欧州のある銀行が、サードパーティ管理の外部ゲートウェイにおける認証対策の不備を突かれ、長期間にわたるサイバー侵入を受けました。
この事案では、仮想プライベートネットワーク（VPN）への不正アクセスに加え、パスワード推測の繰り返し、社内ネットワークのスキャン、中央管理サーバー上での悪意あるコードの実行試行が確認されました。
Palo Alto NetworksのUnit 42による調査によると、攻撃は数カ月にわたって続きました。銀行が中核のIT基盤全体で不審な動きを検知したのは、その後のことです。
この事案は、多要素認証（MFA）の欠如、サードパーティのセキュリティの弱さ、不十分なアクセス制御によって、重要な金融システムがサイバー脅威にさらされかねないことを示しています。
攻撃者は執拗でしたが、調査の結果、侵入は高度な攻撃手法ではなく、基本的なセキュリティ上の弱点に主に依存していたことがわかりました。
調査によると、侵入の発端は、サードパーティが管理する外部ゲートウェイ機器でした。この機器は厳格な認証を要求していませんでした。攻撃者は侵害した認証情報を使って内部システムにアクセスし、銀行のネットワークの探索を始めました。
攻撃者は複数のプロトコルでホストやネットワークを広範にスキャンし、数千台のシステムとやり取りしました。こうした活動は、追加のシステムやサービス、侵入口となり得る場所を洗い出す狙いだったとみられます。
攻撃者は数カ月にわたり、内部システムに対してパスワード推測を繰り返し、特に管理者アカウントを狙いました。このブルートフォース攻撃は、有効な認証情報を見つけ出し、機密性の高い基盤へのアクセスを広げることが目的でした。
攻撃者は、社内のドキュメント管理プラットフォームや共有データリソースも標的にしました。自動化したWebリクエストで個別のページや添付ファイルを収集し、業務用やネットワーク上の共有フォルダーも体系的に列挙しています。
スキャンや認証試行の量が非常に多かったことから、攻撃者は発見を免れようと本腰を入れていなかったことがうかがえます。
むしろ、アクセス可能なシステムをできるだけ多く見つけて侵害しようとする、場当たり的な攻撃者の活動と一致していました。
手口は比較的稚拙でしたが、長期にわたる活動は深刻なリスクを生みました。攻撃者が内部リソースにアクセスでき、支配権を拡大する機会を探り続けていたためです。
侵入の最終段階で、攻撃者は銀行の中央構成管理サーバーにあるWindows Server Update Services（WSUS）のリモートコード実行の脆弱性を突こうとしました。
このサーバーは組織全体へのソフトウェア配布を担っており、特に重要度が高い存在でした。攻略に成功していれば、不正なコードの実行、永続化の確立、ネットワーク全体への拡散につながるおそれがありました。
しかし、Unit 42によると、Cortex XDRが不審な実行の試みを検知し、攻撃者が永続的な足場を築いたり横展開したりする前に脅威を封じ込めました。
その後、Unit 42は包括的なフォレンジック調査を実施しました。数千台のシステムのエンドポイントテレメトリと、数十台のWindowsおよびLinuxサーバーのログを精査しています。調査員は、攻撃者の残存や永続的なバックドアを確認していません。
16,000以上のSOCチームがANY.RUNを導入し、脅威調査の効率化と手作業の削減を実現しています。 自社チームで試す
翻訳元: https://cyberpress.org/bank-breach-exposes-mfa-gaps/
