FBIは、中国とつながりのあるハッカーが使っていた7つのインターネットドメインを停止させた。これにより、世界中の組織のセキュリティ上の弱点を探し、機密データを盗み出すために使われていたツールを妨害した。
10月8日、米国司法省（DOJ）とFBIは、中国を拠点とするIntegrity Technology Groupに関連する7つのドメインを、裁判所の承認を得て押収したと発表した。当局は、同社のツールと活動を、Flax Typhoonとして追跡されているハッカーと結び付けた。ハッカーは重要インフラやその他の組織を標的にしていた。
押収されたインフラは2つのツールを支えていた。MicroScanはネットワークの脆弱性を探し、FishHubは攻撃者がマルウェアを送り込むためにスピアフィッシングキャンペーンを利用するのを助けた。7番目のドメインである98aiblog[.]comは、SoftEtherによる接続を支えていた。SoftEtherは正規のVPNソフトウェアだが、捜査当局によると、攻撃者は侵害した大学のサーバーにこれをインストールしていた。
裁判所文書によると、MicroScanによるスキャンの対象には、サウスカロライナ州の電力会社、日本とポーランドの空港、台湾の天然ガス・電力事業者、大学が含まれていた。捜査当局は、スキャン後に台湾の2大学への侵入が成功したことを確認した。
DOJによると、FishHubの活動で確認された被害者には、台湾の約20大学が含まれていた。このマルウェアによって攻撃者は、被害ネットワークへのリモートアクセスを得たり、特定のファイルを探してIntegrity Techが管理するサーバーに送信したりできた。
FBIがツールへのアクセスやマルウェアの配布に使われたドメインを押収し、作戦インフラの重要な部分を遮断した。ただし当局は、ネットワークをスキャンされたすべての組織で侵害が成功したとは確認していない。
押収されたドメインの一覧は以下のとおり。
- youtubecard[.]com
- c0cc[.]cc
- 98aiblog[.]com
- outlook3650[.]com
- 98aicode[.]com
- linkedinns[.]net
- 98aicai[.]com
ボットネットが攻撃者の隠蔽に一役買った
捜査当局は、Integrity TechがMiraiマルウェアの亜種に感染した、インターネットに接続された機器で構成されるボットネットを使っていたと主張している。侵害された機器は大規模な偵察活動を可能にすると同時に、スキャン活動の発信元を隠す役割を果たした。
PythonベースのアプリケーションであるMicroScanには、1,300以上のペネトレーションテスト用スクリプトが含まれており、WordPress、Jenkins、Oracle WebLogic、Apache Strutsなど、広く使われているソフトウェアの弱点を探すことができた。
この最新の措置に先立ち、2024年9月にはIntegrity Techに関連するボットネットが妨害され、世界中で20万台を超える消費者向け機器に影響が及んだと、Bleeping Computerは報じている。
ドメインの押収で脅威は終わるとは限らない理由
共同勧告によると、攻撃者は自動化された脆弱性スキャン、認証情報への攻撃、正規のVPNソフトウェアを組み合わせ、ネットワークを侵害してアクセスを維持していた。防御側にとって、この組み合わせは、悪用されたアプリケーションだけでなく、一見正規に見えるリモートアクセス活動も調査することが重要であることを意味する。
FBIによるドメインの押収は特定されたツールへのアクセスを妨害するが、侵害されたシステムがクリーンになったことや、攻撃者が被害ネットワークへのあらゆる侵入経路を失ったことを保証するものではない。すでにリモートアクセスソフトウェアをインストールしたり、認証情報を盗んだりしている攻撃者は、防御側がその足掛かりを調査して取り除かない限り、アクセスを維持している可能性がある。
各国機関による共同勧告（米国、英国、オーストラリア、カナダ、日本、ニュージーランド、スペイン）は、セキュリティチームが感染の可能性を調査するための侵害指標を提供している。各機関は、外部に公開されたシステムへのパッチ適用、不要なサービスの無効化、多要素認証の適用、未承認のリモートアクセスツールやネットワークログ内の不審な活動の監視を推奨している。
セキュリティチームが今すぐ確認すべきこと
重要インフラや大学など、その他の標的になる可能性のある組織は、共同勧告を利用して侵害の可能性を調査すべきだ。まずはインターネットに公開されたアプリケーションとリモートアクセスサービスから着手する。外部に公開されたシステムを特定し、関連するパッチを適用するとともに、不要なサービスやポートを無効にする。
認証ログとWebアプリケーションのログを確認し、不審なサインイン、パスワードスプレー攻撃、悪用の試みがないか調べる。サーバーや従業員の端末に、予期しないVPNソフトウェアやその他のリモートアクセスツールがないか確認し、インストールされたソフトウェアに正当な業務上の目的があることを確認する。正規のアプリケーションであっても、攻撃者に未承認のアクセスを提供する可能性がある。
調査は押収された7つのドメインにとどめるべきではない。共同勧告には、メールアカウントや機密ファイルを標的にした活動を含め、追加の侵害指標、ツール、手法が記載されている。セキュリティチームは、こうした指標を振る舞いの監視と組み合わせ、可能な限り多要素認証を必須にすべきだ。特にWebメール、VPN、重要システムにアクセスするアカウントでは、その対応が求められる。
侵害の証拠が見つかった場合は、ドメインの押収に頼るのではなく、封じ込めと修復が必要なインシデントとして扱う。どのようにアクセスを取得されたのかを調査し、露呈した脆弱性に対処するとともに、侵害された可能性のあるアカウントと認証情報を見直すべきだ。実務上の教訓は、外部インフラを妨害しただけでは、組織自身のシステムがクリーンだとは言えないということだ。
詳しくは、 中国とつながりのあるハッカーがCisco製ルーターを秘密裏のネットワークゲートウェイに変えた事例と、1つの足掛かりを取り除いても組織のシステムへの別の経路が残る可能性がある理由を紹介する。