ある驚くべき研究によると、ロシアとウクライナの紛争に関連する攻撃的なサイバー活動は、紛争の作戦地域に付随するサイバー領域の外では、ごくわずかな影響しか及ぼしていないことが明らかになりました。 次に、現在、犯罪者間のアンダーグラウンドで、脅威アクターが二要素認証を回避するための新たな手段として宣伝されている、新しいフィッシング・アズ・ア・サービス（PhaaS）ツールキット「EvilProxy」について見ていきます（2FA）。また、自らを「Monti」と名乗る、新たに現れたランサムウェア攻撃に関するBlackberryの最新レポートについてもご紹介します。
1. ロシア・ウクライナに関連する攻撃的なハッキングの影響
の新たな研究によると、 （新しいタブで開きます） 、ロシア・ウクライナ紛争に関連するサイバー攻撃は、作戦地域以外への影響は軽微であり、今後さらにエスカレートする可能性は低いことが明らかになりました。
本調査は主に、サイバー犯罪のアンダーグラウンド（ハクティビスト、サイバー犯罪組織、ランサムウェア集団など）の活動に焦点を当てていますが、その結論はトップクラスの脅威アクターにも当てはまると言えます。
、ケンブリッジ大学、エディンバラ大学、およびストラスクライド大学の研究者らは、ロシアによるウクライナ国内での軍事作戦開始前の2か月間および開始後の4か月間に収集されたデータ (新しいタブで開きます)を分析しました。 They analyzed 281,000 web defacement attacks, 1.7 million distributed denial-of-service (DDoS) attacks, and hundreds of announcements on Telegram used by hackers to coordinate their activity.
研究者たちが予測したこと
当初、両国間の敵対的なサイバー活動は、業界の予測通りであるように見えました。 ロシアが最初に大規模な攻撃を受け、その数日後にウクライナが攻撃を受けました。 しかし、およそ2週間のうちに、サイバー攻撃は研究者らが「紛争前の水準」と表現するレベルに戻りました。
ここからが、データが本当に興味深いところになります。 この調査で得られた以下の情報は、業界関係者がこの紛争中に観察できると予想していた内容と、実際に起こったこととの対照を浮き彫りにしています。
紛争の勃発当初、産業界の一般的な見解としては、この紛争がもたらす最大のサイバーリスクは、両国の基盤を支える重要インフラに対する、高度で破壊的な攻撃の脅威であるというものでした。 業界の専門家たちは、ロシアがハッキング能力を誇示し、国家および軍事情報機関の支援を受け、GRU・FSB／SVRと関連する「 APT29 」や「APT28」といった悪名高い高度持続的脅威（APT）グループを、ウクライナの重要インフラに放つだろうと早々に予測しました。 これら両グループは、その高度な手口と先進的なツールセットで知られています。
しかし、FBIが指摘したように、 CISAが表明し、数多くのサイバーセキュリティ業界の専門家たちが繰り返し言及している最大の懸念は、 の波及効果 (新しいタブで開きます) ――これは、破壊的なマルウェアや敵対的なサイバー作戦が、東欧の作戦地域の枠を超えて、偶発的に、あるいは米国に友好的な国に対するロシアの好戦的な姿勢とみなされたことに対する制裁やその他の処罰への報復として、西側の標的に向かって広がるリスクを表すために用いられる名称です。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
「CTIにとって、本調査の結果は、ロシア・ウクライナ紛争およびそれに伴うサイバー活動を象徴する一例であると言えます。」 この作戦地域に関連するサイバー領域は、明らかに一種の「無法地帯」のような状況にあり、低レベルのハクティビストやサイバー犯罪者たちが、新しい攻撃手法を試したり、単なる楽しみや挑戦心、あるいは単なる退屈から標的を選んだりしています。 同様に、この紛争で活動している国家支援型のAPTは、これを新しいツールや戦術の試験場として利用していたようです。 「サイバー関連機関が警告していた、大々的に報じられていた波及効果については、今のところほとんど（もしあれば）見られていないことは、幸いなことだと考えられます。」
「もちろん、この件の裏で活動しているに違いない一部のグループ（APT29、 APT28など）には、高度な手腕と作戦上の機密保持（OPSEC）への徹底した姿勢が認められることを踏まえると、今後数ヶ月の間に波及的な事件が報告されなくても、私たちにとっては驚くことではないでしょう。」
2。 新しい「EvilProxy」フィッシング・アズ・ア・サービス・ツールキットにより、サイバー犯罪者は 2FA のセキュリティ対策を回避できるようになります
