脅威に関する情報: Volt Typhoon (Unit 42追跡名 Insidious Taurus)に帰属する重要インフラへの攻撃

This post is also available in: English (英語)

概要

2023年5月24日、複数の情報機関が民間セクターのパートナーと協力して「合同サイバーセキュリティ勧告」を公開しました。本勧告は国民国家が支援する脅威アクターからの複数のサイバー攻撃について開示したものです。これらの攻撃に関与したのはVolt Typhoonの名で知られる中華人民共和国(PRC)に帰属するグループ(Unit 42での追跡名は「Insidious Taurus」)で、スパイ活動を動機とするオペレーションを遂行していました。

Unit 42は同グループのアクティビティを追跡しています。より詳細な情報が利用可能になりしだい、本概要は更新されます。アクティビティに関するデータの提供により弊社社名も同勧告にクレジットされています。

現在の地政学的状況から重要インフラを狙うサイバー攻撃にはとくに注意が必要です。このアクティビティは攻撃者が検出防止に細心の注意を払っているという点でとくに注目されます。同グループは侵害した小規模事業やホーム オフィス(SOHO)のデバイスを悪用し、侵害先に元からあるツールを攻撃に転用する「環境寄生型(living off the land)」と呼ばれる技術を使い、侵害したデバイスと手動でやりとりすることにより、検出を防いでいました。

パロアルトネットワークスのお客様は、次の一連の対策によりVolt Typhoonからの保護を受けています。

• Advanced Threat Preventionセキュリティ サブスクリプションを有効にした次世代ファイアウォール製品は攻撃の防止に役立ちます。
• Advanced Threat Preventionはインライン機械学習ベースの検出機能を備えており、エクスプロイトをリアルタイムに検出できます。
• Cortex XSOARは、データ エンリッチメント、IoCハンティング、修復アクションのワークフローを自動化し、手作業を減らしてパッチ適用プロセスを迅速化できます。
• Behavioral Threat Protection (BTP)と複数のセキュリティ モジュールを使うCortex XDRおよびCortex XSIAMエージェントは、同アクターの実行する技術からの保護に役立ちます。
• Cortex Analyticsは本稿で解説する技術に対応する複数の検出モデルを備え、Identity Analyticsモジュールによる関連対策を追加で備えています。
• Prisma Cloudエージェントは、WildFireのもつ既知のVolt Typhoonマルウェアの全サンプルに対する検出機能を備えています。
• Prisma Accessは、Wildfireのもつ既知のVolt Typhoonマルウェアの全サンプルを検出し、関連するすべての脅威シグネチャーをサービス開始時に検出できます。

同脅威を含むさまざまな脅威に対し個別の支援を必要とされる場合はUnit 42のインシデントレスポンスチームをご用命いただけます。

弊社はまた、インターネットに直接公開されているSOHOデバイスの更新を推奨します。加えて組織の皆さまには、自社のアクティビティを調査し、「とくに悪質ではないバイナリーが連鎖的に実行されている」といった平時に見られない挙動がないかどうかを確認することをお勧めします。

本稿で扱う脅威アクターグループ名	Volt Typhoon, Insidious Taurus

目次

現在の攻撃スコープ
中間ガイダンス
Unit 42マネージド スレット ハンティング チームによるクエリー
結論
パロアルトネットワークス製品によるVolt Typhoonからの保護
Advanced Threat Preventionを有効にした次世代ファイアウォールとPrisma Access
Prisma Access
Cortex XSOAR
Cortex XDRとCortex XSIAM
Prisma Cloud
追加リソース

現在の攻撃スコープ

スパイ活動を動機とする攻撃には「できるだけ悪意のあるアクティビティを発生させず対策ソフトウェアによる検出やブロックを回避する」という共通特性が見られます。一度でも検出されれば作戦は成功しません。検出が早ければなおさらです。

今回の攻撃者は検出回避に複数の手順を講じるなど、高度な攻撃者でしか見られない総合的技術力を示していました。まず、侵害されたSOHOデバイスを使用することで、攻撃者のアクティビティが家庭や小規模事業から発信されているように見せかけることができます。これはネットワーク セキュリティ態勢においてはデフォルトではあまり考慮されていない領域といえるでしょう。

