ShinyHunstersはReliaQuestへの侵入を公然と誇示しましたが、その主張の大半は虚勢に過ぎなかったようです。
今回の「What We Missed」では、Dark ReadingのRob WrightとAlex Culafiが、記事化されなかった最近のニュースやトピックについて語り合います。まずはShinyHuntersによるReliaQuestへの挑発から取り上げます。
先週、このセキュリティベンダーはソーシャルメディアのXへの投稿(現在は削除済み)で、企業ドメインを偽装した「広範なShinyHuntersキャンペーン」について警告しました。ShinyHuntersに関連するとみられるアカウントはこれに返信し、「一体誰が誰を狩っているんだ?」という投稿とともに、ReliaQuest従業員のものとみられる侵害されたOktaアカウントのスクリーンショットを公開しました。この悪名高い脅威グループは、自らのデータ漏洩サイトにもReliaQuestを追加しています(ただし掲載されていたのは数枚のスクリーンショットのみでした)。
同日中に、ReliaQuestは脅威アクターが音声フィッシング(ビッシング)に成功したことを公表しました。従業員が偽のシングルサインオン(SSO)ページに認証情報を入力してしまったといいます。しかし同社によれば、攻撃者が得たのはSSOポータルへの閲覧専用アクセス権のみで、アプリケーションへのアクセスや横方向への移動を試みる動きはすべて阻止されたとのことです。では、ReliaQuestは本当に侵害されたのでしょうか。
今回はほかにも、Palo Alto NetworksのUnit 42による新たな調査結果を取り上げます。それによれば、AI生成マルウェアは今のところ広範な脅威にはなっていないようです。少なくとも現時点では。さらに、悪名高いTeamPCPギャングの構成員とされる2人が特定・逮捕されたニュースも扱います。
What We Missed:Rob Wright & Alex Culafi 完全書き起こし
Dark ReadingのRob Wright: こんにちは、Dark ReadingのRob Wrightです。
Dark ReadingのAlex Culafi: Dark ReadingのAlex Culafiです。
DRのRob Wright: 今回は「What We Missed」をお届けします。Dark Readingの記事、ポッドキャスト、動画で取り上げきれなかった最近のニュースについて話していくコーナーです。まず一つ目は、ShinyHuntersがReliaQuestを侵害した、という話です――本当にそうなのか、というのがポイントですね。これはなかなか興味深い話でした、Alex。
DRのAlex Culafi: ええ。
DRのRob Wright: 先週、ReliaQuestはおそらくShinyHuntersの活動を調査していたのだと思います。彼らは最近のソーシャルエンジニアリングの試みについて何かをTwitter/Xに投稿しました。すると、おそらくShinyHuntersに関連する脅威アクターがそれに割り込んで返信し、「一体誰が誰を狩っているんだ?」と投稿し、Oktaのポータルらしき画面の写真を添えていたようです。結局のところ、ReliaQuestの従業員が実際にフィッシングに引っかかり、攻撃者はその認証情報を使って何かにアクセスできたものの、それほど大したことにはならなかったようです。この件、どう思いましたか?
DRのAlex Culafi: まず指摘しておきたいのは、ShinyHuntersはしばしば「Shiny Lapsus$ Hunters」とも呼ばれるということです。このLapsus$という部分が重要でして、Lapsus$が登場したのは2022年か2023年頃だったと思いますが、彼らはソースコードを手早く盗んだり、どこかのポータルに侵入してスクリーンショットを撮ったりといった、非常にインパクトの小さい侵害を行い、それを自慢するというのが常套手段として知られていました。
DRのRob Wright: ええ。
DRのAlex Culafi: それに加えて、もっと大掛かりで印象的な攻撃も行っていましたが、少なくとも初期の数か月間はそれが彼らの手口だったと思います。そして今回の件は、まさにLapsus$流の攻撃を彷彿とさせます。つまり、Oktaポータルを通じての侵入をもって「侵害」とみなすなら、最も緩い意味では確かにReliaQuestは侵害されたと言えます。私自身もそう捉えます。ですが、実際にはほとんど何も起きなかったようですね。ベンダーの肩を持つわけではありませんが、称賛に値するかもしれない点として挙げたいのは、攻撃者が認証情報を手に入れ、本来アクセスできないはずの場所、しかもネットワーク内の非常にセンシティブな部分にまで到達しながら、結局何もできなかったということです。これはゼロトラストが機能している証拠と言えるかもしれません。誰も攻撃や侵害を受けないべきだ、という話ではありません。誰にでも起こり得ることです。しかし多くの場合、重要なのは侵害を受けた後にどう対処するかです。そしてReliaQuest自身の報告を見る限り、きちんと対処できていたようです。私、この件について少しポジティブに見過ぎでしょうか?
