piyologスマートフォン用の表示で見るpiyologpiyokangoの備忘録です。セキュリティの出来事を中心にまとめています。Analyticsを利用しています。暗号資産を取り扱う米国のCoinBaseは、2019年6月に発生したFirefoxの脆弱性(当時ゼロデイ)を悪用した攻撃への対応を2019年8月9日にセキュリティ担当者がBlogで明らかにしました。ここでは一連の対応の顛末についてまとめます。2019年6月20日にTwitterで第一報レベルの情報共有が行われていた。翌日には詳細を後日ブログにて公開すると発言していた。2019年8月9日にCoinbaseが当時対応した内容についてまとめた記事が公開された。blog.coinbase.comCoinbaseへの攻撃の流れ攻撃の流れ概要図Coinbaseは攻撃の手口を次の2つの組み合わせによるものと説明。大学関係者を騙った標的型攻撃メールWebブラウザ(Firefox)のゼロデイ脆弱性(1)攻撃の準備リンク付きメールが投げられる前に次の準備が行われていた。ケンブリッジ大学のメールサービスを侵害し、2つのアカウント*1を作成。(時期不明)同大学のWebサイトにランディングページを作成し5月28日にExploit用ドメインを作成。作成されたメールアカウントに紐づくIDはオンライン上にほぼ存在せず。LinkedInのプロファイルも偽物とCoinbaseは分析している。(2)大学から標的型攻撃メールクリックをより確実にさせるために予め無害なメールが送られていた。2019年5月30日にCoinbase従業員十数人へケンブリッジ大学からメールが届いた。内容は実際に行われていた大学のプロジェクトを引用したもの。ランダムに送られたのではなく従業員の経歴に基づき送られてきた。メールが届いたが異常は認められなかった。Morris)が記述されていた。6時31分にも大学からメールが届いたがこれは様相が違った。文中にクリックしたらマルウェアに感染する恐れのある悪性のリンクが含まれていた。Firefox以外でアクセスすると「サポートしていないブラウザ」とし表示し、Firefoxで参照するよう促す表示が行われた。後の解析でリンクが記述されたメールが送られたのは標的とされたCoinbaseを含む200人の内、約5人(2.5%)であった。Exploit悪用されたFirefoxの脆弱性は2件。いずれも検出時点で修正版が公開されていなかった。6/20Coinbaseは攻撃グループを「CRYPTO-3」「HYDSEVEN」と呼ばれる攻撃グループによるものと説明。Groß氏はバグトラッキングからのExploitコード作成については否定的で、過去の脆弱性の類似性のあるバグを探したのではないかと推測する見解を示している。CVE-2019–11708のExploitコードは難読化は行われておらず、ソースコードから相当の経験を持つグループによる作成とCoinbaseは推定。感染するマルウェアは次の通り。Mokes97200b2b005e60a1c6077eea56fc4bb3e08196f14ed692b9422c96686fbfc3adステージ1のNetwireは先遣部隊としてMokesの感染のみに利用される。ブラウザのデータストアに保存されたセッショントークンを窃取し、Gmail等のサービスを特に標的している動きがあった。ブラウザのデータストアに直接アクセスするプロセスが少ないとして、Coinbaseはこの挙動を特定アクティビティによる検出が可能だと説明。Coinbaseの対応Coinbaseが行った一連の対応は次の通り。初期調査2エンドポイント検出ツール、インシデント対応ツールで従業員のPCを調査。3最近のプロセスアクティビティからFirefox起因とすぐに特定。範囲特定4問題が生じたホストからIOCを収集。5ネットワーク内で探査を開始。6IOCをブラックリストへ登録。攻撃調査7攻撃ホストが稼働している間に誘導先ページ、Exploitなどを保存。遮断対応8問題が生じたホストのすべての資格情報を失効。9影響を受ける従業員のアカウントをロック。情報共有10MozillaのセキュリティチームへExploitコードを提供。11ケンブリッジ大学へ通報しキャンペーンの攻撃範囲(メール送信先)を特定。12インフラ、従業員保護のためにメールが届いた約200人を採用している組織を特定。被害なく済んだ総括Coinbaseは被害なしに済んだポイントを以下の通り総括。今後も暗号資産を取り扱う業界への攻撃が続くと予想し情報共有の相互協力が顧客保護につながるとした。攻撃範囲(約200人はCoinbase単独ではなく、同社を含む全体数)が誤っていたため図、文章を修正。電子の森(2018年)はてなブログをはじめよう!piyokangoさんは、はてなブログを使っています。ブログを報告するスターをつけました引用をストックしましたストック一覧を見る閉じる引用するにはまずログインしてくださいログイン閉じる引用をストックできませんでした。再度お試しください閉じる限定公開記事のため引用できません。