研究ブログ

2023 年 11 月、台湾の情報セキュリティ企業 CyCraft のセキュリティソフトウェアエンジニア孫維崗 (Gary Sun) は、 日本でのセキュリティカンファレンス 2023 AVTokyo で、Microsoft Entra ID に関する CyCraft による次の研究成果を発表しました：「ゲストのアカウントからグローバル管理者の権限まで：Microsoft Entra ID P2 機能を通した Azure IAM の悪用」（From Guest to Global Admin: Abuse Azure IAM with Microsoft Entra ID P2 Features）。

2022 年から 2023 年の間、CyCraft が監視していた金融機関に対する中国のハッカー組織の攻撃が以前より活発化しました。私たちは調査を通し、原因の多くがサプライチェーンに関連した情報セキュリティの問題と密接に関係していることがわかりました。

2022 年 10 月、CyCraft の上級情報セキュリティ威脅の研究者、姜尚徳 (John Jiang) と情報セキュリティ・ソフトウェアエンジニア孫維崗 (Gary Sun) は米国の SANS Blue Team Summit に参加し、「Don’t Relay Me: Empirically Diagnose Privilege Escalation via Active Directory Account Sighting」と題する講演をおこないました。

ロシア・ウクライナ戦争は、物理的な戦場だけでなく、ネット空間の戦場でも、激しい戦いに発展している。今回、ウクライナの組織を標的にした破壊的なマルウェアがインターネット上で複数存在していることが、研究者によって確認された。 その中の1つである「HermeticWiper」は、通常のソフトウェアの機能を悪用し、LoLBin（Living Off the Land Binaries）のような一般的なハッキング手法と同様にディスクを上書きし、ホワイトリストやネットワーク攻撃シグネチャからの検出・防御が困難なものにするマルウェアだ。 「WhisperGate」と「HermeticWiper」は破壊的なマルウェアで、「HermeticRansom」は同じハッカーチームが開発し、ランサムウェア攻撃を装ったもののだが、その真の目的は金銭ではなく、国家に雇われた犯罪組織が真の目的を隠すために使用されているマルウェアではないかと示唆されている。

2022年2月24日、サイバー攻撃により、米国の通信会社Viasatが保有するウクライナの通信衛星KA-SATのモデムが使用不能となった。さらに攻撃の範囲が拡大し、ドイツのEnercon社の風力発電機5,800台が接続不可となり、遠隔地からの監視・制御不能となった。今回、この攻撃がデータ消去マルウェア「AcidRain」によるものであると確認した。 データ消去マルウェアは、その名の通りデータを直接消去し、データ復旧の可能性をなくすことで、身代金の強要を主目的とするランサムウェアよりも不可逆的で被害組織へのダメージが大きいものだ。かつ、この報告書で分析したデータ消去マルウェア「AcidRain」は、ロシア・ウクライナ戦争中に出現したもので、明らかに戦争の破壊兵器と考えられ、その危険性と脅威は過小評価することはできない。

ウクライナとロシアの戦争が激化する中、サイバー攻撃は、実弾による両国の戦争の前哨戦となっている。 研究者によると、ロシアのハッカーグループ「ACTINIUM」は、サイバー攻撃のシグネチャ検知を回避し、より高度なマルウェアを展開するための新しい難読化機能を開発した。 また、ACTINIUMは大量のドメイン、IPアドレス、ワードリストを使用してIoCs情報に基づく検出を回避しているため、研究者が脅威を分析、特定することが困難になっている。