Cisco Japan Blog / 脅威リサーチ / Talos IR の動向：ビジネスメール詐欺が急増する中、狙われ続ける MFA の弱点

2024 年第 1 四半期に Talos インシデント対応チーム（Talos IR）が確認した脅威の中で最も多かったのはビジネスメール詐欺（BEC）で、対応業務の約半数を占めました。前四半期の 2 倍以上となっています。

初期アクセスを獲得する手段では、有効なアカウントでの漏洩したログイン情報の使用が最多となり、全体の 29% を占めました。有効なアカウントが今四半期の攻撃経路のトップとなった大きな要因は、ビジネスメール詐欺の件数の多さにあると考えられます。今四半期は、対応業務の約半数で多要素認証（MFA）関連の弱点が確認されました。最多は、不正なプッシュ通知をユーザーが承認してしまうという弱点で、対応業務の 25% で確認されました。

Talos IR 四半期動向レポート（2024 年第 1 四半期）

主要な攻撃者の動向、検出数の多いマルウェア、最も狙われた業種についての概要

Talos IR Trends (Q1 2024).pdf 174 KB

今四半期はランサムウェアがやや減少し、対応業務に占める割合は 17% でした。Talos IR は今四半期に初めて、Phobos と Akira の新しいランサムウェア亜種に対応しました。

今四半期最も狙われた業種は製造業で、わずかの差で教育がそれに続きました。2023 年第 4 四半期も、最も狙われた業種の上位 2 つは製造業と教育でしたが、この傾向が続いています。製造業の対応業務は前四半期から 20% 増加しました。

製造業は稼働停止に対する耐性が本質的に低いため、この業種ならではの課題に直面しています。今四半期 Talos IR は、製造業の企業を標的とした幅広い脅威活動を観測しました。ビジネスメール詐欺やランサムウェアなど金銭的な動機による攻撃や、仮想プライベートネットワーク（VPN）インフラストラクチャを標的としたブルートフォース攻撃などです。製造業を標的とした攻撃で今四半期最も多く確認された攻撃手段は、有効なアカウントでの漏洩したログイン情報の使用であり、前四半期から変化が見られます。前四半期に最も多く確認された攻撃手段は、外部公開されたアプリケーションの脆弱性の悪用でした。

本レポートで取り上げている主要な動向を説明している動画をご覧ください

ビジネスメール詐欺の急増

ビジネスメール詐欺では、詐欺犯が既知の送信元や信頼できる送信元から、給与口座振込情報の更新などの正当な要求に見せかけたフィッシングメールを送信します。ビジネスメール詐欺の動機はさまざまですが、多くの場合は金銭目的であり、組織をだまして詐欺犯に資金や機密情報を送信させようとします。

信頼できる関係先になりすますことで、従来の外部防御をバイパスできる内部スピアフィッシング攻撃が行いやすくなり、詐欺やマルウェアの広範な感染、データ窃取が成功する確率が上がるというのが詐欺犯にとってのビジネスメール詐欺の利点です。

ある事例では、詐欺犯が複数の従業員アカウントに対してパスワードスプレー攻撃と MFA 疲労攻撃を行いました。影響を受けたすべてのアカウントには適切な MFA が導入されていなかったので、詐欺犯が単一要素認証を使用して少なくとも 2 つのアカウントにアクセスする事態に発展しました。その組織は、詐欺犯がアクセスを拡大したり、侵害後に新たな活動を行ったりする前に攻撃を検出、阻止しています。

これとは別の一連の詐欺事例では、複数の従業員がスピアフィッシングメールを受け取りました。このメールに含まれているリンクをクリックすると Web ページのリダイレクトチェーンが発生し、各被害者のメールアドレスがあらかじめ入力された正規のシングルサインオン（SSO）プロンプトに誘導されるようになっていました。従業員が誰一人としてメールのリンクをクリックしなかったので、攻撃は失敗に終わりました。怪しい点が多々あったからだと考えられます。たとえば、このメールが予期せぬメールであったこと、外部のメールアドレスから送信されていたこと、メールのことをファックスと記載した短いテキストが含まれていたことなどです。これらはすべてフィッシングの試みを示す兆候です。

ランサムウェアの動向

今四半期の対応業務に占めたランサムウェアの割合は 17% で、前四半期から 11% 減少しました。Talos IR は今四半期に初めて、Akira と Phobos の新しいランサムウェア亜種を確認しました。

Akira

今四半期、Talos IR は初めて Akira ランサムウェアの攻撃に対応しました。この攻撃では、アフィリエイトが最新の ESXi バージョンである「Akira_v2」と Windows ベースの Akira の亜種である「Megazord」を展開しました。これらの新しい Akira の亜種は、プログラミング言語 Rust で書かれています。以前は C++ と Crypto++ が使用されており、このプログラミング言語の変更は注目に値します。

