まず、CTIでは、昨年、名前の明かされていない連邦行政機関（FCEB）のネットワークが侵害された件について、CISA、FBI、およびMS-ISACが共同で発表した勧告を取り上げています。 続いて、CTIは、政府機関を標的とした一連の攻撃に関する、マンディアント社とフォーティネット社の最近の共同報告書について詳しく取り上げます。この攻撃において、攻撃者はフォーティネットのゼロデイ脆弱性（CVE-2022-41328）を悪用し、2種類の新たなマルウェアを展開しました。 最後に、CTIは、高度持続的脅威（APT）グループ「Tick」による新たなキャンペーンについて取り上げ、本レポートを締めくくります。同グループは、データ漏洩防止（DLP）ソフトウェアの開発を専門とする東アジアの企業を標的としたと報じられています。
1. 米国の連邦機関が、Telerikの古い脆弱性を悪用したハッキングを受け、データが盗まれました
CISA、FBI、およびMS-ISACが発行したの共同勧告 （新しいタブで開きます）によると、ある米国連邦機関のMicrosoft Internet Information Services（IIS）Webサーバーが 2022 年にハッキングされました。これは、攻撃者がProgress Telerik UI for ASP.NET に影響を与える重大な.NETデシリアライゼーションの脆弱性（CVE-2019-18935 （新しいタブで開きます））を悪用したためです。 (新しいタブで開きます) AJAX コンポーネントに影響を及ぼしています。
共同アドバイザリで説明されているように、名前の明かされていない連邦文民行政機関（FCEB）のネットワーク上で発見された侵害の兆候（IOC）に基づき、攻撃者は 2022年11月 から2023年1月 の初めにかけて、当該サーバーへのアクセス権限を有していたことが判明しました。
BleepingComputerより：
名前の明かされていない連邦行政機関（FCEB）のサーバーに不正アクセスした後、彼らはC:\Windows\Temp\フォルダに悪意のあるペイロードを配置し、情報を収集して、攻撃者が管理するコマンド＆コントロールサーバーへ持ち出しました。
侵害されたIISサーバーにインストールされたマルウェアは、追加のペイロードを展開し、システム上の痕跡を削除して検知を回避し、リバースシェルを開いて持続性を維持することが可能です。
また、このマルウェアはASPXウェブシェルを配置するために利用される可能性もあり、これにより攻撃者は、ローカルシステムの閲覧、ファイルのダウンロードやアップロード、およびリモートでのコマンド実行を容易に行うためのインターフェースを得ることになります。 しかし、このアドバイザリで詳述されているように、「悪用されたサービスアカウントの書き込み権限が制限されていたためか、標的システムにウェブシェルが配置された形跡は確認されませんでした。」
侵害されたIISサーバーにインストールされたマルウェアについては、CISAが同時に公開したマルウェア分析レポート『 』（新しいタブで開きます） において、さらに詳細に解説されています。
関連する脆弱性
CISAの報告によると、FCEB傘下の機関のMicrosoft IISサーバー上で稼働していたTelerik UI for AJAX Q2 2013 SP1 （バージョン2013.2.717）のインスタンスに含まれる.NETのデシリアライゼーション脆弱性「 CVE-2019-18935」が、今回の攻撃において悪用されました。
この脆弱性を悪用することで、攻撃者はWebサーバーへの対話型アクセス権を取得し、脆弱性のあるWebサーバー上でリモートコードの実行に成功することができました。
CISAより：
同機関の脆弱性スキャナーには CVE-2019-18935に対応した適切なプラグインが搭載されていましたが、Telerik UIソフトウェアが、通常スキャン対象外となるファイルパスにインストールされていたため、この脆弱性を検出できませんでした。
CISAは、 2021年11月において、「 CVE-2019-18935 Progress Telerik UI」のセキュリティ脆弱性を「既知の悪用されている脆弱性（KEV）カタログ」に追加しました。 この勧告ではさらに、このインシデントには他の脆弱性も一因として関与していた可能性があるとしています。
