攻撃者は複数のGoogleサービスを連鎖させることで、フィッシングリンクをセキュリティゲートウェイに検知されずに通過させています。
サイバーセキュリティベンダーのKnowBe4は9月4日、現在も実際に観測されているフィッシングキャンペーンに関する調査結果を公開しました。このキャンペーンの手口自体は、ある程度典型的なものです。脅威アクターが虚偽の口実で悪意あるメールを送信し、被害者がリンクをクリックすると、悪意あるランディングページに誘導されて被害者が侵害される、という流れです。
このキャンペーンが際立っているのは、最初のフィッシングメールに記載されたリンクです。ゲートウェイやメールフィルター、その他のセキュリティツールを回避するため、このリンクはGoogleドメインをまたぐ一連のリダイレクトに依存しています。リンク検査ツールに複数のGoogleドメインを認識させ、URLを通過させることを狙ったものです。
攻撃者は正規のインフラを経由したリダイレクトを日常的に利用しており、これは何年も前から続く手口です。しかし今回の手法が際立つのは、脅威キャンペーンがリダイレクトチェーンの中で複数のGoogleサービスを意図的に組み合わせている点です。KnowBe4の脅威アナリストであるPrabhakaran Ravichandhiran氏とJeewan Singh Jalal氏は、Google Meet、DoubleClick広告インフラ、Google Custom Search、Google画像検索、Google Tag Manager、Google Analyticsといったサービスを利用する3段階のリダイレクトチェーンについて説明しています。
「防御担当者が送信元ドメインや埋め込まれたリンク、中間のホップを調査する頃には、すべてが依然としてクリーンに見えます。このチェーンの末端にある情報収集の仕組みは、その調査をやり過ごすように作られています」とブログ記事には記されています。「ほとんどのフィッシングキャンペーンは悪意あるリンクを埋め込み、ゲートウェイがそれを見逃すことに賭けています。しかし今回の手法は、ゲートウェイに何かを見逃させる必要すらありません。あらゆるホップで、ゲートウェイが期待する通りのもの、すなわち信頼されたGoogleドメインを与えているのです」
標的型攻撃で悪用されるGoogleインフラ
チェーンの末端では、URLはフィッシング用のランディングページへとリダイレクトされます。KnowBe4はある事例では、偽の企業ログインページから認証情報を窃取する様子を観測しました。別の事例では、偽の本人確認プロンプトを通じてスクリプトがScreenConnectをリモートアクセスツールとしてインストールしていました。
注目すべき点として、被害者がフィッシングリンクをクリックすると、ランディングページのJavaScriptは被害者のメールアドレスのみをもとに認証情報収集用のページを動的に構築し、ログインページの背景に被害者の企業サイトのライブスクリーンショットを表示します。さらに多言語対応のUIも備えており、被害者の所在地に応じてセッションをローカライズします。
おとりの手口については、単一の種類にとどまらず、さまざまなビジネス上の文脈を用いているとKnowBe4は述べています。研究者らは、文書レビュー、認証情報の有効期限切れ、荷物配送、支払い通知、政府給付金、ボイスメールなど、多様なおとりを確認しました。被害者が認証情報を入力すると、それは数秒以内に運用者のTelegramチャンネルに送られ、それとともに「被害者のIPアドレス、地理的位置情報、ブラウザ文字列、および組織の検証済みMXレコード」などの情報も送信されます。
フィッシングURLの構成方法から見て、このキャンペーンは無差別ではなく標的を絞ったものと考えられます。ブログ記事には「被害者のメールアドレスはbase64でエンコードされ、URLのハッシュフラグメント内に隠されています。ブラウザはリクエスト送信前にこの部分を除去するため、サーバー側のログやほとんどのURLスキャナーからは見えず、結果としてこのキャンペーンの事前標的型という性質を効果的に覆い隠しています」と記されています。
KnowBe4の調査には侵害指標(IOC)に加え、以下の推奨事項が含まれています。DNSフィルター、プロキシ、SIEMのレベルで直ちにIOCをブロックすること、Telegramボットの APIトラフィックを探索すること、このキャンペーンに関連するおとりを受け取った可能性のあるユーザーに対して認証情報の強制リセットを行うこと、不正なScreenConnectのインストールや活動がないか調査すること、そしてURLフラグメントの手法についてユーザーに注意喚起することです。
「#の後にメールアドレスが含まれるURLは、そのリンクが事前に標的を絞って作成されたものであることを示すシグナルです」と脅威アナリストらは記しています。
Googleは、Dark Readingのコメント要請に応じませんでした。
