脅威アクターは従来型のメールフィッシングだけに頼るのではなく、手口を進化させつつあります。現代の攻撃者は、古典的なメール戦術と企業向けコラボレーションプラットフォームを組み合わせることで、被害者を欺くための偽の信頼関係を構築しています。
脅威グループUNC6692による最近のキャンペーンは、この進化を如実に物語っています。
同グループはMicrosoft Teamsを標的型メール攻撃と組み合わせて武器化し、巧妙な「clickfix」シナリオを実行します。これは業務上の危機的状況を人為的に作り出し、そこに偽のセキュリティパッチを提供するという手口です。
最近のインシデントレポートはまさにこの傾向を裏付けており、ソーシャルエンジニアリング攻撃の半数近くが、信頼性を確立するために社内担当者になりすます手口を伴っていることが明らかになっています。
業界の侵害データもこの統計を裏付けており、攻撃者がITヘルプデスクの担当者になりすました場合に高い成功率を収めていることが示されています。
確認された攻撃事例では、UNC6692は大規模なメール爆撃キャンペーンによって侵入を開始しました。
これにより標的のメール受信箱が大量のメールで溢れ、管理上の混乱と利用者のパニックが即座に引き起こされました。被害者が大量の迷惑メールへの対応に追われている間、攻撃者はMicrosoft Teamsを通じて積極的に接触してきました。
SNOWマルウェアツールキットは、アクセス確保と侵害後の活動をシームレスに支援する一連のパイプラインとして機能します。
利用者が悪意ある「修復」リンクをクリックすると、認証情報を窃取する偽の認証ポータルに誘導されます。
さらに操作を進めると、AutoHotkeyスクリプトが自動的にダウンロードされ、標準的なユーザープロンプトを回避したうえで最初のペイロードが展開されます。
永続性を保つため、SNOWBELTはWindowsのネイティブ機能とスケジュールタスクを利用してOS内に自らを根付かせます。
その後、侵入スイートの残りのコンポーネントを密かにダウンロードします。これらのツールが展開されると、標的となる内部の横展開先を特定するため、ポートスキャンによるローカルネットワーク偵察が開始されます。
SNOWGLAZEは、攻撃者のインフラへのWebSocketトンネルを確立し、悪意あるトラフィックを通常のWeb通信に紛れ込ませます。
バックアップサーバーへのアクセス権を得た攻撃者は、ローカルセキュリティ機関サブシステムサービス(LSASS)のメモリをダンプし、平文の認証情報とKerberosチケットを窃取します。
こうして窃取した管理者権限の認証情報を使い、攻撃者はパスザハッシュ攻撃を実行してActive Directoryドメインコントローラーへと横展開します。
ExtraHopの調査によると、SNOWキャンペーンのモジュール構造は、セキュリティチームが自社ネットワークの全体像を包括的に把握する必要性を如実に示しています。
UNC6692はMicrosoft EdgeやポータブルPythonといった正規ツールを暗号化トンネルと組み合わせて使用するため、個々のエンドポイントセキュリティツールでは進行中の侵害を検知しづらい状況にあります。
エンドポイントのデータのみに頼っていては、攻撃の過程で残される重要な横展開の痕跡やネットワーク上の手がかりを見逃してしまいます。
この種の挙動を効果的に検知・阻止するには、ネットワーク検知・対応(NDR)機能に裏打ちされた多層防御戦略が組織に求められます。
防御側は、攻撃の初期段階からネットワークの異常な挙動を監視すべきです。具体的には、不審な接続、疑わしいペイロードのダウンロード、そして一見正常に見えるトラフィックに紛れ込んだ隠しトンネルなどの兆候を見逃さないことが重要です。
翻訳元: https://cyberpress.org/helpdesk-pushes-snow-malware/
