、悪名高いFIN6 グループと重なっています。 さらに、 TA4557’s マルウェアは、、Cobalt Group 、およびEvilnumによっても使用されています。
他のグループとの重複が一部見られるものの、 TA4557 は依然として独自の活動クラスターであると考えられています。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
この活動は、特に採用担当者を対象としています。 攻撃の最初のメールは無害であるため、メールセキュリティソリューションによって検知される可能性は低いと考えられます。 したがって、フィッシング対策の研修や啓発活動を行うことは極めて重要ですが、より具体的な種類のフィッシング手口に直面する可能性のある役割を担う従業員に対しては、その役割に合わせたフィッシング対策研修を実施することが、さらに重要です。
2。 攻撃者は、OAuthアプリを利用して、BECや暗号通貨マイニング攻撃を自動化しています
現在、脅威アクターは、OAuthアプリケーション (新しいタブで開きます) を、仮想通貨マイニング用の仮想マシンを展開したり、BEC攻撃後に持続性を確立したり、組織のリソースやドメイン名を利用してスパムキャンペーンを展開したりするための自動化ツールとして悪用しています。
マイクロソフトは、強固な認証が導入されていないものの、OAuthアプリケーションの作成や変更を行う権限を持つアカウントを標的として、 フィッシング攻撃やパスワードスプレー攻撃を仕掛ける脅威アクターを確認しました。 (新しいタブで開きます)
OAuthとは何ですか？
OAuthは、トークンベースの認証および認可のためのオープンスタンダードです。 これにより、アプリケーションは、ユーザーが設定した権限に基づいてデータやリソースにアクセスできるようになります。 このため、OAuthは、適切なアクセス権を持つユーザーアカウントを乗っ取り、そのアカウントを利用してOAuthアプリケーションを作成・変更したり、高い権限を付与したりしようとする攻撃者にとって、魅力的な標的となっています。 これらは、さらなる悪意のある活動を隠蔽するために利用される可能性があります。
マイクロソフトは、OAuthアプリケーションの悪用を追跡しており、これにより、脅威アクターは、当初侵害されたアカウントへのアクセス権を失った場合でも、アプリケーションへのアクセス権を維持できると指摘しています。
暗号通貨マイニング用の仮想マシンを展開するOAuthアプリケーション
マイクロソフトは、Storm-1283という名の脅威アクターが、乗っ取られたアカウントを利用してOAuthアプリケーションを作成していることを具体的に確認しました。
このケースでは、攻撃者はこれを利用して、暗号通貨マイニング用の仮想マシンを展開しました。 その俳優は、乗っ取られたアカウントを使用してVPN経由でサインインし、 のMicrosoft Entra ID（）で新しいシングルテナントのOAuthアプリケーションを作成しました。 このアカウントにはAzureサブスクリプションの所有者ロールが割り当てられていたため、攻撃者はそのアプリケーションに対して「コントリビューター」ロールの権限を付与することができました。
その後、その攻撃者は、侵害されたユーザーがアクセス権を持っていた既存のOAuthアプリケーションを悪用し、それらのアプリケーションに追加の認証情報を登録しました。 この攻撃の標的となった組織では、10,000 ドルから1.5Mドルのコンピューティング料金が発生しました。
BECおよびフィッシングを目的としたOAuthアプリケーション
別の攻撃では、マイクロソフトは、脅威アクターがユーザーアカウントを乗っ取り、持続性を確保するとともに、「 」メールによるフィッシングキャンペーン を実行するためにOAuthアプリケーションを作成していることを確認しました。
「Adversary-in-the-Middle（AiTM）」と呼ばれるフィッシングキットが使用され、さまざまな件名やURLを含むフィッシングメールが、複数の組織にまたがる被害者に対して大規模なキャンペーンとして送信されました。 被害者がメール内のURLをクリックすると、攻撃者のプロキシサーバーを経由して、Microsoftのサインインページにリダイレクトされました。 これにより、彼らはユーザーのセッションクッキーからトークンを盗み出し、その後、このトークンを利用してセッションクッキーのリプレイ攻撃を行うことが可能となりました。
- BEC（）後の持続性：確認されたいくつかの事例では、セッションクッキーの再生操作の後も、さらなる活動が見られました。 場合によっては、攻撃者は侵害されたアカウントを利用してBEC（ビジネスメール詐欺）の偵察を行い、OWA上で「支払い」や「請求書」といった関心のある金融関連のキーワードを含むメールの添付ファイルを開くことがあります。 その後、攻撃者はOAuthアプリケーションを作成し、乗っ取られたアカウントのセッションを利用して、このアプリケーションに新しい認証情報を追加します。