Talos IR は初期アクセスの方法を特定できませんでしたが、これはよくあることです。というのは、ランサムウェア攻撃は多段階の攻撃戦略を伴うことが多く、調査プロセスが複雑になるからです。攻撃者はネットワークに侵入すると、Active Directory のデータが保存されている Local Security Authority Subsystem Service（LSASS）と New Technology Directory Services Directory Information Tree（NTDS.dit）データベースのメモリからログイン情報の収集を開始し、Remote Desktop Protocol（RDP）を使用してラテラルムーブメントを行いました。Megazord ランサムウェアは暗号化の前に、ツールを無効にして防御を弱体化させる「net stop」や「taskkill」などのコマンドをいくつか実行しています。暗号化中に Akira_v2 はファイル拡張子「.akiranew」を、Megazord ランサムウェアはファイル拡張子「.powerranges」を付加しました。

2023 年初頭に初めて発見された Akira は、Ransomware as a Service（RaaS）モデルとして活動し、暗号化の前にデータを流出させる二重恐喝の手口を採用しています。Akira のアフィリエイトは、米国内に拠点を置く複数の業種の中小企業を主な標的にしていることで知られていますが、英国、カナダ、アイスランド、オーストラリア、韓国の組織も狙われています。Akira のアフィリエイトは、漏洩したログイン情報を使用すること、また、初期アクセスを得る手段として複数の脆弱性を悪用することで悪名をはせています。たとえば、Zoho ManageEngine ADSelfService Plus の特定のバージョンに影響を及ぼす SQL インジェクションの脆弱性（CVE-2021-27876 として追跡）や、Veeam の Backup & Replication（VBS）ソフトウェアの特定のバージョンに影響を及ぼす脆弱性（CVE-2023-27532 として追跡）などを悪用します。

Phobos

Talos IR は、これまでにも「Faust」などの Phobos ランサムウェアの亜種を観測してきましたが、今四半期は「BackMyData」という亜種に対応しました。攻撃者は Mimikatz を使用して、Active Directory からログイン情報をダンプしていました。また、PasswordFox や ChromePass など、パスワードを回復するために設計された NirSoft 製品のいくつかのツールをインストールし、他の認証情報も列挙しました。

攻撃者は、PsExec を使用してドメインコントローラにアクセスし、その後リモートデスクトップ接続を許可するレジストリキーを設定しました。その後すぐ、ファイアウォールの設定も変更し、Windows のスクリプトユーティリティである netsh を使用してリモートデスクトップ接続ができるようにしています。環境内での永続化手段であるリモートアクセスが可能になるように、リモートアクセスツール AnyDesk がダウンロードされていました。準備（ステージング）していたデータを流出させるために Windows Secure Copy（WinSCP）とセキュアシェル（SSH）が使用された高い可能性があると Talos IR は判断しています。また、ランサムウェアの実行ファイルを展開する前準備として、コマンド（ボリュームシャドウコピーの削除など）の実行に PsExec が利用されていました。暗号化後にこのランサムウェアは、ファイル拡張子「.fastbackdata」を付加しました。

「Users/[ユーザー名]/Music」ディレクトリがデータを流出させるためのステージングエリアとして持続的に使用され、このディレクトリで悪意のあるスクリプト、ツール、およびマルウェアがホストされていたことは、注目に値する発見でした。これは、検出を回避して環境内で永続化するために、多くのランサムウェア アフィリエイトが使用する一般的な手法です。また Talos IR は、デジタル署名された実行ファイル「HRSword」（Beijing Huorong Network Technology 社が開発）を特定しました。これは、安全にファイルを削除できるよう、また防御手段として、エンドポイントの保護ツールを無効にするためにアフィリエイトが攻撃で使用したツールであり、公開されている報告によると、Phobos のアフィリエイトが以前使用しています。

2018 年後半に初めて出現した Phobos ランサムウェアには、Crysis や Dharma ランサムウェアファミリとの多くの類似点がありました。他のランサムウェアファミリとは異なり、Phobos ランサムウェアには Eking、Eight、Elbie、Devos、Faust など多くの亜種が存在します。Phobos ランサムウェアの運用に活用されているビジネスモデルに関する情報はほとんど知られていません。Cisco Talos は 2023 年 11 月に、1,000 を超える Phobos ランサムウェアのサンプルを分析し、アフィリエイトの構造と活動について詳しく調べました。その結果、Phobos の攻撃に関連する数百の連絡先の電子メールと ID が検出され、Phobos が RaaS モデルを運用している可能性があることが明らかになりました。このマルウェアは分散したアフィリエイト基盤を持っていると考えられます。観察したすべての攻撃で、復号できる秘密キーが 1 つしかないので、元締めグループが Phobos ランサムウェアの運用を積極的に管理していると Talos はある程度確信しています。