脅威アクター、および用いられた手口について
BleepingComputerによると、少なくとも2つの脅威アクター（そのうちの1つは、 のベトナムのXE Group （新しいタブで開きます） ）が、CVE-2019-18935 の脆弱性を悪用して、パッチが適用されていないサーバーにアクセスし、リモートコード実行を実現することができました。 （新しいタブで開きます） この攻撃から得られる主な教訓は以下の通りです：
- XEグループは、当機関のIISサーバーにおける「 CVE-2019-18935 」の脆弱性を悪用することに成功したものと見られる、ある種の偵察およびスキャン活動を行っていることが確認されました。
- この脆弱性が悪用された際、攻撃者がPNGファイルに偽装した悪意のあるDLLファイルを、C:\Windows\Temp\ディレクトリにアップロードしていることが確認されました。
- その後、これらの悪意のあるファイルは、C:\Windows\Temp\ディレクトリから、IISサーバー上で実行される正当なプロセスである「 the w3wp.exe」プロセスを通じて実行されました。 この処理は、Webサーバーに送信されたリクエストを処理し、コンテンツを配信するための標準的な手順です。 CISAによると、ウイルス対策ソフトのログを調査した結果、一部のDLLファイルは 2021年8月の時点で作成され、検出されていたことが判明しました。
さらに、侵害されたIISサーバーにドロップされた悪意のあるファイルのファイル名付けの規則は、これまでの報告と一致していました。それによると、脅威アクターは CVE-2019-18935の脆弱性を悪用する際、こうした命名規則を頻繁に利用しているとのことです。
CISAより：
攻撃者は、ファイル名をUnixエポックタイム形式で命名し、標的システムに記録されている日付と時刻を使用しています。 ファイルの命名規則は、[10 桁].[7 桁].dll という形式に従います（例：2022年10月31日 で作成されたファイルは、 be 1667203023.5321205.dll となる可能性があります）。
こうした活動の調査中に発見されることが予想される証拠の多くが、脅威アクターのマルウェアによって削除されたため、分析に利用できませんでした。 報道によると、このマルウェアは、C:\Windows\Temp\ディレクトリ内から、ファイル拡張子が.dllのファイルを探し出し、削除するとのことです。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
「ソフトウェアのパッチを定期的に適用することに加え、DLLが、セキュリティ対策やアンチウイルス、エンドポイントソリューションによって定期的にスキャンされ、異常なファイルやその他の不審なファイルが検出されるファイルパスにリンクされていることを確認することも、同様に重要です。」 「脅威アクターが一般的に利用するファイルパスをスキャンできるよう、防御メカニズムが適切に設定されていることを確認することも、同様に重要です。」
BleepingComputerより：
CISA、FBI、およびMS-ISACは、この脆弱性を標的としたその他の攻撃から防御するため、複数の緩和策を講じるよう推奨しており、その主な対策には以下のものが挙げられます：
- Telerik UIのすべてのインスタンスを、適切なテストを行った上で、最新バージョンにアップグレードしてください。ASP.NET (新しいタブで開きます) AJAX
- Microsoft IIS およびリモート PowerShell から生成されるアクティビティログを監視・分析します。
- サービスアカウントの権限は、サービスの実行に必要な最小限のものに制限してください。
- インターネットに公開されているシステムの脆弱性への対応を優先してください。
- 最新のセキュリティパッチへの準拠を確保するため、パッチ管理ソリューションを導入してください。
- 脆弱性スキャナーが、幅広い範囲のデバイスや場所をスキャンできるよう設定されていることを確認してください。
