今週のまとめのトップ記事として、CTIは、脅威アクターが新しいTruebotマルウェアの亜種をどのように利用して、米国およびカナダの組織を標的にしているかを分析しています。 続いて、CTIは、イラン政府が支援する脅威グループ「Charming Kitten」が関与した最近のキャンペーンについて調査します。 このキャンペーンでは、攻撃者のマルウェアのラインナップの更新や新たなTTPが浮き彫りになっています。とりわけ注目すべきは、macOSを含む新しいオペレーティングシステムを標的としている点です。 最後に、CTIは、「SmugX」と呼ばれる現在進行中のフィッシング攻撃を取り上げた最近のレポートの概要を紹介し、本稿を締めくくります。
1. CISA：Truebotの活動が活発化し、米国およびカナダのネットワークが感染しています
サイバーセキュリティ・インフラセキュリティ庁（CISA）、連邦捜査局（FBI）、多州情報共有・分析センター（MS-ISAC）、およびカナダ・サイバーセキュリティセンター（CCCS）は、サイバー脅威アクターが の新しいTrueBotマルウェアの亜種 （新しいタブで開きます） を、米国およびカナダのさまざまな組織に対して展開している事態を受け、共同のサイバーセキュリティ勧告を発表しました。
TrueBotとは何ですか？
TrueBotは、Silenceとして知られるロシア語圏のサイバー犯罪グループと関連付けられているマルウェア・ダウンローダーです。 この手法は、「」TA505 という脅威グループに所属するハッカーたちによって、 （新しいタブで開きます）（同グループは「 FIN11 」というサイバー犯罪グループとも関連しています）を通じて、 CL0P ランサムウェアを展開するために利用されてきました。 （新しいタブで開きます）
共同勧告より：
Truebotは、「 CL0P Ransomware Gang」のような悪意のあるサイバー犯罪グループによって、標的となった被害者から情報を収集・流出させるために利用されてきたボットネットです…… 以前のTruebotマルウェアの亜種は、主にサイバー脅威アクターによって、 の悪意のあるフィッシングメールの添付ファイル を通じて配布されていました。しかし、新しいバージョンでは、サイバー脅威アクターが CVE-2022-31199 (新しいタブで開きます) —（Netwrix Auditorアプリケーションのリモートコード実行の脆弱性）を悪用して初期アクセスを獲得することも可能となり、侵害された環境内でマルウェアを大規模に展開できるようになっています。
CL0P は最近、で報じられたMOVEitに対する大規模なゼロデイ・サプライチェーン攻撃 （新しいタブで開きます） に関与したほか、その後も同アプリケーションの下流ユーザーを標的とし、現在も経済的被害をもたらし続けている身代金要求攻撃にも関与しています。
活動の概要
共同勧告によると、作成団体は、ごく最近（ 31 May 2023）においても、Truebotの新バージョンを展開する脅威アクターの数が増加していることを確認しています。
確認済みのオープンソース情報および最近のTrueBot亜種の分析に基づき、本報告書の執筆者は、脅威アクターが現在、悪意のあるリダイレクト用ハイパーリンクを仕込んだフィッシングキャンペーンや、 CVE-2022-3119の脆弱性の悪用を通じて、このマルウェアの新たな亜種を拡散させていると評価しています。
TrueBotによるフィッシング活動
この共同勧告では、脅威アクターがTrueBotマルウェアの主な配布手段として、主にフィッシングメールを利用してきたことが指摘されています。 こうしたメールは通常、受信者をだましてハイパーリンクをクリックさせ、マルウェアを実行させようとしますが、研究者たちは、脅威アクターが、正規のソフトウェア更新通知を装ったメールの添付ファイルに実行ファイルを隠している事例も確認しています。
ユーザーがこの実行ファイルを実行すると、悪意のあるドメインにリダイレクトされ、悪意のあるスクリプトが実行されます。 この共同勧告では、Truebotが幅広い種類の正当なファイル形式に潜む可能性があることを特に指摘しています。
「 CVE-2022-3119」の悪用
