Pythonベースのマルウェアフレームワークが、環境寄生型攻撃(LOTL)の概念をまったく新しい次元へと引き上げていることが、研究者の調査で明らかになりました。このフレームワークは、コマンド&コントロール(C2)機能の全体をMicrosoft AzureおよびMicrosoft 365サービスの内部から運用しています。攻撃者がクラウドインフラを悪用して活動を隠すこと自体は珍しくありませんが、このフレームワークにはいくつか独自の特徴があり、新たな高度化と、それに対応する新しい防御的発想の必要性を示しています。
これを発見したOntinue Cyber Defense Centerの研究者らによって「TwinLoot」と名付けられたこのモジュール型フレームワークは、複数のMicrosoftサービスをそれぞれ異なる目的で使い分けることで、その活動を正規のクラウドトラフィックに見せかけています。本日公開されたレポートによると、具体的にはTwinLootはコマンド&コントロール(C2)にSharePoint OnlineとMicrosoft Graph APIを使用し、対話型アクセスにはMicrosoft TeamsのTURNリレーインフラを利用します。さらに、Graph API通信を偽装するために被害者自身のMicrosoft Edgeブラウザを利用します。
この基盤を使い、TwinLootはさまざまな悪意ある活動を行うことが研究者らによって確認されています。具体的には、ピクセル単位まで忠実に再現された偽のロック画面を使ったWindows認証情報の窃取、被害ネットワークへの侵入経路となるリバースSOCKS5ピボットの提供、任意コマンドの実行、そして複数の手法によるネットワーク内への永続的な足場の構築などです。
研究者らが特に特異だと指摘するのが最後の活動です。レポートによれば、この手法は「管理者権限を持たない状態でオフラインで偽造された必須プロファイルハイブ」を利用しています。プロファイルハイブを悪用するこの手法を、研究者らは「Corrupting the Hive Mind(ハイブマインドの汚染)」と名付けており、「この永続化手法が実際の攻撃で悪用された記録としては初めて」だと指摘しています。
攻撃者が制御するクラウドサービス
研究者らは、2026年7月に進行中だったキャンペーンを調査する中でTwinLootを発見しました。レポートによると、PyArmor 9.2.5による保護下にあったマルウェアのモジュールを回収し、埋め込まれた設定情報を復号したとのことです。
研究者らが確認したTwinLootの個々のLOTL戦術の多くは、それ自体は目新しいものではありません。例えばSharePointがC2のデッドドロップとして使われる例はすでに存在しています。しかし、それらを単一の実運用インプラントへと組み合わせた点が新しいのです。Ontinueによれば、「TwinLootは、Microsoft 365のデッドドロップC2、Teams TURNリレーの悪用、そしてヘッドレスブラウザによる通信を単一のフレームワーク内で組み合わせた事例としては初めて確認されたもの」だといいます。
証明書ライフサイクル管理を手がけるSectigoのシニアフェロー、Jason Soroko氏は「TwinLootは、クラウド生産性スイートが攻撃者の制御基盤に転用され得ることを示している」と指摘します。「これにより、ドメインの信頼性、IPブロック、プロセス名、あるいは『Microsoft 365のトラフィックは正当なユーザー活動である』という前提に基づいて構築された対策の効果が弱まってしまいます」
実際、その設計内容からTwinLootはプロフェッショナル、少なくとも「攻撃的な技術とMicrosoftのクラウドアーキテクチャの両方を熟知した人物」の手によるものである可能性が高いと、レポートは指摘しています。
レポートによれば、「開発者は数週間前から期限切れドメインを2つ準備し、専用に作り込んだAzure ADアプリケーションを登録し、デッドドロップとしてSharePointサイトを立ち上げ、最先端の会議用ツールを本番運用のPythonインプラントへと移植しました。これらすべてを7週間という期間内で行っています」。この結果生まれたのが、被害者自身のプロセスから被害者の内部ネットワークへと抜け出す対話型SOCKS5プロキシであり、侵害された1台の端末を横展開の足がかりへと変えてしまいます。
ひそやかな認証情報窃取と永続化
TwinLootのアーキテクチャの中でも特に注目すべきなのが、認証情報の窃取と、先述の永続化という2つの側面です。その構造と、被害者からいかに見えにくいかという点で特に注目に値します。
この認証情報窃取モジュールのフレームワークは、侵害された端末上に偽のWindowsロック画面を表示し、フィッシングさながらの手口でユーザーにWindows認証情報の入力を促します。その際、プロンプトを通常の認証要求であるかのように見せかけます。そして、ユーザーに気付かれることなくパスワードを取得します。
サイバーセキュリティ企業Keeper SecurityのCISO、Shane Barney氏は「ログイン試行は成功・失敗を問わずすべて収集され、被害者には何かがおかしいという兆候は一切ありません」と述べています。「被害者に見えるのは通常のパスワード誤り表示だけで、再入力し、最終的には普通に認証を通過してしまいます」
一方、「Corrupting the Hive Mind」永続化手法も「同様にひそやかです」と同氏は言います。この手法は、正規のWindows APIを使ってオフラインで必須プロファイルハイブを構築するもので、レジストリ変更のイベントも権限昇格も発生しません。「そのため、標準的な検知ロジックではこれを表面化させることができません」と同氏は指摘します。
高度化するLOTLには新たな防御が必要
実際、TwinLootがもたらす本質的な運用上の課題は、攻撃者のトラフィックを「通常のユーザー活動と本当の意味で見分けがつかないもの」にしてしまう点にあると、Barney氏は言います。では、マルウェアフレームワーク全体が高度なLOTLを駆使して「通常運転」の錯覚を作り出す場合、防御側は何をすべきか。同氏は、サービスごとにトラフィックの傾向をマッピングすることを提案しています。
「セキュリティチームは、SharePoint、Teams、Graph API連携に触れるすべてのアカウントについて『通常の状態』がどのようなものかを把握し、そのベースラインからの逸脱を検知してアラートを出す必要があります」とBarney氏は述べています。「悪意ある行動そのものを検知するのではなく、差異を検知するという方向への転換こそ、この種の攻撃が求めているものです」
実際、攻撃者が手口を進化させ続ける中で、高度化するLOTLから組織を守るための道筋となるのが行動ベースの検知です。「脅威アクターが正規のクラウドサービスを悪用する事例が増える中、既知の悪性なものを単純にブロックするだけでなく、何が『通常と異なるか』を見抜くことがより重要になってきています」と同氏は指摘しています。
セキュリティ企業Black Duckで脅威インテリジェンス部門のシニアマネージャーを務めるRobert Coles氏は、「セキュリティチームは、Microsoft Graph APIの不審な活動の監視、OAuthアプリケーションおよび同意許可の監査、SharePointやTeamsにおける異常な活動の調査、ブラウザ自動化や正規プロセスの悪用の検知、そしてID・エンドポイント・クラウドのテレメトリの相関分析を優先すべきです」と述べています。
さらに同氏は、レジストリの変更や管理者操作といった従来型の指標にとどまらず検知範囲を拡大しつつ、行動分析やユーザー/エンティティ行動分析(UEBA)機能への投資も進めるべきだと付け加えています。
翻訳元: https://www.darkreading.com/cloud-security/silent-twinloot-threat-operates-microsoft-cloud
