イラン関連のAPT42が「SpearSpecter」キャンペーンを通じて標的型スパイ活動を拡大させています。政府や国防関係の高官、さらには一部でその家族までも標的にした、個別化されたソーシャルエンジニアリングの手口を用いていることが分かりました。
このキャンペーンでは、長期にわたるWhatsAppでのやり取り、信頼性の高いクラウドサービス、認証情報の窃取、そしてモジュール式のPowerShellバックドア「TAMECAT」が組み合わされています。
APT42は一部の報告ではTA453としても追跡されており、無差別的なマルウェアばらまきではなく、標的を絞ったフィッシングやID窃取型のスパイ活動で知られています。
同グループは信憑性の高いペルソナを作り込み、研究者やイベント主催者になりすまして、ルアーを送りつける前に個人メール、会社メール、WhatsAppを通じて被害者とやり取りを重ねます。
SpearSpecterは、この手法がどのように進化してきたかを示しています。攻撃者はまず、業務上の招待状や会議資料、インタビュー依頼といった形で信頼関係を築きます。
その後、被害者は認証情報を窃取するためのページ、あるいはTAMECATをインストールさせる悪意ある文書チェーンのいずれかを受け取ることになります。
マルウェアの配信フローでは、Windowsのsearch-msプロトコルハンドラーを悪用してExplorerを開かせ、WebDAV経由でホストされた攻撃者管理下のファイルを表示させます。
被害者はWindows Explorerを開く許可を求められ、それを承認するとシステムはリモートのWebDAVの場所に接続します。その後、PDFに偽装した.lnkショートカットが正規の文書であるかのように提示されます。
このショートカットを開くとcmd.exeが起動し、バッチ形式のローダーがダウンロードされ、難読化されたPowerShellペイロードが実行されます。その際、無害なおとり文書が表示され、被害者の疑念を和らげる仕組みになっていることが多いとされています。
この一連の攻撃チェーンには、検知のための有効な手掛かりがいくつも存在します。
Elasticは特に、リモートWebDAV経由での実行、不審なプロセスの親子関係、そして@SSLやDavWWWRootを含むパスが有用な検知シグナルになると指摘しています。
TAMECATはAPT42に関連付けられているPowerShellベースのバックドアで、コマンド実行とモジュール式のデータ収集機能に対応しています。
中でもブラウザ情報の収集機能は、ID窃取という観点で深刻なリスクをもたらします。
報告によれば、TAMECATはMicrosoft Edgeのリモートデバッグ機能を利用してブラウザデータを取得できるほか、Chromeを一時停止させることでロックされたブラウザデータベースにアクセスできる可能性があります。そのため、エンドポイントの侵害が確認された後は、パスワードのリセットだけでは不十分だとされています。
インシデント対応担当者は、パスワードのリセットに加えて、有効なセッションとリフレッシュトークンの失効、ブラウザに保存された認証情報の調査、OAuth権限の確認、メールボックスの転送設定の点検を行うべきです。
これは、個人アカウントが公務のやり取りに使われている可能性のあるハイリスクなユーザーにとって特に重要だと、darkatlasは述べています。
APT42はまた、正規のサービスや一般的なプラットフォームを利用することで、通常のトラフィックに紛れ込ませています。同グループの活動はクラウドでホストされたルアーや痕跡の少ないツールを用いてきたため、単一のプラットフォームやハッシュ値をブロックするだけでは、このキャンペーンを確実に阻止するのは難しいとみられます。
SpearSpecterの真の脅威は、まったく新しいインプラントにあるわけではありません。むしろ、忍耐強い関係構築、信憑性の高いクラウドホスト型コンテンツ、ID窃取、そして選択的なファイルレスマルウェアを一つの侵入経路に組み合わせるAPT42の能力にこそあります。
より強固なプロアクティブ防御で、重大インシデントと経済的損失を未然に防ぎましょう。15,000のSOCから集約されたライブ脅威フィードを導入する
翻訳元: https://cyberpress.org/spearspecter-deploys-tamecat-lures/