今週、CTIでは、Cobalt StrikeやMetasploitといったツールのオープンソース版として、Sliverコマンド＆コントロール（C2）フレームワークが脅威アクターの間で支持を集めている理由について探ります。 次に、Emotetの最新の進化について詳しく見ていきます。 また、中国と関連があるとみられる脅威アクターが、Fortinet FortiOS SSL-VPNの最近修正された脆弱性を悪用し、そのバグをゼロデイ攻撃として利用して、欧州の政府機関およびアフリカに拠点を置くマネージドサービスプロバイダー（MSP）を標的とした攻撃の概要も掲載されています。
1. 攻撃者は、人気のある C2 フレームワークに代わるオープンソースの選択肢として、Sliverを採用しています。
Sliverは、セキュリティ専門家がレッドチーム活動において、セキュリティ評価中に侵害されたマシンを遠隔操作するために使用するツールです。 これは、 、Cobalt Strike 、Metasploit に匹敵する、Go言語ベースのクロスプラットフォームなポストエクスプロイト・フレームワークです。
の新しいCybereasonレポート『 』（新しいタブで開きます）によると、Sliverはサイバー犯罪者の間でますます人気が高まっています。その主な理由は、オープンソースであり、モジュール式で、クロスプラットフォーム（OS X、Linux、Windows）に対応しているため、柔軟性が高く、使い勝手が良いからです。 このフレームワークは、動的コード生成、コンパイル時の難読化、マルチプレイヤーモードなど、敵対者シミュレーションに必要な中核機能の多くをサポートしています。
Sliver C2 のエコシステムは、4つの主要な構成要素から成り立っています。 このシステムには、メインのインターフェースとして機能するサーバーコンソール、 C2 サーバー、クライアントコンソール、およびターゲットシステム上で実行される悪意のあるコードとして機能するインプラントが含まれています。
現在、Sliver C2を使用している脅威アクター
APT29／コージー・ベア
ロシアのと関連付けられている「APT29」は、侵害されたネットワーク上での持続性を確保するために「Sliver C2 」を使用していることが、複数の異なる組織によって確認されています。 英国国家サイバーセキュリティセンター（ ）（新しいタブで開きます） （NCSC）の報告書によると、Sliverの使用は、複数の被害者へのアクセス権を維持しようとする試みであった可能性が高いとされています。
TA551
Proofpointのは、 (新しいタブで開きます)、、 といったメールアドレスから送信された、Microsoft Officeの添付ファイルを含むメールを特定しました。これらの添付ファイルにはマクロが含まれており、Sliver C2 フレームワークの展開につながりました。 この事例では、これまでに確認された TA551 件の事例とは異なり、Sliverは最初の感染経路の後に読み込まれました。
エキゾチック・リリー
Cybereason は以前、 （新しいタブで開きます） で、BumbleBeeローダーによる感染について報告しており、これが C2 フレームワークの展開につながりました。 Exotic Lilyは、BumbleBeeローダー型マルウェアを拡散させていることが確認されており、これが最終的にSliver C2の展開につながりました。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
「Sliverは、 2020 年にリリースされて以来、脅威アクターによって悪用されており、サイバー犯罪者の間では依然として人気が高まっています。」
「Sliverは優れたフレームワークではありますが（だからこそ、攻撃者が積極的に利用しているのです）、攻撃者に悪用されているオープンソースのフレームワークはこれだけではありません。」 Empireは、その幅広い機能と攻撃手段により、人気を高めているもうひとつの C2 フレームワークです。 All of this to say – open-source C2 frameworks likely aren’t going anywhere when it comes to cybercrime.”
