「NovaCookies」キット、月額320ドルでMicrosoft 365セッションを窃取

新種のフィッシングサービスが登場し、攻撃者はわずか月額320ドルで認証済みのMicrosoft 365セッションをすぐに盗み取れるようになりました。このサービスは多要素認証(MFA)による保護を回避できるため、企業のメールセキュリティをより堅牢にする必要性を改めて浮き彫りにしています。

エンタープライズブラウザメーカーのIslandの研究者は、「NovaCookies」と名付けられたこの中間者攻撃(AitM)型フィッシングサービスを発見しました。このサービスは、Microsoft 365のログインをリアルタイムで中継して認証済みセッションを窃取するための、おとりコンテンツ、ドメイン、ホスティング、リダイレクト、サポートまでを一式提供するものです。これはIslandのシニアセキュリティ研究者であるShachar Gritzman氏が本日発表したレポートで明らかにされました。

NovaCookiesには14日間320ドルのオプションに加え、200ドルで14日間利用できるプランも用意されており、まるで商用サービスのような運営形態を取っています。複数の地域にまたがる数百の組織を標的としており、専用インフラの一部として少なくとも755のドメインを保有しています。標的となった組織の半数以上は米国内、あるいは米国内の事業体に関連するものです。Gritzman氏によると、このキャンペーンのインフラは5月中旬から「急激に拡大」し、8月に至るまで継続的に確認されているといいます。

配信手法はキャンペーンごとに異なりますが、正規のDocusign封筒に偽の文書共有おとりを仕込んだメールメッセージも含まれていました。一部のクリックは、正規のMicrosoftまたはGoogleのサインインエンドポイントを経由するリダイレクトホップを介してから、最終的にキットへと誘導される仕組みになっています。「初回の認証はマルウェアや脆弱性の悪用、あるいはログイン失敗の連発なしに正常に成功することがあるため、サインインイベント自体は一見普通に見える可能性があります」とGritzman氏はDark Readingに語っています。

Islandによると、このサービスには短命なコンテキストバインディングやランタイム検査といった回避手法も組み込まれており、メールスキャナーによる検知を逃れやすくする工夫が施されています。

攻撃者はセッション窃取へ移行

NovaCookiesは、一般的なAitMフィッシング攻撃でおなじみの手法を使用していますが、いくつかの点でこのサービスは際立っています。その一つが、「信頼された文書共有プラットフォーム、正規のリダイレクト、使い捨てのインフラを組み合わせ、リアルタイムのMicrosoft 365セッション窃取と結びつけたうえで、その一連の運用一式を他の攻撃者に販売している」点だとGritzman氏は述べています。

「中間者攻撃用の中継システムを構築・維持するには専門的な作業が必要です」と同氏はレポートに記しています。「それをレンタルすることでこの障壁は下がり、購入者は維持管理されたサインインフロー、インフラのローテーション、そして操作用インターフェースを手に入れられます」

こうしたプラットフォームは、「通常フィッシング攻撃に必要とされる高度な技術力やリソースを不要にしてしまいます」と、モバイルセキュリティ企業Zimperiumで製品戦略担当バイスプレジデントを務めるKrishna Vishnubhotla氏は指摘します。

ただし、NovaCookiesを利用した攻撃が実際に成功するかどうかは、最終的には攻撃者自身の技量次第だとGritzman氏は付け加えます。「この障壁は大幅に下がりますが、すべての購入者が高度な技術を持つわけでも、すべてのキャンペーンが成功するわけでもありません」と同氏は述べています。

NovaCookiesのもう一つの新しい特徴は、従来のフィッシング・アズ・ア・サービス型パッケージがパスワードのみを狙う傾向にあるのに対し、セッションCookieの窃取へと軸足を移している点だと、Material Securityの共同創業者兼CEOであるAbhishek Agrawal氏はDark Readingに語っています。

「このサービスは認証済みセッションそのものを盗み出します。つまり、多くの組織が今なおフィッシング対策の最終防衛ラインとみなしているMFAがまったく機能しなくなるということです」と同氏は述べています。「攻撃者がいったんサインインを中継してセッションを奪取してしまえば、そのセッションが有効である限りアカウント内部に居座り続けることができ、それはかなり長期間に及ぶこともあります」

Agrawal氏によれば、この軸足の移行は、パスキーやWebAuthnの普及によって業界全体で認証情報の窃取が困難になった結果、攻撃者が新たな認証情報の入手手段を模索せざるを得なくなったことが背景にあるとみられます。「セッション窃取はまさにその転換の表れであり、フィッシング・アズ・ア・サービスの運営者がこれを需要に応じて製品化するのも驚くには当たりません」と同氏は述べています。

MFAを超えた安全な認証へ

専門家によると、MFAを突破するフィッシング・アズ・ア・サービス型キットはNovaCookiesだけではないものの、このサービスは今後の攻撃の先触れであり、攻撃者が高度な認証を回避する手口がますます巧妙化していることを示すものだといいます。これに対抗するため、防御側は特にメールセキュリティに関して、企業のアプリケーション認証情報をどう保護すべきか、根本から見直す必要があります。

「不都合な真実は、悪意あるメッセージを入り口で食い止めるという、メールセキュリティの主流モデルそのものが、戦いは入り口で起きるという前提に立っている点です」とAgrawal氏は述べています。「攻撃者が有効なセッションを携えて侵入してくれば、境界での検知はもはや意味を成しません。業界はこの10年間ゼロトラストについて語り続けてきましたが、その考え方はメールやその背後にあるデータには実質的に及んでいませんでした」

同氏は、メールによるおとりが受信トレイに届いた瞬間から、「侵害後も含め、攻撃の連鎖のあらゆる段階で機能する」防御態勢を組織が構築すべきだと提案しています。「一部のセッションは盗まれるものだという前提に立ち、たとえセッションが盗まれても攻撃者がほとんど何も得られないような仕組みを構築する必要があります」と同氏は述べています。

一方、Gritzman氏が防御側に贈るアドバイスは異なります。同氏は、フィッシングに強い認証と制御を実際のユーザーのブラウジングセッション内に組み込むことで、「一連の流れがすべて収束する場所」であるブラウザ自体のセキュリティ強化に組織は注力すべきだと考えています。

「企業は、フィッシング被害によってパスワードだけでなく認証済みセッションまでもが漏洩しうるという前提に立つべきです」と同氏は述べています。「まずは特権アカウントや影響度の高いアカウントから始めて、FIDOのようなフィッシング耐性のある認証方式を導入し、中継攻撃自体を防ぐこと。そして現実的な範囲で管理対象デバイスの使用を義務付けることです。検知については、ブラウザでの一連の挙動をデバイスの信頼性、トークンの異常、認証後のアクティビティと突き合わせて相関分析することが重要です」

それでも中継攻撃が突破に成功してしまった場合、Gritzman氏は、一般的に行われがちなパスワードリセットだけに頼るのではなく、組織はアクティブなセッションを無効化し、リフレッシュトークンを再発行することで、侵害された可能性のあるセッションを確実に無効化すべきだと提案しています。