DRのRob Wright: いえ、その見方は正しいと思います。実際、最初の反応の一部はやや大げさだったと思います。多くの記事は比較的公正で、ReliaQuestがデータ窃取攻撃、あるいは侵害を阻止した、要するに攻撃は失敗に終わったと報じていました。そして、実際に起きたことに近いのはそちらの見方だと思います。ReliaQuestは事後報告の中で、かなり詳細に――そしてそれをきちんと公表した点は評価すべきですが――従業員がフィッシングに遭うことは想定内だと明言しています。フィッシングは有効な攻撃手法ですが、彼らはセキュリティ管理策を導入しており、今回のケースでは攻撃者に与えられたのは非常に限定された範囲の読み取り専用アクセスのみで、機密性の高いものには一切触れられませんでした。攻撃者は横展開を試みましたが、それもできませんでした。ですから、これは一種の勝利だと思います。そして、これはまさに「文脈がいかに重要か」を示す好例だと思います。すべての侵害が同じ重みを持つわけではありません。当然のことですが。私たちはできる限り多くの文脈を提供する必要があります。というのも、見出しだけを読んだ人は、ReliaQuestが本当に、大文字の「Breach」の意味で侵害されたと誤解しかねないからです。実際にはそうではありませんでした。次はどうでしょう?
DRのAlex Culafi: ええ、そうですね。これは2020年から2024年にかけてのMicrosoftの伝説的な失態とは、必ずしも同列ではありませんね。
DRのRob Wright: ええ、まったく違いますね。次は何でしょう?
DRのAlex Culafi: ええ、Palo Alto NetworksのリサーチチームであるUnit 42の話です。彼らは脅威リサーチ部門であると同時に、インシデントレスポンスにも関わっているはずです。とにかく、彼らは先週、AIが関与するマルウェアに関するレポートを発表しました。AI生成コード、AIをテーマにした誘導手口、エージェント型マルウェアの概念などを対象にしたものです。彼らは発見できた405件のマルウェアサンプルを分析しました。
DRのRob Wright: ええ。
DRのAlex Culafi: そのうち、同社のCortex XDRで保護された実際の本番環境のエンドポイントで観測されたのは、わずか12件のサンプルのみでした。97%は実環境では一度も現れておらず、サンドボックスやVirusTotal、あるいは研究用リポジトリの中でのみ確認されたものでした。そして本番環境のエンドポイントで確認された12件のサンプルは、すべて既存のセキュリティ管理策によって検知・ブロックされていました。彼らの結論――私たち二人の意見を代弁するわけではありませんが――は、確かにAIによってマルウェアの開発は迅速化しているものの、成熟したセキュリティ組織がすでに導入している管理策の多くは、依然として概ね有効に機能しているというものです。そして、最後の12件のうち多くは「vibeコーディング」的に作られたランサムウェアだったとのことです。どう思いますか?
DRのRob Wright: 間違っていたら訂正してほしいのですが、彼らが指摘していた点の一つは、検知技術で発見されたAI生成マルウェアの大半は――もちろんこれは世の中に存在するすべてのAI生成マルウェアを網羅しているわけではなく、あくまでUnit 42とPalo Altoが観測できた範囲の話ですが――研究的な実験、あるいは脅威アクターによる初期段階の試み、もしくは単に研究者たちがいじり回している程度のものだったということでした。ですから、これは良い知らせだと思います。この記事を見たとき、正直驚きました。AIが敵対者を助けることについてはこれまで大きな注目が集まっていましたし、人々が特に懸念していたのは、実際のマルウェア開発やエクスプロイトにAIがどんな影響を及ぼすかという点でした。少なくとも今回のケースでは、今のところ私たちが恐れていたほどの影響は出ていないようです。それは良いニュースですね。とはいえ、油断はできないと思います。というのも、フロンティアモデルの登場によって、この構図が大きく変わる可能性があるからです。ですが今のところ、この調査結果は身が引き締まる内容だと思います。
DRのAlex Culafi: ええ、私も同感です。彼らも多少の留保はつけていて、確かに大量のマルウェアサンプルは存在するものの、現時点では大規模には実際に機能していない、としています。ただし、AIはこうした脅威アクターに迅速な反復開発の能力を与えているようで、それは将来的な懸念材料になり得ます。おっしゃる通り、これは油断してはいけないというサインです。ある意味、Mythosクラスのモデルを悪用して、次々と狂ったようなゼロデイや、古いソフトウェアへの攻撃チェーンを量産している脅威アクターは、今のところ存在しないという見方を裏付けているとも言えます。
DRのRob Wright: その通りですね。
DRのAlex Culafi: ただ、この調査は同時に、存在するボトルネックを思い出させてくれるものでもあります。ぶっ飛んだエクスプロイトを見つけて実行するだけの単純な話ではありません。実行することも一部ではありますが、持続性(persistence)を維持することも必要です。
DRのRob Wright: その通りです。
DRのAlex Culafi: マネタイズも必要ですし、検知されずに潜伏し続けることも必要です。防御側が強くなれば、それに応じてマルウェアや攻撃プロセスもはるかに複雑にならざるを得ません。そして、これがこの話の心強い側面だと私は思います。つまり、マルウェアの量は確かに増えていて、将来的には深刻度への影響が出る可能性もありますが、「悪質なマルウェア=無限の攻撃」という単純な図式ではないということです。分かりますか?
DRのRob Wright: ええ、まさにその通りですね。
DRのAlex Culafi: それで、もう一件ありますよね?
