Scattered Spider: 巧妙な手法

• 脅威情報
• 2023.8.20
• 更新日：2023.8.22

要旨

Scattered Spiderは、UNC3944、Scatter Swine、Muddled Libra、Roasted 0ktapusとも呼ばれ、2022年5月から活動している金銭的動機に基づく攻撃者グループです。Scattered Spiderは、主に電気通信およびビジネス・プロセス・アウトソーシング（BPO）組織を標的としていることが確認されています。しかし、最近の活動は、このグループが重要インフラ組織を含む他のセクターを標的にし始めたことを示しています。

このようにターゲットが変わったにもかかわらず、Scattered Spiderは、攻撃の一環として、TelegramやSMSを使ったフィッシング、SIMスワッピング、多要素認証疲労攻撃(MFA Fatigue)など、さまざまなソーシャルエンジニアリングの手口を活用し続けています。このグループは、しばしばIT担当者になりすまして認証情報を共有させたり、コンピュータへのリモートアクセスを許可させたりすることが確認されており、過去のフィッシング・キャンペーンや、悪意のあるカーネル・ドライバのデプロイメント（Windows Intel Ethernet診断ドライバの署名済みだが悪意のあるバージョンの使用など）にも関連しています。

このブログでは、Scattered Spider の手口、最近の出来事、脅威行為者によって活用されたツール、悪用された脆弱性、その影響について深く掘り下げています。さらに、MITRE ATT&CK Techniques/Sub-Techniquesとその緩和策についても説明します。最後に、検知、予防、および対応戦略を実施するために使用できる、既知の侵害の関連指標を示します。

最近の出来事

Scattered Spiderは通常、CVE-2015-2291などの脆弱性を悪用し、STONESTOPやPOORTRYなどのツールを利用してセキュリティ ソフトウェアを終了し、検出を回避します。¹このグループは、Azure環境に対する深い理解を示し、攻撃に組み込みツールを活用しています。²初期アクセスを取得すると、Scattered Spiderは、Windows、Linux、Google Workspace、Azure Active Directory、Microsoft 365、AWSなどのさまざまな環境の偵察を行うだけでなく、横方向の移動を行ったり、追加ツールをダウンロードしてVPNやMFA登録データを流出させたりすることも確認されています。また、このグループは、AnyDesk、LogMeIn、ConnectWise Controlなどの正規のリモートアクセスツールを通じて永続性を確立していることも知られています。³

Scattered Spiderは、2022年半ばから2023年1月までに、高額の仮想通貨機関や個人にサービスを提供する大手アウトソーシング会社が標的となった6件以上の事件に関与していました。⁴

2022年12月、Scattered Spiderは通信およびBPO組織を対象としたキャンペーンを実施しました。⁵ 2つの調査で明らかなように、このキャンペーンの目的は、携帯電話会社ネットワークへのアクセスを取得し、SIMスワッピング活動を実行することであると思われます。初期アクセスはさまざまで、電話やテキストメッセージを使用してIT担当者になりすましたソーシャルエンジニアリングや、被害者を資格情報収集サイトに誘導したり、市販のリモートモニタリングおよび管理 (RMM) ツールを実行するように誘導したりしました。キャンペーンは非常に執拗かつ大胆でした。攻撃者が封じ込められるか、業務が中断されると、すぐに通信およびBPOセクター内の他の組織をターゲットに移動しました。⁶

同月、マルウェアに署名するために認証署名を使用していることが発見されました。⁷ Microsoftは、ブロッキング保護機能を実装し、Windows ハードウェア開発者プログラムによって認定された悪意のあるドライバーの公開に使用されたアカウントを停止するために講じた措置を公表しました。この問題は、ランサムウェアのデプロイなど、不正なドライバーが悪用された後にMicrosoftに通知されたことから始まりました。⁸

2022年8月、Twilioは、Oktaを含む163のTwilio顧客に関連する情報への不正アクセスを特定しました。Scattered Spiderは、Twilioコンソールを介して、携帯電話番号と、ワンタイムパスワードを含む関連するSMSメッセージにアクセスできました。攻撃者が使用したフィッシングキットは、ユーザー名、パスワード、OTP要素を捕捉するように設計されており、テクノロジー企業、電気通信プロバイダー、暗号通貨に関連する組織や個人を標的としていました。⁹

