※ 本ブログは、2022年8月10日にHP WOLF SECURITY BLOGにポストされたHP Wolf Security Threat Insights Report Q2 2022の日本語訳です。

HP Wolf Security 脅威インサイトレポートの2022年第2四半期版へようこそ。本レポートでは、HP Wolf Securityの顧客テレメトリーによって2022年第2四半期に確認された注目すべき脅威、マルウェアのトレンド、テクニックをレビューしています。ハイライトは、Microsoft Support Diagnostic Toolに影響を与えるゼロデイ脆弱性であるCVE-2022-30190がもたらすリスクの分析で、この欠陥を突く攻撃者の実際のキャンペーンや、マルウェア実行のためのマクロ不要の代替手段としてショートカット（LNK）ファイルが台頭していることなどが挙げられています。

脅威のランドスケープ

HP Wolf Security 脅威インサイトレポートの2022年2Q版へようこそ。四半期ごとに我々のセキュリティエキスパートが、HPWolf Securityで特定された注目すべきマルウェアキャンペーン、トレンド、テクニックを紹介します。検知ツールを回避してエンドポイントに到達した脅威を隔離することで、HP Wolf Securityは、サイバー犯罪者が使用している最新のテクニックを把握し、セキュリティチームに新たな脅威と戦うための知識を与え、セセキュリティ体制を向上させます。[1]

攻撃者は有名イベントの偽VIPチケットで標的を誘う

有名イベントは、攻撃者が被害者を騙してPC上で悪意のあるコードを実行させるためによく利用されるルアーです。第2四半期、HP Wolf Securityの脅威リサーチチームは、2023年のDoha ExpoのVIP招待状を装った悪意のあるMicrosoft Wordドキュメントを拡散するキャンペーンを発見しました。このイベントは、カタールで2番目に大きなイベントで、300万人以上が訪れると言われています。[9]

このキャンペーンでは、Wordドキュメントが.docxファイルで、ファイルを開くと悪意のあるコードが起動されます。調査の結果、このWordファイルはFollina脆弱性（CVE-2022-30190）を悪用し、PowerShellコマンドを含む外部のHTMLファイルを読み込むことが判明しました。（図4）

このコマンドは、msdt.exeを終了させ、リモートサーバーからマルウェアのペイロードをロードして実行します。ペイロードは、通常とは異なる方法でロードされます。コマンドは、ペイロードを直接ダウンロードするのではなく、まず"net use"を使用して、マルウェアを含むWebDAV [10] ネットワークドライブをマウントします。[11] そして、PowerShellコマンドでマルウェアを実行し、マウントされたドライブをクライアントから切断します。この手法は、組織がリモートネットワークドライブをシステム上にマウントすることを許可しているかどうかに依存します。もしそうなら、こ

の技術はWebプロキシを回避するために使用される可能性があります。

ペイロードは、プロセス werfault.exe に自身をインジェクトし、telecomly[.]info にホストされているコマンド＆コントロールサーバ（C2）と通信を行います。このペイロードを分析したところ、一般的な商用バックドアであるCobalt Strike Beaconであることが判明しました。このルアー、脅威アクターのゼロデイ脆弱性Follinaのエクスプロイト、バックドア配信の際のネットワークドライブのマウントは攻撃者がいかに技術を連鎖させることで効果的な攻撃を構築できるかを示しています。

偽の郵便通知がHTMLスマグリングでAsyncRATを配信

私たちが目にする最もポピュラーなルアーのひとつが、偽の配達通知です。第2四半期に、Israel Postを模倣したAsyncRATを拡散するマルウェアキャンペーンを分析しました。このケースでは、ある従業員が、Israel Postから個人用メールアドレスに送られたと称するメールを受信しました。このユーザーは、Webメールを使用して、悪意のあるHTML添付ファイルをビジネス用コンピュータで開きました。添付ファイルがWebからダウンロードされたため、HP Wolf Securityはそのファイルを信頼できないものとして扱い、マイクロVMで開き、設計どおりに脅威を隔離しました。この例からわかるように、個人用のWebメールをビジネス用コンピュータで使用することは危険です。Webメールプロバイダは通常、組織のメールゲートウェイよりも保護機能が低いためです。