確認されたその他の脅威

Talos IR は、Cisco 適応型セキュリティアプライアンス（ASA）に対するブルートフォース攻撃に対応しました。攻撃は失敗に終わりましたが、この攻撃活動は、VPN サービスに影響を及ぼしている最近観測された動向と一致しています。

Cisco Talos は最近、VPN サービス、Web アプリケーション認証インターフェイス、セキュアシェル（SSH）を標的とした悪意のある活動が世界的に増加していることを確認しています。遅くとも 3 月 18 日以降、The Onion Router（Tor）の出口ノードや、その他の匿名のトンネルとプロキシからのスキャン攻撃やブルートフォース攻撃が観測されています。

攻撃が成功すると、標的の環境によってはネットワークに不正にアクセスされる可能性があり、アカウントのロックアウトやサービス妨害（DoS）の状態に陥る可能性があります。このブルートフォース攻撃では、一般的なユーザー名と特定の組織だけが持つ有効なユーザー名が組み合わされて使用されます。攻撃活動は無差別に行われているようで、複数の業界や地域にわたって確認されています。

初期ベクトル

最も多く確認された初期アクセスの獲得手段は、有効なアカウントでの漏洩したログイン情報の使用で、対応業務の 29% を占めました。前四半期も攻撃経路として最多だったのは有効なアカウントであり、この傾向が続いています。

セキュリティにおける弱点

不正な MFA プッシュ通知のユーザー承認が初めて、セキュリティにおける弱点のトップに浮上しました。今四半期の対応業務に占める割合は 25% となっています。適切な MFA が導入されていないことがこれにわずかな差で続き、21% を占めました。前四半期から 44% 減少しています。

ユーザーは、自分のデバイスに大量のプッシュ通知が何度も送られてきた場合の正しい対応手順を明確に理解しておく必要があります。Talos IR では、このようなインシデントを報告するための特定のチャネルと連絡先について従業員を教育することを組織に推奨しています。迅速かつ正確に報告することで、セキュリティチームは問題の本質を迅速に特定し、状況に効果的に対処するための対策を実施できます。また、MFA アプリケーションで確認番号の入力を求めるようにすることでセキュリティを強化し、ユーザーが悪意のある MFA プッシュ通知を受け入れないようにすることもご検討ください。

Talos IR は、すべての重要なサービスに MFA を導入することを推奨しています。対象には、すべてのリモートアクセスと ID アクセス管理（IAM）のサービスが含まれます。MFA は、リモートベースの侵害を防止するための最も効果的な方法です。また、すべての管理者ユーザーに第 2 の認証方法を要求することで、ラテラルムーブメントも防止できます。潜在的なギャップを迅速に特定するために、単一要素認証に対するアラートを設定することが可能です。

最も多く確認された MITRE ATT&CK 手法

以下に、今四半期の対応業務で確認された MITRE ATT&CK の手法と割合を記載しています。また、確認された手法と関連する例を表にまとめています。一部の手法は複数の戦術に該当する可能性があるので、どう使用されたかに基づいて最も関連性の高い戦術に分類しました。ここに記載しているものがすべてではありません。

MITRE ATT&CK のフレームワークから得られた主な調査結果は以下のとおりです。

• SplashTop や AnyDesk などのリモートアクセス ソフトウェアが、今四半期の対応業務の 17% で使用されました。前四半期から 20% 減少しています。
• 最も多く確認された防御回避手法はメールを隠すルールの使用で、今四半期の対応業務の 21% を占めました。
• 永続化のために攻撃者が今四半期最も多く使用した手法はスケジュール設定されたタスクで、今四半期の対応業務の 17% を占めました。これは、前四半期から 33% の増加になります。
• RDP、SSH、SMB、WinRM などのリモートサービスの悪用は、前四半期の 2 倍以上に増加し、対応業務の 60% 近くを占めました。

偵察

例

リソース開発

例

初期アクセス

例

実行

例

永続化

例

特権昇格

例

防御の回避

例

ログイン情報へのアクセス

例

検出

例

ラテラルムーブメント

例

収集

例

コマンドアンドコントロール

例

データ漏洩

例

影響

例

本稿は 2024 年 04 月 25 日にTalos Group のブログに投稿された「Talos IR trends: BEC attacks surge, while weaknesses in MFA persist」の抄訳です。

Authors

TALOS Japan