TWINLOOTは、SharePoint、Teams、Azure、そして被害者自身のEdgeブラウザを利用し、信頼されたMicrosoftインフラの内部にコマンド&コントロール通信を隠蔽します。
セキュリティ研究者らが、新たに発見されたPython製マルウェアフレームワークについて警告を発しています。このマルウェアは、防御側がすでに信頼して見過ごしがちなMicrosoftのサービスを経由して、コマンド&コントロール(C2)通信の大部分をやり取りします。
Ontinue Cyber Defense Centerは、7月に発生した進行中のキャンペーンを調査中にこのインプラントを発見し、以後「TWINLOOT」として追跡してきました。このマルウェアは、SharePoint Onlineをファイルベースのデッドドロップとして、Microsoft TeamsのTURNインフラを対話的な通信のために、そして被害者自身のEdgeブラウザのヘッドレスインスタンスをMicrosoft Graph APIリクエストの送信に利用していることが確認されています。
主要なC2通信は、攻撃者が管理するドメインではなく、MicrosoftのIPアドレス空間内で終端することがあると、Ontinueの研究者らは火曜日の公開に先立ちCSOと共有したレポートの中で述べています。
「TWINLOOTが機能するのは、防御側がMicrosoftの通信をデフォルトで安全なものとして扱うよう訓練されてきたためであり、このマルウェアはその点を最大限に利用するよう設計されています」と、Keeper Securityの最高情報セキュリティ責任者であるShane Barney氏は述べています。「この通信経路には攻撃者が所有するドメインが一切存在しないため、通信は本来あるべき姿そのままに見えてしまい、大半の検知ツールはこれを見逃してしまいます」
Microsoftは、CSOのコメント要請に対し即座には回答しませんでした。
信頼の境界線の内側に潜むマルウェア
TWINLOOTのアーキテクチャは、定型的なタスク処理と「対話的な」アクセスとを分離しています。SharePointチャネルは約15秒ごとにドライブをポーリングしてコマンドを取得し、実行結果を返すとともに、窃取した認証情報や偵察データを外部へ持ち出します。
Ontinueによると、このインプラントは被害者のMicrosoft 365環境ではなく、攻撃者が管理するAzureテナントに対して認証を行うため、被害者側のEntra IDログには認証イベントや監査イベントが一切残りません。
対話的アクセスについては、このマルウェアは逆SOCKS5トンネルを確立し、それをMicrosoft TeamsのTURNインフラ経由でルーティングできます。攻撃者はその後、侵害されたエンドポイントを利用して内部ネットワークにアクセスでき、SMBやRDP、WinRMといったサービスへの接続は被害者のマシンから発信されているように見えます。
TWINLOOTは、実際の攻撃でTeamsのTURN機能が悪用された事例としては2例目にすぎませんが、Ontinueによれば、実際のWebRTC DataChannelsをこの手法に使用した事例としては初めてだといいます。
Edge経由の通信経路はこれとは異なります。このインプラントはMicrosoft Edgeをヘッドレスモードで起動し、Chrome DevTools Protocolを介して接続した上で、ブラウザ内部から「同一オリジンのfetch()」リクエストとしてGraph API呼び出しを行います。研究者らによれば、ネットワークのテレメトリ上では、これは正規のEdgeプロセスがMicrosoftと通信しているようにしか見えないといいます。
TWINLOOTがもたらす検知の難しさについて、Black Duckの脅威インテリジェンス・セキュリティ部門シニアマネージャーであるRobert Coles氏はこうコメントしています。「攻撃者は、攻撃者自身が管理するインフラを使う代わりに、信頼されたクラウドサービスの内部に身を隠すケースが増えています」。同氏は、異常なGraph APIの活動、OAuthアプリケーションと同意付与、SharePointやTeamsにおける異常な挙動などを含め、行動ベースの検知、ID監視、異常検知に重点を置くことを推奨しています。
管理者権限なしで認証情報を窃取し、永続化する
コマンドが送られると、TWINLOOTは被害者の実際のアカウント情報を反映したWindows 10またはWindows 11のロック画面を表示します。しかし、入力されたパスワードを検証することは一切ありません。その代わり、入力されたパスワードはすべて取得・暗号化され、SharePointのC2チャネルへと送信されます。被害者には一見普通の「パスワードが違います」というメッセージが表示され、最終的にはログインが認証される流れになっています。
窃取された認証情報は、逆SOCKSトンネルを通じた横展開を可能にし、他システムへのRDP、SMB、WinRMアクセスにつながる恐れがあります。
このインプラントには、Ontinueが「Corrupting the Hive Mind(ハイブマインドの汚染)」と呼ぶ永続化手法も組み込まれています。これはオフラインでWindowsの「NTUSER.MAN」必須プロファイルハイブを作成する手法で、管理者権限を必要とせず、レジストリ変更のイベントも一切発生しません。
Ontinueによれば、この手法が実際の攻撃で使用されたのは今回が初めてだといいます。防御側に対しては、マルウェアのシグネチャのみに頼るのではなく、SharePointやTeams、Graphにおける異常な挙動に注目するよう助言がなされています。またOntinueは、Edgeのヘッドレスモードを無効化すること、不審なPythonの活動を監視すること、漏洩した認証情報をリセットすること、そしてフィッシング耐性のある認証方式を利用することも推奨しています。
Shwetaは2017年から企業テクノロジーについて執筆しており、最近ではCSO onlineでサイバーセキュリティを担当しています。ランサムウェアからゼロトラストアーキテクチャに至るまで、複雑なトピックを専門家にも一般読者にも分かりやすく解説しています。Asian College of Journalismでジャーナリズムの大学院ディプロマを取得しており、サイバー脅威の解読に追われていないときは、小説を読んだり、映画を観たり、新しいレシピに挑戦したりすることを楽しんでいます。
