Dragonfly」(以下、Dragonfly)についての分析結果が発表されました。2.0と呼ぶべきものです。2014年のDragonflyに関する分析とは異なり、現在では、攻撃元やその背後にいるグループの動機に関わる新たな情報を見つけるため、攻撃を特徴付けるインジケーターの調査が重視されています。メールを送り、そこからトロイの木馬をダウンロードさせるという手口が使われています。ダウンロードされたトロイの木馬は、被害者のシステムやネットワークに侵入する足掛かりとなるのです。標的とする同様の攻撃も見つかりました。このキャンペーンに関わるすべての事柄が、攻撃者は各標的を慎重に検討し、偵察を行った上で、感染させた標的を利用するための策を講じる周到な攻撃であることを示しています。私たちは、この集団が、スピアフィッシング、水飲み場攻撃、または事前攻撃としてサプライチェーンを狙った攻撃など、複数の手段を使って被害者のネットワークに足掛かりを築いていることを確認しました。実績のあるソフトウェアの脆弱性を悪用し、そこに「バックドア」マルウェアを埋め込んでいるため、被害者は信頼できるベンダーからソフトウェアをインストールしていると思い込んでしまい、サプライチェーン側の感染に気付きません。アカウントを作成または取得し、密かに行動を開始します。デスクトップ通信を使って内外のシステム間を移動し、リスクが小さければ制御サーバーに接続するか、あるいは感染させた内部サーバーを利用して活動します。攻撃の最終段階では、いくつかのバックドアやユーティリティが利用されていました。検体分析では、これらをマカフィーの脅威インテリジェンスのナレッジベースにある攻撃検体と比較検討しました。以下のハッシュ値を持つ2017年版のトロイの木馬です。fc54d8afd2ce5cb6cc53c46783bf91d0dd19de604308d536827320826bc36ed9このコードを突き合わせたところ、2013年7月の攻撃で同集団が使用した別の検体を発見しました。fl.exe2013年の攻撃に関するレポートによると、このファイルは、被害者のマシンでJavaエクスプロイトが実行された後にダウンロードされていました。2013年のサンプルを分析したところ、一部の実行ファイルのリソースがロシア語で記述されていました。このコードを照会したところ、2017年のサンプルには、2013年の攻撃でバックドアとして使用されたコードが大量に含まれていることが判明しました。2017年のバックドアに含まれるコードの一部は、世界中で多くの人に使用されている正規の遠隔操作ツールである「TeamViewer」アプリケーションのコードと完全に一致しています。攻撃者は、このコードに加え、メモリ内で実行することで検知を逃れ、ディスクからも完全に痕跡を消していました。私たちが発見した、TeamViewerコードが含まれる相関ハッシュは、ハンガリーのセキュリティ会社であるCrysysから報告されたものでした。「TeamSpy」に関するレポートでは、私たちが相関分析した708ceccae2c27e32637fd29451aef4a5というハッシュ値についても言及されていました。09:27:58+01:00でした。(旧ソ連)や東ヨーロッパ諸国に住む政治や人権活動家を狙ったものです。レポートでは、この攻撃は単一または複数の攻撃者が共通の戦術や手口を用いて行ったものとされていますが、TeamSpyの目的はDragonfly集団と似ているように思われます。同じコードが使い回されているということは、TeamSpyキャンペーンはDragonfly集団の仕業なのでしょうか。気になるのはそれだけではありません。ブロックが含まれていました。ファイルを作成し、バッチを実行することで自己消去します。私たちが比較分析したBlackEnergyサンプルは、2015年10月31日にウクライナで発見されたものです。これについては、「BlackEnergy」トロイの木馬の進化に関するブログで紹介しました。驚くべきことに、このコード部分が、両サンプルでほぼ同じでした。BlackEnergyとDragonflyキャンペーンの関係性がうかがわれます。2.攻撃者の高いスキルこの攻撃の分析結果から、攻撃者の能力やスキルが判明しました。攻撃精度は非常に優れています。さまざまな手口を利用して、攻撃対象の情報を得ています。Windowsシステムを標的とし、確かな方法で情報や認証情報を収集します。コードは、進化しながら同集団の攻撃で使い回されていることが分かりました。攻撃者が痕跡を隠す能力については、どうでしょうか。私たちは、攻撃者は攻撃の詳細を隠す能力に極めて長けており、同時に防御者の目を欺くため、もしくは何らかの意思表示のために情報を残すこともあるという結論に至りました。私たちはカテゴリーごとに採点を行うことで攻撃者を評価していますが、紹介しているのは、その一部に過ぎません。Dragonfly集団は、標的型攻撃者のトップに君臨しています。標的とされる業界の関係者は、それを認識することが極めて重要です。ファミリーに関して報告されているような、壊滅や混乱させる能力を利用して、標的とする部門の知的財産や情報を盗むことでしょう。調査にご支援とご協力いただいたIntezerチームの皆さん、ありがとうございました。~クラウドの安全性の状況と実用的ガイダンスマカフィーでは、1,400人のIT担当者に年次アンケートを実施し、クラウド採用状況やセキュリティについて調査しました。調査の結果、クラウドの採用とリスク管理への投資を増やしている組織がある一方で、クラウドの採用に慎重なアプローチをしている組織が多いことがわかりました。本調査では、クラウドサービスの利用状況を分類し、短期投資の確認、変化速度の予測、重要なプライバシーおよびセキュリティ上の障害物への対応方法の概要を示しています。本レポートでは、クラウドの現状把握と今後の方向性、クラウド対応の課題やポイントを理解することができます。個人の垣根を超えて共に力を合わせることで実現する、より安全な世界を目指し、企業そして個人向けのセキュリティソリューションを提供しています。脅威情報ネットの安全セキュリティ。