共同アドバイザリで取り上げられた2つのTruebotの配布手法のうち、フィッシングが依然として最も一般的な手法である一方で、研究者たちは、脅威アクターが戦術を転換し、Netwrix Auditorのリモートコード実行の脆弱性である「 CVE-2022-3119 」を悪用し始めていることも確認しています。
この脆弱性を悪用することで、攻撃者は初期アクセスを獲得し、侵害された環境内で横方向の移動を行うことが可能になります。
「FlawedGrace」とは何ですか？
マルウェアのダウンロードが完了すると、Truebotは自身のファイル名を変更し、FlawedGrace (新しいタブで開きます) といったリモートアクセストロイの木馬（RAT）を感染したホストにダウンロードします。FlawedGraceは、レジストリや、プリンターのキューへのドキュメントの流れを管理するプリントスプーラープログラムを変更することができます。 これら2つの機能を悪用することで、 FlawedGrace は権限を昇格させ、システムへの永続的な潜伏を実現することができます。
FlawedGraceの実行フェーズにおいて、暗号化されたペイロードはレジストリ内に保存されます。 また、スケジュールされたタスクを作成したり、msiexec.exe や svchost.exe にペイロードを注入したりすることも可能です。 これらはそれぞれ、FlawedGraceがコマンド＆コントロール（C2）通信チャネルを確立するのを支援するプロセスであると同時に、RATが権限昇格を可能にするDLLをロードできるようにするものです。
共同アドバイザリによると、研究者らは、TruebotがCobalt Strikeのビーコンをメモリに注入し、侵害後の追加操作を開始するまでの最初の数時間は休眠状態にあることも確認しました。
証拠開示、防御回避
Truebotの実行プロセスの最初の段階では、RtlGetVersion を使用して現在のオペレーティングシステムのバージョンを確認し、GetNativeSystemInfo を使用してプロセッサの属性を分析します。
商品化マルウェア業界でますます一般的になりつつある傾向の一環と思われるのですが、一部の TrueBot の亜種には、大量のパディングコードが組み込まれています。 共同アドバイザリで説明されているように、分析対象となったTruebotのサンプルには、1ギガバイトを超えるジャンクコードが仕込まれており、これは検出や分析作業を困難にし、場合によっては不可能にすることを目的としたものでした。
前述の確認作業を完了した後、Truebotは実行中のすべてのプロセスを列挙し、ホストの機密データを収集し、そのデータを暗号化されたデータストリームとして送信することで、第2段階の実行に向けた準備を整えることができます。 また、本稿で説明した活動に関連するIOCの性質を踏まえると、Truebotは、システム時刻に関連するソフトウェアのセキュリティプロトコルや指標を検出することも可能であると考えられます。 これらの機能は、防御の回避を目的としている可能性が高いですが、マルウェアが侵害されたシステムの内部時計と同期を取るのにも役立つ可能性があります。これにより、タスクを正確にスケジュールしやすくなります。
共同アドバイザリより：
次に、.JSONIP という拡張子（例：IgtyXEQuCEvAM.JSONIP）を使用して、13文字のグローバル一意識別子（GUID）を作成します。これは128ビットのテキスト文字列であり、Truebotが収集したデータにラベルを付け、整理するために使用されます…… GUID を作成した後、Truebot は実行中のプロセスデータをコンパイルし、 base64 または一意の 16 進数エンコード文字列として列挙します……Truebot の主な目的は、セキュリティデバッガーツールの存在を特定することです。 しかし、特定されたデバッガーツールの存在があっても、Truebotの実行プロセスに変化はありません。データは、追跡や防御回避を目的として、 base64 エンコードされた文字列にコンパイルされます。
データの収集と流出
上記の段階が完了すると、Truebotは、感染したホストのコンピュータとドメイン名、および新規に生成されたGUIDを、（ユーザーエージェント文字列から確認されたように）POSTリクエストの形式で、ハードコードされたURLに送信します。