手動でのソフトウェア更新が必要なことに加え、SOHOデバイスはベストプラクティスに従って設定されることがめったになく、そのネットワーク管理インターフェイスはインターネットに直接公開されてしまっています。これらの理由から、ボットネットを含め、あらゆる動機をもつ攻撃者の多くがSOHOデバイスを意識的に悪意のあるアクティビティに利用しています。

Microsoft Threat Intelligenceも同グループのアクティビティに関する知見を文書化した調査結果を公開しています。Volt Typhoonは、米国およびグアムに拠点を置く「通信、製造、公共サービス、輸送、建設、海事、政府、情報技術、教育分野」の重要インフラ組織にフォーカスしていることが報告されています。

またVolt Typhoonは「living off the land (環境寄生型)」と呼ばれる技術を多用して検出を回避します。この技術は以前なら高度な攻撃者の間だけで見られたものですが、今は一般的な検出回避用技術として広く使われるようになっています。この技術は、正規のツール(多くの場合システム管理者が正当な目的で使用するもの)を攻撃者が悪意のある用途に転用することを指します。

たとえログに記録が残っても、このアクティビティは多くの場合、ネットワーク管理上の正当な利用に似たものになります。この技術には、ネットワークの列挙、アカウントに付与された権限の識別、さらにはパスワード回復ツールまでもが含まれます。これらのツールは正当な目的でも広く使用されているのでダウンロードの許可リストに記載されているケースが多く、悪意のあるアクティビティに使用された場合、検出が困難になることがあります。

またこの攻撃者は、被害組織のネットワークにアクセスするさい、スクリプトによる自動化は行わずキーボードによる直接操作を行っていました。そうやって検出やブロックの対象となるスクリプト化されたコマンド連打を避け、予期されている人間の作業に見せかければ、攻撃者はさらに検出対策を妨害することができます。求められる知識と技術の高さから、当面はこの技術が高度な攻撃者にしかうまく扱えない手段であることに変わりはありません。

彼らが使用頻度の低いマルウェア ファミリーのEarthWormやオープン ソース ツールのImpacketやFast Resource Proxyのカスタム バージョンを使用していたことは、攻撃者の技術力の高さと検出回避の重視というUnit 42チームによる評価をさらに強調するものとなっています。

中間ガイダンス

Unit 42は、個人事業主や小規模事業でインターネットに直接接続しているSOHOデバイスをお使いの皆さまに、これらの機器のアップデートを推奨します。加えて組織の皆さまには、自社のアクティビティを調査し、「とくに悪質ではないバイナリーが連鎖的に実行されている」といった平時に見られない挙動がないかどうかを確認することをお勧めします。

Unit 42マネージド スレット ハンティング チームによるクエリー

結論

Unit 42は、入手可能な公開情報にもとづき、Volt Typhoonを「スパイ活動にフォーカスしたトップクラスの高度標的型攻撃者(APT)」と評価しています。私たちは、このアクティビティが中華人民共和国の国家支援アクターと関連しているという合同サイバーセキュリティ勧告による帰属に同意します。

このアクターの検出は難しいことから、個人事業主ならびに小規模事業でインターネットに直接接続されたSOHOデバイスをお使いの皆さまには、まずはこれらの機器をアップデートすることを推奨します。加えて組織の皆さまには、自社のアクティビティを精査し、「とくに悪質ではないバイナリーが連鎖的に実行されている」といった平時に見られない挙動がないかどうかを確認することをお勧めします。

パロアルトネットワークスのお客様は、次の各製品によってこの脅威から保護されています。より詳細な情報が利用可能になりしだい、本稿は更新されます。

パロアルトネットワークス製品によるVolt Typhoonからの保護

パロアルトネットワークスのお客様には、弊社製品/サービスの保護・更新を通じ、同脅威の特定と防御が提供されています。

侵害の懸念があり弊社にインシデントレスポンスに関するご相談をなさりたい場合は、こちらのフォームからご連絡いただくか、infojapan@paloaltonetworks.comまでメールにてご連絡いただくか、下記の電話番号までお問い合わせください(ご相談は弊社製品のお客様には限定されません)。