この脅威アクターはHTMLスマグリング（T1027.006）技術を使用して、HTML添付ファイルにISOアーカイブを埋め込んでユーザに配信しました。[12]  HTML添付ファイルが開かれると、ユーザのWebブラウザは、 ISOファイルをダウンロードするようにプロンプトを表示します。ユーザーがISOファイルを開くと、それがドライブとしてマウントされます。内部には、 Visual Basicスクリプトが1つだけ存在します。このスクリプトは難読化されており、PowerShellコマンドを実行し、Web上からファイルをダウンロード、実行します。ダウンロードされたファイルは、PowerShellスクリプトです。ダイナミックリンクライブラリ（DLL）と.exeの2つのエンコードされた実行ファイルが含まれています。

このスクリプトを実行すると、Webブラウザのウィンドウで、Israel PostのWebサイトが陽動目的で開かれます。一方、バックグラウンドでマルウェアは、Visual Basicスクリプト、バッチスクリプト、PowerShellスクリプト、および2つの実行ファイルをローカルフォルダに保存し、Visual Basicスクリプトを実行します。これがトリガーとなり、次々とスクリプトが実行され、最終的にPowerShellを使用してDLLがロードされる感染チェーンが形成されます。DLLがメモリに読み込まれた後、プロセス名と.exeの場所を引数として渡すメソッドが呼び出されます。DLLはRunPE技術を使用して、選択したプロセス（この場合 aspnet_compiler.exe）に.exeをインジェクションします。[13]

インジェクションされたマルウェアは、感染したシステムを監視し、制御することができる有名な.NETリモートアクセス型トロイの木馬（RAT）AsyncRATです。[14] データ収集と持ち出しの機能を備えています。多くの.NETマルウェアのサンプルと異なり、このキャンペーンで配信されたサンプルは難読化されていないため、その設定を抽出するのは容易な作業でした。この設定は、AESで暗号化されていますが、鍵はマルウェア内に保存されているため、復号化して脅威ハンティングに利用することが可能です。[15]

注目すべきテクニック

ドキュメントに隠されたシェルコードがSVCReady ローダーを拡散

注目すべきトレンド

攻撃者はマルウェア配信を「マクロフリー」フォーマットに移行

長年にわたり、攻撃者は標的のコンピュータを感染させる最初のステップとして、悪意のあるマクロを利用してきました。2月Microsoftは、OfficeがWebからダウンロードしたドキュメント内マクロをデフォルトで無効にすることを発表し、この手法を攻撃者から効果的に排除することに成功しました。[17] この変更に対応するため、第2四半期にはマクロを使用しない代替的コード実行技術を試す脅威アクターが現れています。

大きな変化としては、4月22日のEmotetの配信において、運営者がOfficeドキュメントの代わりにマルウェアを配信するショートカット（.lnk）ファイルのテストを開始したことが挙げられます。この新しいショートカットファイルは、ショートカットファイルのターゲットパスにコマンドを指定することで動作し、Webからマルウェアをダウンロードして実行します。これらの悪意のあるショートカットファイルの初期バージョンは、ショートカットファイルに追加されたVisual Basicスクリプトを抽出し、実行するために、 "findstr "コマンドを使用していました。第2四半期には、コマンドがバッチスクリプトやPowerShellスクリプトである亜種も確認されました。

2022年には、ショートカットファイルを通じてQakBot、IcedID、Bumblebee、NjRAT、RedLine Stealerなどのマルウェア・ファミリーを拡散する他の脅威アクターが確認されています。6月中旬以降、ハッキング・フォーラムでは、ツールに対する需要に応えるため、いくつかのショートカットファイル型マルウェアのビルダーが販売されるようになりました。これらのビルダーは、マルウェアを拡散させるための武器化されたショートカットファイルを簡単に作成できるように設計されています。