POSTリクエストにより、双方向通信に対応可能な C2 接続が開始され、確立されます。 この接続が確立されると、マルウェアは、追加のペイロードのダウンロード、環境内での自己複製、および／またはそれまでの操作を支えてきたファイルの削除など、さまざまな目的のために、2つ目の難読化されたドメインを利用します。
その他の配信方法とツール
以下のリストは、Truebotに関連付けられているその他の配信手段およびツールを示しています：
- Raspberry Robin（マルウェア）： Raspberry Robinは、他のマルウェアファミリーと関連があり、USBドライブを介したインストールなど、さまざまな感染手法を持つ、ワーム機能を備えたマルウェアです。
Raspberry Robinは、最大規模のマルウェア配布プラットフォームの一つへと発展しており、Truebotのほか、IcedIDやBumblebeeといった、システムへの侵入後に展開されるその他のペイロードも配布していることが確認されています。
- Teleport（ツール）： サイバー脅威の攻撃者が、Talosが「Teleport」と呼ぶ独自のデータ流出ツールを使用していることが確認されています。
Teleportは、バイナリにハードコードされた暗号化キーと、高度暗号化規格（AES）およびハードコードされたキーを用いてデータを暗号化する独自の通信プロトコルを使用することで、データ流出の際に検知を回避することが知られています。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
「TrueBotが、 CL0P 恐喝・ランサムウェアグループや、その中でも特に危険な関連組織といったサイバー犯罪組織と結びついていることを踏まえると、TrueBotおよび前述の活動を、深刻な脅威以外の何物でもないと見なすのは賢明ではありません。とりわけ、その活動が組織を無差別に標的としているように見える場合はなおさらです。」
2。 「Charming Kitten」によるLNKファイルおよびMac向けマルウェアへの進出について探る
Proofpointの「」の最新レポート『 』（新しいタブで開きます） では、イラン政府が支援する脅威グループ「Charming Kitten」が最近展開したキャンペーンについて詳しく解説しています。 このキャンペーンでは、攻撃者の最新マルウェアのラインナップや新たなTTPが浮き彫りになっています。とりわけ注目すべきは、macOSを含む新しいオペレーティングシステムを標的としている点です。
脅威の概要
2023年5月 において、Proofpointは、Charming Kittenがロイヤル・ユナイテッド・サービス・インスティテュート（RUSI）の上級研究員を装い、無害な会話で被害者を誘い込もうとしているのを確認しました。
この無害なメールは、外交問題を専門とする米国を拠点とするシンクタンクの核セキュリティ専門家担当の広報担当者に送信されました。 そのメールは、ある特定のプロジェクトに関するご意見を求めるとともに、検討のために草案をお送りしてもよろしいか、と許可を求めていました。
Charming Kittenは、さまざまなクラウドホスティングプロバイダーを利用して、新たに特定された のPowerShellバックドア「 」（通称「GorjolEcho」）を展開する、斬新な感染チェーンを展開しています。 また、この攻撃者はマルウェアを移植し、macOSデバイスに対して感染チェーンを仕掛けようとしました。 Proofpoint社は、この感染チェーンとバックドアを「NokNok」と呼んでいます。
無害なメッセージを用いたターゲティング
「チャーミング・キッテン」は、被害者を狙うために、一見無害なメッセージを頻繁に利用しています。 「包括的共同行動計画（JCPOA）」の交渉が続く中、テヘランはその影響圏内でますます孤立を深めている状況において、「チャーミング・キッテン」は、こうした外交政策の立案に関与していると思われる専門家たちを、標的とする活動の大部分に集中させています。
最近確認された事例の一つでは、攻撃者はまず無害なメールで標的に接触し、その後、複数のペルソナを用いたなりすましを行い、さらに他の専門家を名乗ることで、被害者との信頼関係を築こうとしました。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