• 北米フリーダイヤル: 866.486.4842 (866.4.UNIT42)
• 欧州: +31.20.299.3130
• アジア太平洋: +65.6983.8730
• 日本: +81.50.1790.0200

Advanced Threat Preventionを有効にした次世代ファイアウォールとPrisma Access

1. Advanced Threat Preventionセキュリティサブスクリプションを有効にした次世代ファイアウォールは、Threat Preventionのシグネチャー(91676、92734、 91362、90829、91363、86360、90926、90952、90972、90851、83202、85739)を通じて攻撃の防止を支援します。
2. Advanced Threat Preventionはインライン機械学習ベース検出機能を備えており、脆弱性のエクスプロイトをリアルタイムに検出できます。

Prisma Access

Prisma Accessは、WildFireのもつ既知のVolt Typhoonマルウェアの全サンプルを検出し、関連するすべての脅威シグネチャーをサービス開始時に検出できます。

Prisma Accessは、ゼロトラスト戦略を採用した、クラウドで提供される集中管理型のセキュリティ サービスです。最小特権の原則と継続的信頼性検証をエンフォースし、必要にもとづいたユーザーへのアクセス制限を行うほか、アプリケーション ワークロードの変化を継続的に監視することができます。また、最先端の機械学習とAIによりユーザーの振る舞いを監視し、業界最高クラスのアラートと緩和策を提供します。これにより初期アクセス防止にとどまらない保護を確立し、侵害試行時の業務への影響を制限・防止できます。

組織の環境は、WildFireやAdvanced URL Filtering、Advanced Threat Preventionなどの機械学習を駆使した最新のインライン型脅威対策技術で自動的に更新・保護されます。Prisma Accessはゼロデイ脅威をも阻止できる継続的かつ動的なセキュリティ検査エコシステムを提供します。

Prisma Accessは機械学習ベースの検出を用いることでゼロデイ脅威に対する検出・対応をリアルタイムで提供し、今日のサイバーセキュリティ情勢におけるもっとも複雑な攻撃の一部も防ぐことができます。

Prisma Accessは高度なDLP保護機能も備えており、顧客組織全体でアプリケーションとデータベースのワークロードへのアクセスとデータの整合性を保護します。

Cortex XSOAR

• Cortex XSOARは、データ エンリッチメント、IoCハンティング、修復アクションのワークフローを自動化し、手作業を減らしてパッチ適用プロセスを迅速化できます。

Cortex XDRとCortex XSIAM

• Behavioral Threat Protection (BTP)と複数のセキュリティ モジュールを使うCortex XDRとCortex XSIAMエージェントは、同アクターの実行する技術からの保護に役立ちます。
• Cortex Analyticsは本稿で解説する技術に対応する複数の検出モデルを備え、Identity Analyticsモジュールによる関連対策を追加で備えています。

Prisma Cloud

Prisma Cloudエージェントは、WildFireのもつ既知のVolt Typhoonマルウェアの全サンプルを検出します。

Prisma Cloudは、悪意のあるトラフィックを継続的に監視しています。WildFireの脅威インテリジェンス データを統合することで、Prisma Cloudエージェントはお客様のクラウド環境から発信される悪意のあるランタイム オペレーションの実行からクラウド仮想マシンやコンテナー、サーバーレスのランタイム環境を検出・保護できます。

追加リソース

• Joint Cybersecurity Advisory: People’s Republic of China State-Sponsored Cyber Actor Living off the Land to Evade Detection (合同サイバーセキュリティ勧告: 中華人民共和国の国家支援型サイバーアクターは環境寄生型技術により検出を回避)
• Volt Typhoon targets US critical infrastructure with living-off-the-land techniques (Volt Typhoonは環境寄生型技術を利用し米国の重要インフラを狙う)

2023-06-08 10:15 JST 英語版更新日 2023-06-07 09:06 PDT の内容を反映