- 「役割や機能に基づいてネットワークセグメントを分離するため、ネットワークのセグメンテーションを実施してください。」
「CISA、FBI、およびMS-ISACはまた、本アドバイザリで言及されている『 』MITRE ATT&CK for Enterpriseフレームワークにマッピングされた脅威の行動パターンに対して、セキュリティプログラムのテスト、演習、および検証を行うことを推奨しています。」
2。 中国とみられる人物が、スパイ活動においてフォーティネットのゼロデイ脆弱性とカスタムマルウェアを使用している疑いがあります
Mandiant社によると、中国政府の支援を受けているとみられる脅威アクターが、政府機関を標的とした一連の攻撃に関与していることが判明しました。この攻撃において、攻撃者は のFortinetゼロデイ脆弱性 （新しいタブで開きます） (CVE-2022-41328)を悪用し、マルウェアを展開していました。
問題となっているゼロデイ脆弱性「 CVE-2022-41328」は、フォーティネット （新しいタブで開きます） が、 最近のアドバイザリ （新しいタブで開きます） において、次のように公表しました：
「FortiOS に存在する、パス名を制限されたディレクトリに不適切に制限してしまう脆弱性（「パストラバーサル」）[CWE-22] により、権限を持つ攻撃者が、細工された CLI コマンドを介して任意のファイルを読み書きできる可能性があります……」
フォーティネットは、脅威アクターによる不正なコードやコマンドの実行を可能にする恐れのある、深刻度の高い脆弱性に対処するため、セキュリティ更新プログラムを公開しました。 このアドバイザリでは、実環境でのこの脆弱性の悪用については言及されていませんでしたが、およそ2週間前に発表されたフォーティネットのレポートによると、 CVE-2022-41328 件のエクスプロイトが使用され、複数のFortiGateファイアウォールデバイスがハッキングされ、 ダウンさせられたことが明らかになりました。 (新しいタブで開きます) 同社の顧客の1社が所有するデバイスに対するものでした。これは、マンディアント社の最新の報告書の中心となっているのと同じインシデントであり、同社はフォーティネット社と協力して、さまざまなフォーティネット製品における悪用やマルウェアの展開について調査を行っていることを認めています。
どのような影響がありますか？
フォーティネットによると、以下のFortiOSバージョンが影響を受けています：
- バージョン 6.4.0 から6.4.11まで
- バージョン 7.0.0 から7.0.9まで
- バージョン 7.2.0 から7.2.3まで
- FortiOS 6.0 および 6.2 のすべてのバージョン
攻撃の詳細
マンディアントの報告書によると、これらの攻撃は2022年半ばに発生したとのことです。 ある事例に関連する侵害後の活動を分析した結果、中国とみられる攻撃者が展開したマルウェアは――その多くは「 CVE-2022-41328 」の脆弱性の悪用によって可能となったものですが――サイバースパイ活動、データの持ち出し、リモートシェルの確立、および侵害されたデバイスへのファイルのダウンロードや書き込みといった目的に利用される可能性があることが判明しました。
これらの攻撃は極めて標的を絞ったものであり、被害対象は政府のネットワークや大規模な組織となっています。
UNC3886とは誰のことですか？
UNC3886 は、マンディアント社により中国との関連が疑われているグループであり、2022年9月で公開された、という新しいVMware ESXiハイパーバイザー向けマルウェアフレームワーク「 」（新しいタブで開きます）と関連付けられています。
At the time of the ESXi hypervisor compromises, Mandiant observed UNC3886 directly connect from FortiGate and FortiManager devices to VIRTUALPITA (opens in a new tab) backdoors on multiple occasions.