ツール

Scattered Spiderは、POORTRYとSTONESTOPを使用してセキュリティソフトウェアを終了し、検出を回避します。¹⁰

• POORTRYは、Windowsシステム上の選択されたプロセス 、例えばエンドポイント上のEDR（Endpoint Detection and Response）を終了するために使用される悪意のあるドライバーです。¹¹攻撃者は検出を回避するために、Microsoft Windows Hardware Compatibility Authenticode署名を使用してPOORTRY ドライバーに署名しました。¹²
• STONESTOPは、悪意のあるドライバーを作成してロードすることでプロセスを終了しようとするWindowsユーザーランドユーティリティです。¹³これは、POORTRYのローダー/インストーラーとしてだけでなく、ドライバーに実行するアクションを指示するオーケストレーターとしても機能します。¹⁴

2023年4月、ALPHV (BlackCat) ランサムウェアグループは、POORTRYの更新バージョンを使用して米国の決済大手NCRを侵害し、そのAloha POSプラットフォームの停止につながりました。^15、16

脆弱性の悪用

Scattered Spider は、Windows用インテルイーサネット診断ドライバー (iqvw64.sys) の脆弱性であるCVE-2015-2291を悪用することが知られています。これにより、細工された ( a) 0x80862013、(b) 0x8086200B、(c) 0x8086200F、または (d) 0x80862007 IOCTL呼び出しを介し て、ローカルユーザにサービス拒否を引き起こしたり、カーネル権限で任意のコードを実行させる可能性があります¹⁷ 。Scattered SpiderはCVE-2015-2291を悪用し、Windows 用インテルイーサネット診断ドライバー (iqvw64.sys) に悪意のあるカーネルドライバーを展開しました。¹⁸

さらに、Scattered Spiderは、ForgeRock AMサーバーの欠陥であるCVE-2021-35464を悪用しました。ForgeRock AMサーバーの7.0より前のバージョンには、複数のページのjato.pageSessionパラメータにJava逆シリアル化の脆弱性があります。この悪用には認証は必要なく、細工された単一の/ccversion/*リクエストをサーバーに送信することでリモートコード実行をトリガーできます。この脆弱性は、Java 8以前のバージョンで見つかった Sun ONE Application Framework (JATO) の使用に起因して存在します。¹⁹ Scattered Spiderは、CVE-2021-35464を悪用してコードを実行し、AWSインスタンス上のApache Tomcatユーザーよりも権限を昇格させました。これは、侵害された AWSトークンを使用してインスタンスロールのアクセス許可をリクエストし、引き受けることによって実現されました。²⁰

影響

Scattered Spiderは、機密データを窃取し、信頼できる組織インフラを利用して最終的な顧客に対する後続攻撃を行うことで知られています。²¹

Trellix製品の範囲

Trellixのエンドポイント、ネットワーク、メールセキュリティは、潜在的な脅威を確実に発見し、お客様に害が及ばないようにするため、IOCのチェックや行動分析を含むScattered Spiderの活動に対する多層的な検知戦略を提供しています。新しい脅威や進化する脅威の先を行くために、当社の製品は継続的に脅威インテリジェンスデータベースを監視し、更新しています。これには、Trellix Multi-Vector Virtual Execution Engine、新しいマルウェア対策コアエンジン、機械学習による振る舞い分類とAI相関エンジン、Trellix Dynamic Threat Intelligence (DTI) Cloudからのリアルタイムの脅威インテリジェンス、そして攻撃ライフサイクル全体にわたる防御が含まれ、お客様の組織をより安全に、よりレジリエントに保ちます。

Trellixの保護

製品	署名
Endpoint Security (ENS)	LINUX/Agent.bj
FireEye Scanner	Trojan.Linux.Generic.289912

MITRE ATT&CK テクニック/サブテクニック

MITRE ATT&CK エンタープライズ

MITRE ATT&CK モバイル

コレクション	ネットワーク効果
T1616: 通話制御	T1451: SIMカードの交換

IPv4

IPv6

CIDR

SHA256

SHA256	File Name	Description
N/A	change.m31!!!	攻撃者が広範囲に使用したパスワード
3ea2d190879c8933363b222c686009b81ba8af9eb6ae3696d2f420e187467f08	<redacted>.exe	パックド・フリート・デッキ・バイナリー
cce5e2ccb9836e780c6aa075ef8c0aeb8fec61f21bbef9e01bdee025d2892005	IIatZ	バックコネクTCPマルウェアが、C2からのシェルコードの読み取りと実行に使用され、OpenAMエクスプロイトを介して実行
acadf15ec363fe3cc373091cbe879e64f935139363a8e8df18fd9e59317cc918	insomnia.exe	APIデバッグユーティリティ
N/A	linpeas.log	LINPeasローカル特権エスカレーション列挙ツール出力ログ
N/A	linpeas.sh	LINPeasローカル特権エスカレーション列挙ツール
982dda5eec52dd54ff6b0b04fd9ba8f4c566534b78f6a46dada624af0316044e		ファイルロック解除ツール（ロックされたファイルの削除用）
443dc750c35afc136bfea6db9b5ccbdb6adb63d3585533c0cf55271eddf29f58	mpbec	ポート4444と8888で67.43.235.122への接続を確立するために使用される “Midgetpack “パックバイナリ

