悪名高いShinyHuntersは、数か月にわたりReliaQuestから徹底的に追跡・分析されてきた集団です。今回、この攻撃者は大胆にも立場を逆転させることを決意し、ReliaQuestの従業員に狙いを定めた攻撃を仕掛けて、従業員1名のアカウントの侵害に成功しました。ShinyHuntersのリークサイトに投稿された誇示的な発表内容から判断すると、この大胆な攻撃は、同社が同グループの不正活動について詳細な記事を数多く公開してきたことへの、いわば見せしめ的な報復だったとみられます。
ソーシャルエンジニアリングの手口
この大胆な事件は8月22日に発生しました。ReliaQuestが公式に明らかにしたところによると、攻撃者はまず同社の正規のアドレスに酷似したドメインを巧妙に登録しました。続いて、コンテンツデリバリーネットワークの背後に巧みに隠した偽のシングルサインオン(SSO)ポータルを構築しました。この偽装には、公式企業サイトを模倣するよう入念に設計された「reliaquest.claims」という類似ドメインが使われました。次に、攻撃者は複数のReliaQuest従業員に電話をかけました。正規のセキュリティ担当者になりすまし、被害者を実名で呼びかけるという徹底ぶりでした。
侵害の成立
残念ながら、従業員1名がこの巧妙な策略に引っかかってしまいました。この従業員は偽のポータルにアクセスし、正規のパスワードを入力したうえ、手元の端末で多要素認証(MFA)のプッシュ通知を承認してしまったのです。その結果、攻撃者はReliaQuestのID管理ダッシュボード内で、認証済みの有効なセッションを確保しました。この不正アクセスによって機密情報の閲覧は可能になったものの、重要な社内アプリケーションに対する操作権限までは得られませんでした。
防御機構がエスカレーションを阻止
攻撃者はその後、侵害したダッシュボードを足がかりに、他の重要なサービスへ横展開を試みました。しかし、ReliaQuestの堅牢な防御機構がこれらの不正なリクエストを即座に遮断しました。同社ではデバイス認証プロトコルを厳格に運用しているため、ユーザー認証には成功していたにもかかわらず、見覚えのないコンピューターからの社内システムへのアクセスは完全にブロックされたのです。同社の警戒を怠らないセキュリティチームは、攻撃者のアクティブセッションを速やかに終了させ、侵害されたパスワードを無効化し、該当従業員の認証情報をすべてリセットしました。
表面的な侵害にとどまったことを確認
その後実施された徹底的な調査では、他のユーザーアカウント、機密性の高い社内アプリケーション、あるいは顧客の機密データへのアクセスを示す証拠は一切見つかりませんでした。攻撃者はインフラ内に永続的な足場を築くことにも失敗しました。ReliaQuestは、企業全体が包括的に侵害された、あるいは深刻なランサムウェア攻撃を受けたとする一部の不安をあおる報道について、事実無根であると明確に強調しています。実際には、ShinyHuntersはアカウント1件を侵害し、読み取り専用の制限されたモードでID管理パネルに短時間アクセスできただけにとどまりました。
報復という名の皮肉
両者のこれまでの経緯を踏まえると、この一件には何とも皮肉な巡り合わせが感じられます。ReliaQuestはこれまで、ShinyHuntersに関する詳細な分析記事を繰り返し公開してきました。早くも2月の時点で、同社はこの攻撃グループがIT サポートを装って企業の従業員に電話をかける手口を綿密に記録していました。被害者を偽のSSOポータルやOktaポータルへ誘導し、認証情報や認証セッションを窃取したうえで、安全性の高いクラウドサービスへの横展開を試みるという同グループの戦術も詳しく解説していました。それから数か月後、ShinyHuntersはまさにこの同じ手口を、当のReliaQuestに対して実行に移したのです。
お馴染みの手口が使われる
4月に公表した詳細なレポートでも、同社はこの強力な攻撃グループに特別な注意を払っていました。ReliaQuestの調査によると、ShinyHuntersは電話を使ったソーシャルエンジニアリングを積極的に活用し、ITサポートデスクになりすまし、SSOセッションを窃取するための巧妙なフィッシングページを作成しています。この時点で、専門家らはこの悪意ある活動に関連するドメインを約500件特定していました。有効なセッションを取得すると、攻撃者は通常、Salesforce、SharePoint、各種SaaSサービスへのアクセスを試みます。こうした環境を利用すれば、従来型のマルウェアを導入することなく、大量の企業情報を短時間で外部に持ち出すことができるのです。
ソーシャルエンジニアリングの限界
攻撃が始まる少し前、ReliaQuestはShinyHuntersの新たなインフラについても厳重な注意喚起を行っていました。このインフラは「.claims」ゾーン内のドメインを利用し、標的企業のサポート部門やIT部門を装うよう特別に設計されたものでした。攻撃後、同グループはReliaQuestのアカウントにアクセスできたとする証拠らしきものを公開し、皮肉を込めて同社が過去に公表していた脅威レポートを引き合いに出しました。つまり攻撃者は、自分たちの活動を監視し、その手口を公然と分析してみせた相手への直接的な報復だと、この事件を印象づけようとしたわけです。
しかし結局のところ、ShinyHuntersが得意とするこの手法も、部分的な成功にとどまりました。巧妙なソーシャルエンジニアリングによって従業員を欺き、パスワードを窃取し、MFAの壁を突破することには成功しました。しかし、正しく認証された利用者がたった1人いるだけでは、保護された社内リソースへのアクセスを許すには到底不十分だったのです。ReliaQuestは今回の事件について、組織が多要素認証だけに頼ってはいけない理由を如実に示す好例だと捉えています。デバイスやアクティブセッションに対する厳格な追加の制限を導入しておけば、フィッシング攻撃が成功した後であっても、攻撃を効果的に無力化できるのです。
翻訳元: https://meterpreter.org/shinyhunters-hacker-group-reliaquest/