最新の状態を維持する

HP Wolf Security 脅威インサイトレポートは、ほとんどのお客様が脅威のテレメトリをHPと共有することを選択することによって実現されています。当社のセキュリティ専門家は、脅威の傾向や重要なマルウェアキャンペーンを分析し、洞察を注釈したアラートを顧客にフィードバックしています。

HP Wolf Security の導入を最大限に活用するために、お客様には以下のステップを踏むことをお勧めします。[a]

• HP Wolf Security ControllerでThreat Intelligence ServicesとThreat Forwardingを有効にし、MITRE ATT&CKのアノテーション、トリアージ、専門家による分析を受けることができるようにしてください。[b]詳細については、ナレッジベースの記事をご覧ください。[18] [19]
• HP Wolf Security Controllerを最新の状態に保ち、新しいダッシュボードとレポートテンプレートを受け取ることができるようにしてください。最新のリリースノートとソフトウェアのダウンロードは、カスタマーポータルでご覧ください。[20]
• HP Wolf Securityのエンドポイントソフトウェアをアップデートし、当社の研究チームが追加した脅威アノテーションルールを常に最新に保ってください。

HP Threat Research チームは、セキュリティチームが脅威から身を守るために役立つ 侵害の痕跡 (IOC) やツールを定期的に公開しています。これらのリソースは、HP Threat Research GitHub リポジトリからアクセスできます。[21] 最新の脅威に関する調査については、HP WOLF SECURITY ブログ [22] にアクセスしてください。

HP Wolf Security 脅威インサイトレポートについて

企業は、ユーザーがEメールの添付ファイルを開いたり、Eメール内のハイパーリンクをクリックしたり、Webからファイルをダウンロードすることに対して最も脆弱です。HP Wolf Securityは、リスクの高いアクティビティをマイクロVMに隔離し、ホストコンピュータがマルウェアに感染したり、企業ネットワークに広がったりしないようにすることで企業を保護します。HP Wolf Securityは、イントロスペクションを使用して豊富なフォレンジックデータを収集し、お客様のネットワークが直面する脅威を理解し、インフラストラクチャを強化できるよう支援します。HP Wolf Security 脅威インサイトレポートは、当社の脅威研究チームが分析した注目すべきマルウェアキャンペーンを紹介し、お客様が新たな脅威を認識し、環境を保護するために行動を起こすことができるようにします。

HP Wolf Securityについて

HP Wolf Securityは、新しいタイプc のエンドポイントセキュリティです。HPのハードウェアで強化されたセキュリ ティとエンドポイントに特化したセキュリティサービスのポートフォリオは、組織がPC、プリンター、そして人々を、取り囲むサイバー犯罪者から守るために設計されています。HP Wolf Security は、ハードウェア・レベル からソフトウェアやサービスに至るまで、包括的なエンドポイントの保護とレジリエンスを提供します。

リファレンス

[1] https://jp.ext.hp.com/business-solution/wolf/

[2] https://www.techspot.com/news/94766-new-follina-zero-day-vulnerability-microsoft-office-works.html

[3] https://www.bleepingcomputer.com/news/security/windows-msdt-zero-day-now-exploited-by-chinese-apt-hackers/

[4] https://www.bleepingcomputer.com/news/security/russian-hackers-start-targeting-ukraine-with-follina-exploits/

[5] https://therecord.media/hackers-using-follina-windows-zero-day-to-spread-qbot-malware/

[6] https://msrc.microsoft.com/update-guide/ja-jp/vulnerability/CVE-2022-30190

[7] https://www.morphisec.com/hubfs/2020 State of Endpoint Security Final.pdf

[8] https://benjamin-altpeter.de/doc/thesis-electron.pdf

[9] https://thepeninsulaqatar.com/article/20/06/2022/expo-2023-doha-will-be-second-largest-global-event-in-qatar-official