攻撃者たちは、非常に高度な手口と「高度な能力」を発揮しました。
「この攻撃は極めて標的を絞ったものであり、特定の政府機関や政府関連組織が標的とされている兆候が見られます」とフォーティネットは述べています。 「このエクスプロイトを実行するには、FortiOSおよびその基盤となるハードウェアに関する深い理解が必要です。」 「カスタムインプラントからは、このアクターがFortiOSのさまざまな部分をリバースエンジニアリングするなど、高度な能力を有していることがわかります。」
これらの攻撃に見られる標的選定の傾向は、中国の国家支援を受けたサイバー諜報活動主体が最近示している標的選定のパターンと一致しています。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
「この悪意のある活動は、間違いなく国家が関与した作戦の典型的な特徴をすべて備えており、前述の通り、確認された標的選定のパターン、高度な能力、およびゼロデイ脆弱性の悪用は、いずれも中国のAPTの関与を示唆している可能性が十分にあります。」 そもそも、捜査当局がこの俳優の存在に気づくきっかけとなったのは、まさに幸運な偶然だったようです。 もしこれが、 の中国系攻撃者によるものだとすれば、驚くことではありません。同国の国家支援を受けたハッキング集団の多くは、その隠密性の高さで悪名高く、数年にもわたる侵入を実行できる能力があることが実証されているからです。 「CTIはこの件を注視してまいります。」
3。 Tick APTは、東アジアのデータ漏洩防止企業の重要顧客を標的としています
ESETによると、 Tick APTグループに帰属するとされる新たな攻撃キャンペーン (新しいタブで開きます) が、データ漏洩防止（DLP）ソフトウェアを開発する東アジアの企業を標的にしていたとのことです。
ESETによると、このグループは同社の内部アップデートサーバーを乗っ取り、マルウェアや、同社が使用している正規ツールのトロイの木馬化されたインストーラーを配布したとのことです。 トロイの木馬化されたインストーラーは、リモートサポートソフトウェアを通じて、同社の顧客2社に送信されました。
Tickについて
- Tick（別名：、Bronze Butler、 （新しいタブで開きます）、、）は、中国を起源とすると思われるサイバー諜報グループです。
- このグループは、少なくとも 2006年から活動しているとみられ、 (新しいタブで開きます) 主にAPAC地域を標的としています。
- Tickは、持続性、偵察、データの持ち出し、および追加ツールのダウンロードを目的として設計された、独自のマルウェア群を使用しています。
- Tickは以前、 （新しいタブで開きます） で、ProxyLogonの脆弱性を悪用していることが確認されていました。
攻撃の概要
TickによるProxyLogonの脆弱性の悪用とほぼ同時期に、この攻撃グループが東アジアのソフトウェア開発会社へのアクセス権を取得している様子が確認されました。 この攻撃ではマルウェアが利用され、正規のアプリケーション「Q-dir」のインストーラーがトロイの木馬化されたバージョンに置き換えられ、ReVBShellという名前のバックドアが仕込まれました。
この活動により、リモートサポートソフトウェアを介してマルウェアが転送された結果、同社の顧客2社が被害に遭いました。 研究者たちは、この事態はDLP社がこれらの顧客に技術サポートを提供していた際に発生したものだと考えています。
攻撃の経緯
2021年3月において、攻撃者はDLP企業の複数のマシンにマルウェアを配布しました。 このマルウェアには、NetboyおよびGhostdownファミリーの亜種に加え、これまで報告されていなかった「ShadowPy」という名前のダウンローダーが含まれていました。
その後、Q-dirインストーラーのトロイの木馬化されたコピーがネットワークに持ち込まれました。 数か月後、これらのトロイの木馬化されたインストーラーは、DLP社の顧客に配布されました。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
「攻撃者の意図があったかどうかにかかわらず、この攻撃により、トロイの木馬が仕込まれたインストーラーが同社の顧客2社に配布されてしまいました。」 具体的な経緯は定かではありませんが、同社と顧客の間で行われたテクニカルサポートのセッション中に発生したものとみられており、その際にはANYSUPPORTやhelpUといったリモートサポートツールが使用されていました。
「研究者たちは、サプライチェーン型攻撃がこのキャンペーンの主たる目的であったとは考えておらず、むしろ彼らの活動による間接的な結果であったと考えています。」 結局のところ、重要なのは結果であり、（おそらく偶然ではあったにせよ）サプライチェーン攻撃が発生し得たという事実は、こうしたインシデントが依然として企業にとって現実的な脅威となっていることを浮き彫りにしています。」
さらに詳しくお読みになりたい方は、当社の最近の「」サイバー脅威インテリジェンスまとめをご覧ください。 （新しいタブで開きます）。
