脅威の評価: Hangover脅威グループ

This post is also available in: English (英語)

要約

Unit 42のリサーチャーは、Hangover脅威グループ(別名、Neon、Viceroy Tiger、MONSOON)による、南アジアの政府機関および軍事組織を標的とした、BackConfigマルウェア攻撃によって標的型サイバー攻撃を実行するアクティビティを先日、公開しました。その結果として、このHangoverグループのアクティビティに関する脅威評価レポートを作成しました。技法およびキャンペーンは、Unit 42 Playbook Viewerを使用して表示できます。

Hangoverグループはサイバースパイグループで、2013年12月にノルウェーの通信会社に対してサイバー攻撃を実行しているところを最初に確認されました。サイバーセキュリティ会社Normanの報告によると、サイバー攻撃はインドから発生しており、Hangoverグループはパキスタンや中国などの国益を標的として攻撃を実行しています。ただし、米国や欧州でもHangoverのアクティビティの兆候はあり、主として政府機関、軍事組織、民間組織に的を絞って行われています。Hangoverグループの最初の攻撃ベクトルは、スピアフィッシングキャンペーンを実行することです。Hangoverグループは、被害者がソーシャルエンジニアリング手法に引っかかりやすいように、南アジア地域の現地ニュースや時事的なニュースをルアーとして使用し、兵器化されたMicrosoft Office文書をダウンロードおよび実行させます。ユーザーが兵器化された文書を実行すると、BackConfigと脅威アクターとの間にバックドア通信が確立され、攻撃者はスパイ活動を実行し、侵害したシステムから機密データを引き出すことができます。

パロアルトネットワークスの脅威防御プラットフォームとWildFire、DNSセキュリティおよびCortex XDRは、この脅威グループに関連するアクティビティを検出します。お客様は、HangoverおよびBackConfigタグを付けてAutoFocusを使用することで、この脅威評価に関連するアクティビティをレビューすることもできます。

影響の評価

このアクティビティではいくつかの敵対的手法が確認されており、Hangoverグループおよび同じ手法を使用する他のグループに関連する脅威を軽減するために、パロアルトネットワークスの製品およびサービス内の次の手法が提案されています。

表1: Hangoverグループに対する行動指針
†これらの機能は、NGFWセキュリティ サブスクリプション サービスに含まれます

結論

Hangoverグループは活動中であり、Unit 42によると、南アジアの政府機関と軍事組織を標的としています。

当グループは侵害されたサードパーティのインフラストラクチャを利用し、サイトへのリンクを含むスピアフィッシングメールを使用して、兵器化された文書を配信し続けています。

配信文書は進化し続けており、年を重ねるにつれてプレーン テキスト コードおよびURLからエンコード済みのものに移行しています。文書内へのエンコード済み実行可能ファイルの格納から、ZIPファイルの使用(ファイルのパッケージを含む)、そして最終的にコマンドおよびコントロールサーバーからの実行可能ファイルのダウンロードへと移行しています。

配信文書によるBackConfigマルウェアのインストールは、複数のステージおよびコンポーネントを使用して実行され、ほとんどの場合、サンドボックスやその他の自動分析および検出システムを免れます。これには、仮想化ベースのセキュリティ(VBS)、バッチコード、スケジュールが設定されたタスク、および条件付きトリガーファイルの使用が含まれます。

インストールが完了すると、BackConfigマルウェアはHTTPSを使用して可視性および検出を困難にし、他の似たようなトラフィックに紛れ込んで、脅威アクターとやり取りします。

感染したシステムがアクターの制御下に入った後の目標は、デプロイされたプラグイン、および侵害されたシステムまたは組織のタイプによって異なります。

その他の資料

• 南アジアの政府機関と軍事施設を標的とする、更新されたBackConfigマルウェア
• Best Practices from Palo Alto Networks (パロアルトネットワークスのベストプラクティス)
• MITRE ATT&CK Matrix for Enterprise (MITRE ATT&CKのエンタープライズマトリクス): Hangover脅威グループ

このレポート内の推奨される行動指針は、パロアルトネットワークスで現在入手可能な情報およびパロアルトネットワークスの製品およびサービスの機能に基づきます。