「このキャンペーンで確認されたTTPや新たなバックドアは、『チャーミング・キッテン』が、スパイ活動を成功させ続けるために感染経路を適応させていく能力を浮き彫りにしています。」
今回のキャンペーンにおける最も注目すべき変化は、マルウェアがmacOSデバイスを標的とするよう移植されたことであり、これにより、攻撃者はより幅広い標的を攻撃できるようになりました。
Proofpointより：
Google Scripts、Dropbox、CleverAppsの利用状況から、Charming Kittenは、脅威ハンターによる活動への妨害を最小限に抑えるため、引き続きマルチクラウドアプローチを採用していることがうかがえます。
3。 「SmugX」キャンペーンにおいて、中国とみられるハッカーが欧州の政府機関を標的にしています
Check Point Researchが最近発表した報告書では、中国の国家が支援する脅威アクターと関連がある「SmugX」と呼ばれる、現在も継続中のフィッシング攻撃キャンペーンが取り上げられています。
このキャンペーンの目的はスパイ活動にあると見られ、PlugXというリモートアクセストロイの木馬（RAT）を配布するために設計された2つの異なる感染経路が確認されています。
キャンペーンの詳細
SmugXキャンペーンは、 2022年12月で始まったと報じられています。 この作戦の標的となっているのは、英国、フランス、スウェーデン、ウクライナ、チェコ、ハンガリー、スロバキアなどの欧州諸国にある外務省や大使館です。
フィッシング攻撃の一環として配布された偽の文書は、主に欧州の国内政策および外交政策をテーマとしています。
このキャンペーンについて報じたBleepingComputerの記事より：
Check Pointが調査中に収集したサンプルには、次のようなものがあります：
- ブダペストのセルビア大使館からの手紙
- 欧州連合理事会のスウェーデン議長国としての優先事項を記した文書
- ハンガリー外務省が発出した外交会議への招待状
- 中国人権弁護士2人に関する記事
SmugXキャンペーンで使用されたフィッシングの餌は、攻撃者の標的プロファイルを明らかにしており、このキャンペーンの目的がスパイ活動である可能性が高いことを示唆しています。
Check Pointの調査によると、SmugXキャンペーンでは、2つの新たな配信手法（いずれも検出率が低い）を活用して、PlugXの新しい亜種を展開しています。PlugXは、主に中国の複数の国家支援型高度持続的脅威（APT）グループに関連付けられているRATです。
この2つの攻撃チェーンのうち、より注目すべきものは、HTMLスマグリング（このキャンペーンの名前の由来でもあります）を利用しており、これはサイバー犯罪者や国家主体の攻撃者の間でますます普及している手法です。
HTMLの密輸：おさらい
このキャンペーンで確認された2つの攻撃チェーンについて詳しく見ていく前に、まず「HTMLスマグリング」について改めて確認しておきましょう。チェック・ポイントはこれを「よく知られた手法……」と説明しています…… 「悪意のあるファイルがHTML文書に埋め込まれているため、ネットワークベースの検知対策を回避することが可能になります。」
SmugXキャンペーンでは、HTMLスマグリングによって、JavaScriptファイルまたはZIPファイルのいずれかがダウンロードされる仕組みになっています。
この攻撃で用いられた悪意のあるHTMLドキュメントのいずれかを開くと、次のような一連の事象が発生します：
- まず、ドキュメントのコード内に埋め込まれたペイロードがデコードされ、JavaScriptのBlobに保存されます。そこで、適切なファイルタイプ（例：application/zip）が指定されます。
- 次に、HTMLの
<a>要素を利用するのではなく、JavaScriptコードによって動的に作成します。 - 前述のJavaScriptのBlobは、createObjectURL関数を使用してURLオブジェクトを作成します。
- 「download」属性には、希望するファイル名が設定されます。
- 最後に、このコードはクリックアクションを実行し、ユーザーがリンクをクリックしてファイルのダウンロードを開始したかのようにシミュレートします。