参考文献

¹https://www.bleepingcomputer.com/news/security/malicious-windows-kernel-drivers-used-in-blackcat-ransomware-attacks/
²https://www.bleepingcomputer.com/news/security/hackers-use-azure-serial-console-for-stealthy-access-to-vms/
³https://occamsec.com/scattered-spider-iocs/
⁴https://unit42.paloaltonetworks.com/muddled-libra/
⁵https://www.crowdstrike.com/blog/analysis-of-intrusion-campaign-targeting-telecom-and-bpo-companies/
⁵https://www.crowdstrike.com/blog/analysis-of-intrusion-campaign-targeting-telecom-and-bpo-companies/
⁷https://thehackernews.com/2022/12/ransomware-attackers-use-microsoft.html
⁸https://msrc.microsoft.com/update-guide/vulnerability/ADV220005
⁹https://sec.okta.com/scatterswine
https://www.bleepingcomputer.com/news/security/malicious-windows-kernel-drivers-used-in-blackcat-ransomware-attacks/
¹⁰https://www.mandiant.com/resources/blog/hunting-attestation-signed-malware
¹¹https://www.bleepingcomputer.com/news/microsoft/microsoft-signed-malicious-windows-drivers-used-in-ransomware-attacks/
¹²https://www.mandiant.com/resources/blog/hunting-attestation-signed-malware
¹³https://www.sentinelone.com/labs/driving-through-defenses-targeted-attacks-leverage-signed-malicious-microsoft-drivers/
¹⁴https://securityaffairs.com/146536/malware/blackcat-ransomware-uses-kernel-driver.html
¹⁵https://status.aloha.ncr.com/incidents/cnl38krr6n6b
¹⁶https://nvd.nist.gov/vuln/detail/CVE-2015-2291
¹⁷https://www.crowdstrike.com/blog/scattered-spider-attempts-to-avoid-detection-with-bring-your-own-vulnerable-driver-tactic/
¹⁸https://nvd.nist.gov/vuln/detail/CVE-2021-35464
¹⁹https://www.sisainfosec.com/threat-a-licious/scattered-spider-a-sophisticated-threat-actor-that-can-reverse-defense-mitigation/#:~:text=Scattered%20Spider%2C%20a%20financially%20motivated,sites%2C%20and%20employing%20MFA%20fatigue.
²⁰https://unit42.paloaltonetworks.com/muddled-libra/
²¹https://attack.mitre.org/mitigations/M1051/
²²https://attack.mitre.org/mitigations/M1017/
²³https://cyber-kill-chain.ch/mitigations/M1011/
²⁴https://attack.mitre.org/mitigations/M1011/
²⁵https://attack.mitre.org/mitigations/M1049/
²⁶https://attack.mitre.org/mitigations/M1040/
²⁷https://attack.mitre.org/mitigations/M1045/
²⁸https://attack.mitre.org/mitigations/M0945/
²⁹https://attack.mitre.org/mitigations/M1038/
³¹https://attack.mitre.org/mitigations/M1038/
³²https://attack.mitre.org/mitigations/M1021/
³³https://attack.mitre.org/mitigations/M1022/
³⁴https://attack.mitre.org/mitigations/M1042/
³⁵https://attack.mitre.org/mitigations/M1048/
³⁶https://attack.mitre.org/mitigations/M1031/
³⁷https://attack.mitre.org/mitigations/M1032/
³⁸https://attack.mitre.org/mitigations/M1050/
³⁹https://attack.mitre.org/mitigations/M1019/
⁴⁰https://attack.mitre.org/techniques/T1134/
⁴¹https://attack.mitre.org/mitigations/M1026/
⁴²https://attack.mitre.org/mitigations/M1018/
⁴³https://attack.mitre.org/mitigations/M1047/
⁴⁴https://attack.mitre.org/mitigations/M1028/
⁴⁵https://attack.mitre.org/mitigations/M1035/
⁴⁶https://attack.mitre.org/mitigations/M1030/
⁴⁷https://attack.mitre.org/mitigations/M1033/
⁴⁸https://attack.mitre.org/mitigations/M1016/
⁴⁹https://attack.mitre.org/mitigations/M0810/
⁵⁰https://attack.mitre.org/mitigations/M1057/

※本ページの内容は2023年8月17日（US時間）更新の以下のTrellix Storiesの内容です。
原文： Scattered Spider: The Modus Operandi
著者： Phelix Oluoch