DRのRob Wright: ありますね。こちらもまた良いニュースだと思います。
DRのAlex Culafi: いいですね。
DRのRob Wright: 先週、TeamPCPの構成員とされる2人が逮捕されました。21歳のRuben Ian Thomson容疑者と、23歳のLewis Michael Gaebler容疑者で、いずれもオーストラリア西部、パースあたりで逮捕されたと思います。ちなみにパースは素敵な場所ですよ。行く機会があればぜひおすすめします。今回の件はかなり重要な突破口でした。というのも、Thomson容疑者は主犯格、いわば首謀者とされているからです。
DRのAlex Culafi: 首謀者、と。
DRのRob Wright: 誰にも分かりませんけどね。こういうことは、本人が認めるまで、あるいは確定するまで分からないものです。ともあれ、この2人が逮捕されました。KrebsOnSecurityに大きな記事が出ていて、この犯人たちを調査し、さまざまなソーシャルメディアやオンライン活動、ソーシャルメディアのハンドル名などを通じて実名を突き止めていました。同様の調査報告は、脅威インテリジェンス企業のFlareからも出ていたと思います。彼らも先週あたりに、この人物たちに関する調査結果を詳しく公表していました。そして、彼らは現在拘束されており、Thomson容疑者は米連邦当局によってちょうど起訴されたところだと思います。もう一人については分かりませんが。それで、どう思いますか?
DRのAlex Culafi: 確認したいことが一つあります。
DRのRob Wright: どうぞ。
DRのAlex Culafi: この2人はShai-Huludの関係者なんでしょうか?
DRのRob Wright: ええ、それがまさに問題ですよね。
DRのAlex Culafi: ええ。
DRのRob Wright: ええ、その可能性はあります。正直分かりません。Shai-Hulud、いわゆるmini Shai-Huludワームを実際に作ったのが誰なのかについては、いくつかの議論や論争がありました。TeamPCPだったのか。そもそもTeamPCPというもの自体が実在するのか。すべてがはっきりしません。ただ、彼らが何らかのサプライチェーン攻撃に関与していたのは間違いないと思います。あとは、彼らがどの攻撃の責任者なのかを一つひとつ特定していく作業になりますが、それにはしばらく時間がかかりそうです。
DRのAlex Culafi: なるほど。分かりました。おそらく、ほとんどの脅威研究者は、TeamPCPがこの一連の大きな流れのどこかに関わっていた、ということでは意見が一致するでしょうね。「どこかで、何らかの形で波を起こした」というのが、現時点で成り立つ最も妥当な評価なのだと思います。
DRのRob Wright: ええ、その通りです。
DRのAlex Culafi: そして、それは良い知らせですよね? これらの人物が実際にやったと仮定すれば、そしてこれがすべて現時点では容疑にすぎないという前提ですが、彼らが実際の犯人で、しかも捕まったのだとすれば、それは素晴らしいことです。この逮捕をきっかけにインフラの一部でも摘発されれば、それも素晴らしいことです。正義が行われるのは良いことですから。
DRのRob Wright: ええ。
DRのAlex Culafi: これ以上誰も被害に遭わずに済むようになれば、なお良いですね。ええ、まあ――特にこれ以上付け加えることはないですが、良いニュースだとは思います。他に何かこの件について言いたいことはありますか?
DRのRob Wright: ええ――手短に言うと、これは一つの気づきだと思います。まず、サイバー犯罪者や悪意ある行為者のすべてが中国、ロシア、北朝鮮出身というわけではない、ということです。今回の件は、英語圏の人物たちも、サイバー犯罪者の集団の一員として、こうした活動に関与し、実際に行動を起こしているということを改めて示す例だと思います。また、彼らが十分な運用セキュリティ(opsec)を実践できておらず、少し口が軽すぎたり、ネット上での存在感を出しすぎたりして、痕跡を隠しきれなかった例の一つでもあります。彼らの答弁や量刑がどうなるか、有罪判決が下された場合にどれくらいの刑期になるのか、そして本当に彼らがこれをやったのかどうか、今後の展開に注目したいと思います。というのも、ここで取り上げられているサプライチェーン攻撃はかなり深刻なものだったからです。繰り返しになりますが、彼らが実際にどの攻撃に責任があるのかを特定するのは難しいことです。ただ、振り返ってみると、Trivyや、Aqua Securityの[侵害]など、多くの事例がありました。それらは非常に速いスピードで広がり、大きな混乱を引き起こしました。この件を通じて彼らがどれほどのセンシティブなデータを手に入れたのかは分かりません。しかし、これはかなり大きな突破口だと思いますし、当局、そしてもちろんサイバーセキュリティコミュニティが、この件で前進を遂げたことをうれしく思います。良いニュースですね。
DRのAlex Culafi: ええ。
DRのAlex Culafi: オーストラリアにも脅威アクターはいる、ということですね。
DRのRob Wright: ええ。それでは、今回の「What We Missed」はここまでです。ありがとうございました、Alex。
DRのAlex Culafi: ありがとうございました、Rob。