チェック・ポイントは、古いバージョンのブラウザの場合、このコードが msSaveOrOpenBlob を使用して、指定されたファイル名で Blob を保存すると指摘しています。
2つの異なる攻撃チェーン
SmugXキャンペーンは、主に2つの感染経路から構成されており、いずれもHTMLファイルから始まります。
これは、セカンドステージを被害者のダウンロードフォルダに保存するためのものです。 第2段階に関しては、多少のばらつきがあります。 一方の手法では、悪意のあるLNKファイルを含むZIPファイルを利用し、もう一方の手法では、JavaScriptを用いてリモートサーバーからMSIファイルをダウンロードします。
- SmugXのアーカイブチェーン：上記で説明した2つのシナリオのうち最初のシナリオでは、HTMLファイルに、PowerShellを実行するように設計された悪意のあるLNKファイルを含むZIPアーカイブが潜められています。 攻撃者はPowerShellを使用して、LNKファイル内に埋め込まれた圧縮アーカイブを抽出し、それを%temp%ディレクトリに保存します。
- SmugXのJavaScriptチェーン：2つのPlugX感染経路のうちの2つ目は、JavaScriptファイルをダウンロードするためにHTMLスマグリングを利用しています。
このファイルを実行すると、攻撃者のリモートサーバーから提供されたMSIファイルがダウンロードされ、実行されます。 MSIによって新しいフォルダが作成され、%appdata%\Local ディレクトリ内に保存されます。このフォルダには、MSIパッケージから抽出された3つのファイルも格納されます。 これらの3つのドロップされたファイルは、乗っ取られた正規の実行ファイル、ローダーDLL、および暗号化されたペイロードで構成されています。
今回のキャンペーンで採用されたロード手法については、これまでに確認された他の多くのPlugX感染事例とほとんど違いがありません。このマルウェアは、DLLサイドローディングの手法を利用しています。
PlugX（改訂版）
このキャンペーンの最終的なペイロードは「PlugX」であり、これは中国と関連のあるサイバー脅威アクターが 2008年以降使用し続けているインプラントです。 これはモジュール式のマルウェアであり、リモートアクセスツールとして機能すると同時に、それぞれが独自の機能を持つ多数のプラグインに対応しています。 これにより、攻撃者は侵害されたシステム上で、多岐にわたる悪意のある活動を容易に行うことができるのです。 例としては、ファイルの盗み出し、画面のキャプチャ、キーロギング、コマンドの実行などが挙げられます。
永続化に関しては、PlugXは正規のプログラムとDLLをコピーし、インプラントによって作成された隠しディレクトリ内に保存します。 暗号化されたペイロードは別の隠しフォルダに配置され、PlugXは正規のプログラムをレジストリの「Run」キーに追加することで、システムへの定着を図ります。
重複するAPT活動
チェック・ポイントが、「SmugX」キャンペーンは中国の脅威アクターによるものであると評価した根拠は、攻撃者がPlugXインプラントを使用していることだけに基づいているわけではありません。 同社の研究者たちはまた、このキャンペーンが「他のセキュリティベンダーがRedDeltaまたはMustang Pandaによるものと特定している活動と、著しい類似点がある」という事実に基づいて、自らの説を立てています。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
「上記の事実に基づくと、チェック・ポイントがSmugXキャンペーンを中国の脅威アクターと結びつけた見解は、正確であると思われます。」 このキャンペーンの目的は明らかに情報収集とスパイ活動であり、その標的は中国政府の国益と一致しています。 CTIは、このキャンペーンおよびこれに関連するその他のキャンペーンについて、今後の動向を引き続き注視してまいります。」
これらのストーリーについて、何かご意見やご感想など、お聞かせいただけませんか？ または Tanium のディスカッションフォーラム にアクセスして、会話を始めてみてください。
さらに詳しくお読みになりたい方は、当社の最新の「」サイバー脅威インテリジェンスまとめをご覧ください。