サイバーセキュリティ企業Resecurity, Inc.による最近の報告によると、 、EvilProxy、 （新しいタブで開きます）、、と呼ばれる新たなフィッシング・アズ・ア・サービス（PhaaS）ツールキットが、犯罪者間のアンダーグラウンドで、脅威アクターが 2FAを回避するための手段として宣伝されていることが明らかになりました。 このサービスを利用することで、技術力の低い攻撃者であっても、リバースプロキシやクッキー注入の手法を活用して 2FAを迂回することで、本来はしっかりと保護されているオンラインアカウントを盗み出すことが可能になります。
EvilProxyとは何ですか？
EvilProxy（他の情報源ではMolochとも呼ばれています）は、ダークウェブ上で新たなPhaaSとして発見され、宣伝されていました。
EvilProxyに関する最初の言及は、 2022年5月 で確認されました。同サイトの運営者が、 の高度なフィッシングリンク を送信するためにEvilProxyをどのように利用できるかを詳述したデモ動画を公開した際のことでした。その目的は、Apple、Facebook、GoDaddy、GitHub、Google、Dropbox、Instagram、Microsoft、Twitter、Yahoo、Yandexなどの主要ブランドの消費者アカウントを乗っ取ることでした。 EvilProxyは、PyPIに対するフィッシング攻撃もサポートしています。これは、PyPIがと見なされていることを考えると、まさに偶然の一致と言えます。最初のフィッシング攻撃として知られているのは、 （新しいタブで開きます）で、つい先週のことでした。
EvilProxyは「リバースプロキシ」の仕組みを採用しており、のリバースプロキシ （新しいタブで開きます） を利用して、ログインページなど、ユーザーが閲覧することを期待する正当なコンテンツをすべて取得しますが、プロキシを通過するトラフィックを傍受します。 より具体的には、リバースプロキシとは、被害者と、企業のログインフォームなどの正規のエンドポイントとの間に位置するサーバーのことです。 被害者がフィッシングページにアクセスしようとすると、リバースプロキシが正規のログインフォームを表示し、被害者がフィッシングページに認証情報を入力すると、実際のプラットフォームのサーバーに転送されます。 しかし、プロキシサーバーは通信の途中に位置しているため、認証トークンを含むセッションクッキーを盗み取ることも可能です。 これにより、攻撃者はこの認証クッキーを利用して、そのユーザーとしてサイトにログインし、MFAによる保護を迂回することが可能になります。
有効化後、Dockerコンテナと一連のスクリプトをさらに展開するために、オペレーターにSSH認証情報の入力が求められます。 この手法は、今年Resecurityによって特定された「Frappo」という別のPhaaSサービスでも採用されています。 展開後、スクリプトは、「アップストリーム」として定義された 2 個のゲートウェイを経由して、被害者からのトラフィックを転送します。
検知回避技術
EvilProxyの背後にいる攻撃者は、PhaaSツールキットが検出されないよう、複数の手法を用いています。 不正防止やサイバー脅威インテリジェンスソリューションと同様に、彼らは、IPレピュテーション分析に利用される可能性のある、既知のVPNサービス、プロキシ、TOR出口ノード、およびその他のホストに関するデータを集約しています。 ボットや研究者であると疑われる場合、接続を切断するか、特定のホストへリダイレクトします。 EvilProxyは、セキュリティアナリストが悪意のあるコンテンツを調査するために一般的に使用する仮想マシンの可能性を検知する点においても、入念に対応しています。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
「EvilProxyの運営者たちは、このツールキットが広範かつ効果的な影響力を発揮できるよう、いくつかの追加の対策を講じているようです。」 まず第一に、脅威アクターが公開している解説動画の数は驚くほど多いものです。その多くは、ハッカーがEvilProxyを正常に展開するために必要な手順を、文字通り段階的に解説しています。 これらの動画により、あらゆるレベルの熟練度を持つ攻撃者がこのツールキットを活用して多要素認証（MFA）を迂回できるようになり、サイバー犯罪の世界に足を踏み入れることがいかに容易であるかが、さらに浮き彫りになっています。
「EvilProxyの最も注目すべき点は、運営側がこのツールキットの購入を希望する顧客を審査しているという事実です。」 審査プロセスが具体的にどのようなものかは明らかではありませんが、そのようなプロセスが存在すること自体、一部の購入希望者が却下されている可能性が高いことを示唆しています。CTIとしては、どのような要因が取引の破談につながる可能性があるのか――例えば、不利な永久記録など――を知りたいところです。