2。 Emotetマルウェアが、新たな検知回避手法を駆使して再登場しました
BlackBerryの研究・情報分析チームによるブログ記事「 」（新しいタブで開きます） では、ドロッパーをダウンロードさせるために、ユーザーを騙してマクロを有効にさせる新たな手口を用いた、エモテット（Emotet）メールの最新の手口について詳しく解説しています。
Emotetの攻撃手段に新たに追加されたものには、横方向の移動を容易にするSMB拡散モジュールや、Chromeブラウザを標的とするクレジットカード情報窃取ツールなどが含まれています。
Emotetマルウェアについて
Emotetは、主にスパムメールを介して拡散するトロイの木馬です。 当初はバンキング型トロイの木馬として登場しましたが、現在では主に「インフラストラクチャ・アズ・ア・サービス（IaaS）」として認識されており、TrickBotやRyukランサムウェア、Qbotなどの配布用ドロッパーとして利用されています。
FBIは、 2021年初頭にエモテットを摘発するため、海外の法執行機関や民間セクターのパートナーと連携し、協調した取り組みを行いました。 エモテットのインフラを破壊するため、法執行機関はそのインフラを掌握し、内部から停止させました。 しかし、エモテットのインフラを破壊しただけでは、このマルウェアを阻止するには不十分でした。 エモテットが脅威情勢に再び姿を現し、Proofpointの「送信量が多い攻撃者」ランキングのトップに躍り出ました。同グループは1日あたり数千通のメールを送信しています。
エモテットの拡大するツールボックス
エモテットは、その誕生以来、進化を続けています。 現在では、さまざまなモジュールを搭載できるようになっており、それぞれのモジュールは情報窃取の異なる側面に対応し、 C2 台のサーバーに情報を報告しています。
また、エモテットは、入手しやすいフリーウェアツールとともにカスタムモジュールを注入し、長年にわたりそれらを改良してきたことが確認されています。 例えば、最近追加されたモジュールは、Google Chromeブラウザを標的として、保存されているクレジットカード情報を盗み出すものです。 最近追加されたもう1つのモジュールは、サーバーメッセージブロック（SMB）スプレッダーモジュールで、これによりラテラルムーブメントが可能になります。
以前に使用されたモジュールを読み込むために、Emotetは「Heaven’s Gate」として知られるインジェクション手法も使用しています。 これは、マルウェアが32ビットの悪意のあるプロセスを64ビットのプロセスに注入することで、Windowsの Windows64 （WoW64）APIフックを回避するために用いられる悪名高い手法です。 「Heaven’s Gate」を通じて、Emotetのローダーはプロセスホローイングの手法を用いて正規のプロセスを一時停止させ、そのイメージを悪意のあるコードで再マッピングします。 その後、この悪意のあるコードは、すでに中身を空にされたプロセスから実行され、モジュールを読み込みます。
エモテットのソーシャルエンジニアリング機能
昨年の夏、マイクロソフトはマクロをデフォルトで無効にすることを決定し、ユーザーが毎回マクロを有効にする必要があるようにしました。 エモテットのスパムメールの最新の手口では、.xlsファイルが添付されており、ユーザーを騙してマクロの実行を許可させ、ドロッパーをダウンロードさせるよう仕向けています。
- ユーザーがメールから.xlsファイルをダウンロードした場合、感染経路は、Emotetのドロッパーがインストールされるよう、ユーザーがマクロを有効にするかどうかに完全に依存します。 そのために、エモテットはソーシャルエンジニアリングの手法を用いて、ユーザーに自らの端末を事実上侵害させるよう仕向けています。
- この新しいキャンペーンでは、ユーザーは新しくダウンロードしたファイルをExcelの「テンプレート」フォルダに移動するよう指示されます。 このフォルダは Microsoft によって自動的に信頼されているため、この場所から実行されるファイルは「保護された表示」機能の対象外となり、マクロが問題なく実行されます。
- マクロが実行されると、インターネットに接続してEmotetマルウェアをダウンロードし、実行します。 Emotetのドロッパーは、ランダムに生成されたフォルダに.dllファイルとしてダウンロードされ、ランダムに生成された名前が付けられます。 その後、エモテットはバックグラウンドで動作し、 C2 サーバーに接続して追加のマルウェアをダウンロードします。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
