中国国家関連のハッカーが自動化ツールと手動攻撃を融合

概要

Integrity Technology Groupによって支援された中国政府関連のアクターは、自動スキャンツール、大規模なボットネット、手動のエクスプロイトを組み合わせて利用しています。これらは、WebアプリケーションやMicrosoft Exchangeサーバーの脆弱性を利用して、重要なインフラストラクチャセクターの機密データを標的としています。アクターは持続性、資格情報の窃盗、データ送信を目的としたさまざまな技術を駆使しています。

調査

この調査は、FBI、CISA、NSA、およびその他の機関を含む複数の国際機関によって、Integrity Technology Groupに関連する複数の調査から回収された技術的証拠に基づいて実施されました。アナリストは、MicroScan、EBurst、Curlc4.txtのようなカスタムツールの使用と、標準のLiving-off-the-land技術を観察しました。調査内容には、live700_v1.exeのような特定のマルウェアや持続性のためのSoftEther VPNの利用が明らかにされました。

緩和策

組織は、未使用のサービスとポートを無効化し、Webアプリケーションの入力をサニタイズしてインジェクション攻撃を防ぐことを優先すべきです。全てのサービスに対して多要素認証（MFA）を実施し、強力なアイデンティティとアクセス管理（ICAM）ポリシーを採用することが重要です。さらに、ソフトウェアとファームウェアの適時なパッチ適用は、悪用されるリスクを減らすために推奨されます。

対応策

検知時には、組織は侵害されたホストを隔離し、侵入の全貌を把握するために脅威ハンティングを開始すべきです。関連するログやアーティファクトをレビューして特定のTTPと活動のタイムラインを識別します。脅威アクターをネットワークから排除し、根絶するために、確立したプレイブックを活用した排除対策を体系的に実施します。

シミュレーション実行

• 攻撃の流れとコマンド: 敵対者はワークステーションへの初期アクセスを獲得しました。持続性を維持し、未知のバイナリを探すSOCアナリストの検知を回避するため、敵対者は「偽装」技法を実行します。彼らは単純な無害な実行ファイル（このケースでは、 calc.exe）を取り、それを DiagTrack.exeとリネームします。その後、非標準のディレクトリ（C:UsersPublic）からこのリネームされたファイルを実行します。このアクションは、偽装ツールとして使用される DiagTrack.exe の実行を監視する検知ルールをトリガーするために意図されています。

• 回帰テストスクリプト:

  # シミュレーションスクリプト: DiagTrack.exeとして偽装
  $TargetDir = "C:UsersPublicDownloads"
  $MaliciousName = "DiagTrack.exe"
  $SourceBinary = "C:WindowsSystem32calc.exe"
  
  # 1. ディレクトリが存在しない場合は作成
  if (!(Test-Path $TargetDir)) {
      New-Item -ItemType Directory -Path $TargetDir -Force | Out-Null
  }
  
  # 2. バイナリをコピーして偽装
  Copy-Item -Path $SourceBinary -Destination "$TargetDir$MaliciousName" -Force
  
  # 3. 偽装されたバイナリを実行して検知をトリガー
  Write-Host "[+] 偽装されたバイナリを実行中: $TargetDir$MaliciousName"
  Start-Process -FilePath "$TargetDir$MaliciousName"
  
  Write-Host "[+] シミュレーション完了。SIEMで検知を確認してください。"

• クリーンアップコマンド:

  # クリーンアップスクリプト
  $TargetDir = "C:UsersPublicDownloads"
  $MaliciousName = "DiagTrack.exe"
  
  if (Test-Path "$TargetDir$MaliciousName") {
      Remove-Item -Path "$TargetDir$MaliciousName" -Force
      Write-Host "[+] クリーンアップ成功: $MaliciousName を削除しました。"
  } else {
      Write-Host "[-] クリーンアップ失敗: ファイルが見つかりません。"
  }