3. 「モンティ」ランサムウェアの不可解な事例：実在するそっくりさん
BlackBerryのインシデント対応チームによる最近のレポート『 』（新しいタブで開きます） では、Montiと名乗る、これまで知られていなかったグループによる攻撃について詳しく解説されています。 モンティ攻撃で特定されたIOCのほとんどは、過去のコンティランサムウェアの事例でも確認されていました。
ランサムウェアグループ「モンティ」：概要
モンティ・ランサムウェア・グループに関する情報は限られていますが、ブラックベリーの研究者らは、この脅威アクターが5月から 2022年6月の間に登場したと見ています。 研究者らは、このグループが、よりよく知られている「Conti」ランサムウェアグループのTTPや、そのツールや暗号化ペイロードの多くを意図的に模倣したのではないかと見ています。 Contiの社内通信、チャットログ、トレーニングガイド、ソースコードなどはすべて、 （新しいタブで開きます） 今年初めに公開されました。 この情報漏洩により、モンティの攻撃者たち（そしておそらく他の多くの攻撃者たちも）は、コンティの悪名高い成功を収めた攻撃を模倣するための、段階的な手順書を手にすることになったのです。
モンティ・ランサムウェア攻撃
7月、BlackBerry Security Servicesのインシデント対応チームが、ランサムウェアに関連するセキュリティ事案についてフォレンジック調査を行うため、招集されました。 この攻撃者は、クライアントのインターネットに公開されているVMware Horizon仮想化システムにおいて、よく知られている Log4Shell の脆弱性（CVE-2021-44228 （新しいタブで開きます））を悪用することで、初期アクセス権を取得したとみられています。
BlackBerryが対応に乗り出した時点で、攻撃者はすでに 18 台のユーザーデスクトップを暗号化していました。 また、この攻撃者は3台のサーバーからなるESXiクラスターを暗号化し、その結果、 21 台の仮想サーバーに影響が及びました。
被害者の環境へのアクセス権を取得した後、攻撃者はGoogle Chromeブラウザをインストールし、それを利用してさまざまな攻撃ツールをダウンロードしました。 さらに、この攻撃者は、AnyDeskや Action1を含む2つのリモート監視・保守用エージェントをダウンロードしてインストールしました。 これらのエージェントは、持続性を確立するために活用され、さらなるリモートアクセスを可能にしました。
攻撃者がこの環境に持ち込んだツールは、メモリから認証情報をダンプしたり、ネットワークをスキャンしたりするためにも使用されました。 また、Microsoft Windowsに組み込まれているリモートデスクトッププロトコル（RDP）が、他のサーバーへの接続、ネットワーク共有上のデータファイルへのアクセス、そして最終的にはランサムウェアの「Monti」亜種の展開に利用されました。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
「完全に否定できるわけではありませんが、コンティがモンティに名称を変更したという具体的な証拠はありません。」 Contiのソースコードが一般に公開されたことで、Montiは単にこの情報を活用し、Contiをベースにした独自のランサムウェアを作成した可能性もあります。
Contiがこれほどまでに成功を収めたことを考えれば、真の意味でのContiのリブランディングは、単に流出したソースコードを再利用するだけよりもはるかに複雑なものになるでしょうが、これはあくまで私たちの見解に過ぎません。 ContiのTTPの多くが再利用されていることから、セキュリティ研究者や防御担当者は、Montiランサムウェアの警告や検知において有利な立場に立てる可能性があります。
Contiのソースコードの再利用は戦略的なものかもしれませんが、実際の身代金要求文の再利用は奇妙であり、ほとんど皮肉なほどです。 身代金要求文は、「Conti」の代わりに「Monti」が使われている点と、オニオンドメインが異なる点を除けば、まったく同じ内容です。 そのメモの本文には依然として、「私たちが誰かわからないなら、Googleで検索してみてください」と書かれていますが、モンティは新参者であり、現在Googleで検索してもほとんど結果が出てこないことを考えると、これはあまり意味をなさないようです。
の最新のサイバー脅威インテリジェンスまとめ（）をぜひご覧ください。 あるいは、さっそくTaniumの「 」コンバージド・エンドポイント管理（XEM）ソリューションをお試しください。