[10] http://www.webdav.org/specs/rfc4918.html

[11] https://docs.microsoft.com/ja-jp/previous-versions/windows/it-pro/windows-server-2012-r2-and-2012/gg651155(v=ws.11)

[12] https://attack.mitre.org/techniques/T1027/006/

[13] https://www.malwarebytes.com/glossary/runpe-technique

[14] https://malpedia.caad.fkie.fraunhofer.de/details/win.asyncrat

[15] https://github.com/hpthreatresearch/iocs/blob/main/asyncrat/iocs.txt

[16] https://jp.ext.hp.com/blog/security/product/svcready-a-new-loader-reveals-itself/

[17] https://docs.microsoft.com/ja-jp/deployoffice/security/internet-macros-blocked

[18] https://enterprisesecurity.hp.com/s/article/Threat-Forwarding

[19] https://enterprisesecurity.hp.com/s/article/HP-Threat-Intelligence

[20] https://enterprisesecurity.hp.com/s/

[21] https://github.com/hpthreatresearch/

[22] https://jp.ext.hp.com/blog/security/

[23] https://attack.mitre.org/

a. HP Wolf Enterprise Securityはオプションサービスで、HP Sure Click EnterpriseやHP Sure Access Enterpriseなどが該当します。HP Sure Click Enterpriseは、Windows 10が必要で、Microsoft Internet Explorer、Google Chrome、ChromiumまたはFirefoxに対応しています。Microsoft OfficeまたはAdobe Acrobatがインストールされている場合、サポートされている文書には、Microsoft Office（Word、Excel、PowerPoint）およびPDFファイルが含まれます。HPSure Access Enterpriseには、Windows 10 ProまたはEnterpriseが必要です。HPのサービスは、ご購入時にお客様に提供または提示される、当該HPのサービスに適用される使用条件に準拠します。お客様によっては該当地域の法令に従ってその他の法的権利を有することもあり、その場合には当該権利はHPサービスお取引条件またはお使いのHP製品とともに提供されるHP限定保証条件による影響を一切受けません。完全なシステム要件については、以下を参照ください。www.hpdaas.com/requirements

b. HP Wolf Security Controllerは、HP Sure Click EnterpriseまたはHP Sure Access Enterpriseが必要です。HP Wolf Security Controllerは、デバイスやアプリケーションに関する重要なデータを提供する管理・分析プラットフォームで、スタンドアロンサービスとしては販売していません。HP Wolf Security Controllerは、厳格なGDPRプライバシー規制に従っており、情報セキュリティに関してISO27001、ISO27017、SOC2 Type2の認証を受けています。HPクラウドへの接続が可能なインターネットアクセスが必要です。完全なシステム要件については、以下を参照ください。http://www.hpdaas.com/requirements

c. HP SecurityはHP Wolf Securityになりました。セキュリティ機能はプラットフォームによって異なりますので、詳細は製品データシートをご覧ください。

HPのサービスは、ご購入時にお客様に提供または提示される、当該HPのサービスに適用される使用条件に準拠します。お客様によっては該当地域の法令に従ってその他の法的権利を有することもあり、その場合には当該権利はHPサービスお取引条件またはお使いのHP製品とともに提供されるHP限定保証条件にによる影響を一切受けません。

© Copyright 2022 HP Development Company, L.P. ここに記載されている情報は、予告なく変更されることがあります。HP の製品およびサービスに関する唯一の保証は、当該製品およびサービスに付随する明示的な保証書に記載されています。本書のいかなる内容も、追加的な保証を構成することは一切ありません。HP は、本書に含まれる技術的または編集上の誤りや脱落について責任を負いません。

Author : HP WOLF SECURITY