- に関するメールフィッシング活動：マイクロソフトは、脅威アクターが BEC の偵察を行わず、盗んだセッションクッキーのリプレイ操作を行った後に、マルチテナント型の OAuth アプリケーションを作成した事例をいくつか確認しました。 これらのアプリケーションは、システムへの永続的な潜伏、新しい認証情報の追加、およびMicrosoft Graph APIへのアクセスに利用され、フィッシングメールの送信や、単にメールの閲覧を行うために使用されていました。 マイクロソフトは、この脅威アクターが複数のテナントにまたがって作成したマルチテナント型OAuthアプリケーションを約 17,000 件確認しました。 また、この攻撃者は、侵害されたアカウントの受信トレイ内で受信トレイのルールを作成していることも確認されました。 これらの悪意のあるアプリケーションは、合計で 927,000 通以上のフィッシングメールを送信しました。
スパム行為を目的としたOAuthアプリケーション
また、「Storm-1286」と呼ばれる脅威アクターによる大規模なスパム送信活動も確認されました。 この脅威アクターは、主に多要素認証（MFA）が有効になっていないアカウントに対して、パスワードスプレー攻撃を実行しました。 その後、侵害されたアカウントを利用して、Azure PowerShell または Swagger Codegen ベースのクライアントを用いて、 1-3 件の新しい OAuth アプリケーションが作成されました。 攻撃者は、アプリケーションを作成した後、場合によっては数か月間待ってからスパム活動を開始しました。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
このキャンペーンはわずか数ヶ月間（7月から11月）しか行われませんでしたが、それでも100万通近くのフィッシングメールを送信することに成功しました。
マイクロソフトはその後、この攻撃キャンペーンに関与していた悪意のあるOAuthアプリケーションをすべて削除しましたが、この攻撃がどのように行われたのか、また組織をこの攻撃からより効果的に守るために何ができるのかを理解することが重要です。 マイクロソフトは、この活動から保護するためのいくつかの対策として、多要素認証（MFA）の適用、条件付きアクセスポリシーの有効化、アプリや許可された権限の定期的な監査などを提示しました。 また、マイクロソフトはさまざまな検索クエリも提供しています。
3。 Sandman APTと、中国を拠点とするKEYPLUGバックドアとの関連性
研究者らは、 の「Sandman」APTと、KEYPLUGバックドアの使用で知られる中国を拠点とする脅威グループ「Red Dev 40」 （新しいタブで開きます）との間に、戦術および標的選定の共通点があることを発見しました。
、SentinelOne、PwC、およびMicrosoftによる共同評価 （新しいタブで開きます） は、脅威アクターが使用するLuaベースのマルウェア「LuaDream」と「KEYPLUG」が、いずれも同一の被害者ネットワーク内に存在することが確認されたという事実に基づいています。
『サンドマン』と『レッド・デヴ 40』の関係
Red Dev 40 は、主に中東および南アジアの通信事業者や政府機関を標的とする脅威クラスターであり、その特徴はSandmanと類似しています。 サンドマンとレッド・デヴ 40 には、被害者層の重複、共同生活、そして共通のC2 インフラや管理手法など、数多くの関連性が見られます。
- モジュール式のバックドアであるKEYPLUGは、Red Dev 40’s のツールセットにおいて定番のツールですが、他の脅威アクターによっても使用されていることが確認されています。 KEYPLUGは、中国を拠点とするさまざまなグループの間で共有されていると考えられています。
Red Dev 40 は、C2 通信用の固有の暗号化キーといった特定のマルウェアの特徴に基づき、KEYPLUGを使用する他のグループとは区別されています。 また、 C2 台のサーバーの実際のホスティング場所を隠すために、クラウドベースのリバースプロキシインフラを活用するなど、運用上のセキュリティ意識が高いことでも知られています。
- LuaDream（ ）は、LuaJITを基盤とするモジュール式のバックドアです。 研究者らは、Sandmanの「LuaDream」マルウェアと「KEYPLUG」インプラントが、同じ被害者の環境内で、中には同じエンドポイント上でも確認されたことを報告しています。
ある事例では、KEYPLUGはLuaDreamの3ヶ月も前に導入され、両者は約2週間、同時に稼働していました。 A look at the implementation and C2 infrastructure of these malware revealed shared development and infrastructure.