「エモテットがニュースで再び取り上げられるたびに、前回よりもさらに巧妙になっているようです。」 この特定のキャンペーンは、脅威アクターが、自らの活動を妨害しようとする試みに対して、どのように対応を転換するかを示す好例です。 この件に関して、マイクロソフトはデフォルトでマクロをブロックすることを決定しましたが、エモテットは「構いません。この『保護された表示』を無視するフォルダから実行すればよいのです」と述べたのです。
「マイクロソフトの決定に対するエモテットの対応は、ソーシャルエンジニアリングのみに依存しており、ユーザーを説得して、マクロが支障なく実行できる場所に悪意のあるファイルをコピーさせることを目的としています。」 「ソーシャルエンジニアリングは今でも有効であり、エモテットはそのさらなる証拠です。」
3。 中国のハッカーがフォーティネットの脆弱性を悪用し、ゼロデイ攻撃を利用してマルウェアを仕込みました
Mandiant社によると、中国と関連があるとみられる脅威アクターが、 、Fortinet FortiOS SSL-VPN （新しいタブで開きます）、、の各製品において、最近修正された脆弱性を悪用することに成功し、このバグをゼロデイ脆弱性として利用して、欧州の政府機関およびアフリカのMSPを標的とした攻撃を行ったとのことです。
「 CVE-2022-42475」とは何ですか？
2022年12月12日、フォーティネットはPSIRTアドバイザリを公開し、 CVE-2022-42475 （新しいタブで開きます） の影響を受けるリスクがあるお客様に対し、国家が支援する脅威アクターによるこの脆弱性の悪用について通知いたしました。
CVE-2022-42475 は、FortiOS SSL-VPNにおけるヒープベースのバッファオーバーフローの脆弱性として説明されています。 この脆弱性を悪用されると、遠隔地の権限のない攻撃者が、特別に細工されたリクエストを使用して、任意のコードやコマンドを実行できる可能性があります。
フォーティネットは、この脆弱性が実環境で悪用された事例が少なくとも1件あると指摘しています。 PSIRTは、FortiOS SSL-VPNをご利用の皆様に対し、直ちにシステムをスキャンし、PSIRTが提供する重要な侵害の兆候（IOC）リストと照らし合わせて確認を行うことを強く推奨いたします。
IOCには、特定のログエントリの存在に加え、影響を受けたデバイスのファイルシステム内に複数のアーティファクトが存在すること、およびFortiguardから提供された不審なIPアドレスのいずれかへのアウトバウンド接続が含まれます。
搾取
中国と関連があるとみられる脅威アクターによる「 CVE-2022-42475 」の悪用は、2022年10月の時点で既に発生しており、修正プログラムが公開される少なくとも2ヶ月近く前でした。
マンディアント社は、 CVE-2022-42475の悪用を直接確認したとは主張していませんが、BOLDMOVEのLinux版サンプルには、フォーティネット社によってこのセキュリティ脆弱性の悪用に関与しているとリストアップされている C2 のIPアドレスがハードコードされていました。 マンディアント社は、これを、BOLDMOVEバックドア型マルウェアを配布する目的で CVE-2022-42475 が悪用されたことを示すものと見なしています。
この活動の結果として最終的に配信されたマルウェア（Mandiant社によって「BOLDMOVE」として追跡されています）は、同情報分析会社により、Windows版とLinux版の両方が存在する新たな亜種であり、FortiGateファイアウォール上で動作するように特別に設計されたものと説明されています。 マンディアント社は、 2022年12月にBOLDMOVEバックドアを初めて発見しました。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
「今回の攻撃は、組織がネットワークやサービスを遠隔で管理する責任を負う際、常に直面している脆弱性や可視性の欠如について、セキュリティ担当者に改めて認識させるものです。」 また、その測定に必要なデバイスの構成による制約のため、外部に公開されているネットワーク機器の脆弱性を悪用した結果生じる悪意のある活動の範囲や規模を測定することも困難です。
「管理対象デバイス上で悪意のあるプロセスを検知したり、予防的なハンティングを行おうとする際に生じる困難は、基本的に、標的となるネットワークの境界に死角を生み出す結果となります。」
当社のまとめレポートのライブラリをご覧いただき、最新のサイバー脅威インテリジェンスに関するニュースを常に把握してください。
