- Microsoft 365ユーザーがBigBear 2.0とAiTMプロキシを使ったフィッシングキャンペーンの標的に
- 攻撃者は電話・Teams・メールでIT担当者になりすまし、認証情報を盗みMFAを回避
- CloudSEKは5,000件以上の盗難記録を追跡、Arctic Wolfはフィッシング耐性MFAと条件付きアクセスの導入を推奨
Microsoft 365ユーザーが、単一の目的を持つサイバー攻撃の集中砲火にさらされています。その目的とは、後に雇用主に対するデータ窃取攻撃に利用できる認証情報を暴露することです。
複数の攻撃グループがそれぞれ独自の手口で攻撃を仕掛け、多要素認証(MFA)による保護を回避して被害者のアカウントにアクセスしています。たとえばCloudSEKによると、一部のグループはBigBear 2.0という新しいフィッシング・アズ・ア・サービス(PhaaS)フレームワークを使用しており、これによって犯罪者はパスワードや認証済みセッションクッキーを傍受できるようになっています。
一方Arctic Wolfは、PREY-0058と名付けた単一の脅威アクターに焦点を当てました。このグループは手法・技術・手順の面で他の集団と大きく重なる部分がありますが、既存組織の単なる改名ではないとされています。むしろ研究者たちは、各グループの境界は曖昧で、同じフィッシングインフラを使用する関連グループ、分派、その他の集団が多数存在しており、それが防御側やアナリストをしばしば混乱させていると見ています。
似た手口、似た結果
攻撃の手法はいずれも似通っています。犯罪者はまず被害者に電話をかけるか、Teamsやメールで接触します。そして自らをIT部門のヘルプデスク担当者と名乗り、特定の問題やトラブルの対応に来たと説明します。
その後、被害者を説得してリモートアクセスを許可させるか、偽装されたMicrosoft 365ログインページを開かせて認証情報を入力させます。いずれの場合も狙いは同じで、BigBear 2.0または類似のフィッシングフレームワークが作成した偽サイト上で、被害者にユーザー名・パスワード・2FAコードを入力させることです。このフレームワークは、被害者と正規のMicrosoftインフラの間に攻撃者中間者(AiTM)プロキシを介在させることで、認証情報やMFAコード、セッションクッキーを収集し、それらをAPI経由でリプレイすることで、実質的に正規の認証セッションを乗っ取ります。
アクセス権を得た攻撃者はさまざまな行動を取り得ますが、主な目的はOutlook、Teams、SharePoint、OneDriveから機密データを窃取することです。ランサムウェアの展開が見られるケースはまれです。
CloudSEKが追跡してきたキャンペーンはかなりの成果を上げているとされ、研究者らはBigBear 2.0によって5,000件を超える認証情報記録が窃取されたと述べています。「その内訳は、MFAを完全に回避した認証474件、平文パスワード1,032件、セッションクッキー4,148件に及び、40カ国以上にまたがる3,331件のユニークな被害者IPに影響を与えており、この記事執筆時点でも作戦は継続中です」としています。
「このマルチユーザー型PhaaSパネルは、少なくとも5つのアフィリエイト業者にリースされていることが、稼働中のTelegram流出用ボットから確認されており、各業者はリアルタイムで盗難認証情報を受け取っています」
BleepingComputerの取材に対しCloudSEKは、このキャンペーンが461の組織を標的とし、そのうち258組織で少なくとも1件の認証情報が侵害されたと明かしています。
フィッシング耐性MFAによる防御
Arctic Wolfの研究者は、攻撃者が主に米国内の企業を標的にしていると強調しています。対象業種は建設・エンジニアリング、医療・製薬、不動産・物件管理、金融、専門サービスなどで、The Hacker Newsが報じています。研究者らは、組織に対して条件付きアクセスポリシーの導入、フィッシング耐性MFAの展開、SharePoint経由でユーザーがアクセスできるデータ範囲の制限を推奨しています。当然ながら、フィッシングの危険性に関する従業員教育の重要性も見過ごせません。
「防御側は、住宅用プロキシによる異常なトークンリプレイ、SharePointのディスカバリーおよび一括アクセス、メールボックスの収集、そして新規登録された認証関連のおとりインフラを検知することで、こうした活動を阻止できます」とArctic Wolfは述べています。
フィッシング耐性MFAとは、攻撃者がメッセージや偽のログインページを通じて被害者から認証コードをだまし取ることができないように設計された多要素認証のことです。
これにはパスキー、YubiKeyのようなセキュリティキー、FIDO2/WebAuthnをベースとした認証方式などが含まれます。フィッシング耐性MFAは認証を正規のウェブサイトと暗号学的に紐付けるため、認証情報を単純に攻撃者へ転送することができません。