LuaDream と KEYPLUG
KEYPLUGというマルウェアの亜種はC++で実装されていますが、LuaDreamのコンポーネントの大部分はLuaで実装されています。
研究者らは、両方のマルウェアのサンプルを分析した結果、これらが同じ出所のものではないようであるものの、開発手法に共通点が見られるほか、その他の点でも重複していることが確認されました。
彼らの研究によると、これら2つのマルウェアの亜種は、運営者による機能要件を共有していることが示されており、これは中国発のマルウェアにおいては珍しいことではありません。
- C2: どちらのマルウェアの亜種も、設計上、高度にモジュール化されており、複数のプロトコルに対応しています。 両者とも、 C2 通信においてHTTP、TCP、WebSocket、およびQUICプロトコルに対応しています。 マルウェアが設定されたプロトコルを評価する順序は、HTTP、TCP、WebSocket、QUICの順で、すべて同じです。
KEYPLUGは、LuaDreamにはないUDPに対する追加のサポートを実装しています。 ただし、LuaDreamは現在も開発中であると考えられているため、将来のバージョンではUDPに対応する可能性もあります。
- 実行／C2 データ管理：LuaDream と KEYPLUG の全体的な実行フローは、非常に似ています。 どちらも、まずシステム情報やユーザー情報を収集・流出させることから始まり、収集されるデータの内容には共通点が見られます。 その後、 C2 のデータを送受信するスレッドを作成し、C2 のサーバーへの接続を確立し、バックドアコマンドを処理し、プラグインを管理します。
また、これらのマルウェアはいずれも、開始メモリアドレス、サイズ、WindowsのCRITICAL_SECTION構造体へのポインタなど、グローバルバッファに関する重複する情報を保存しています。 どちらも、これらのバッファから読み込みや書き込みを行うように設計されています。 また、どちらも GetTickCount 関数によって返されるシステムの稼働時間に基づいて、1回限りの値を生成します。 この値は同様の方法で計算され、スリープ時間の間隔やプロトコル固有のキーに使用されます。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
中国を拠点とする脅威アクターを取り巻く脅威の状況は、極めて複雑です。特に、これらのアクターが独自開発のツールを頻繁に共有していることを考えると、なおさらです。
このようにツールを共有する姿勢があることから、サンドマンのようなアクターが、中国を拠点とする脅威クラスターとインフラやTTPにおいて共通点を見せていることは、それほど驚くことではありません。
さらに、Luaを基盤としたマルウェアはこれまでごくわずかな事例しか確認されていません（直近ではシスコのゼロデイ攻撃で確認されました）ので、Luaの利用拡大は確かに注視すべき点です。
これらの記事について、何かご意見やご感想など、共有したいことはありますか？ または Tanium のディスカッションフォーラム にアクセスして、会話を始めてみてください。
さらに詳しくお読みになりたい方は、当社の最近の「」サイバー脅威インテリジェンスまとめ（）をご覧ください。