イランのサイバー・パラドックス: 劣化したAPT、増加するプロキシ、ブートキットワイパー

SOC Prime Team

フォローする

Detection stack

AIDR
Alert
ETL
Query

脅威レポート
攻撃フロー
検出
シミュレーション

概要

イランに関連するサイバー活動は、既存のAPTチームから離れ、起動キットスタイルのワイパーを使用するプロキシオペレーターに向かっており、幅広いCVEを悪用し、クラウドインフラの物理的な妨害とサイバー操作を組み合わせることさえしています。Rusty BootsやMoKhargoshのような新しく追跡されたクラスターは、起動キットレベルの持続性を示しており、HYDRO KITTENはRockwell PLCやインターネット向けネットワークデバイスを資格情報に基づく侵入方法で攻撃しています。湾岸地域のクラウドデータセンターへの物理的攻撃は、リスクをハイブリッドなサイバー・フィジカルドメインに拡大しています。この報告書は、OT環境におけるファームウェア整合性検証と行動ベースの検出の重要性を強調しています。

調査

報告書は3つの主要な進展を強調しています。第一に、Rusty BootsとMoKhargoshが起動キットスタイルの持続性を持つワイパーを展開する能力を示しています。第二に、HYDRO KITTENはRockwellシステム、FortiGate、SonicWall、Ivanti、PAN-OS、およびOpenSSHに影響を与える複数のCVEを悪用しました。第三に、UNC6446は、DUSTYPROXYやERIESNAKE.GOを含むカスタムのC#およびGolangマルウェアを使用し、443ポートを通じて暗号化されていないHTTP通信を行っています。報告書はバーレーンとドバイのクラウドインフラを標的にした物理的攻撃も言及しています。

緩和策

組織はファイアウォール、OT資産、SSHサービス全体で参照されたすべてのCVEを修正すると同時に、安全な起動を強制し、定期的にファームウェアの整合性をチェックする必要があります。防御チームは、未加工ディスクの書き込み活動やMBRまたはVBRへの変更を監視し、ポート443経由の暗号化されていないHTTPトラフィックをブロックし、不明な実行可能ファイルのためにレジストリRunキーを確認し、OTの行動監視を実施して承認されていないメンテナンス期間外のPLC設定変更を検出する必要があります。

対応

防御者はDNS、プロキシ、およびエンドポイントコントロール全体で開示されたすべてのIPアドレス、ドメイン、ファイルハッシュを直ちにブロックする必要があります。暗号化されていないHTTP over TCP/443、セキュアブートの整合性失敗、新しいレジストリRunキーエントリ、および疑わしいPLC認証行動の検出コンテンツを展開する必要があります。脅威ハンティングは、上記のマルウェアシグネチャと、長期間の非アクティブ化の後に突然発生するOT関連操作の兆候を重点的に行う必要があります。

graph TB %% クラス定義 classDef technique fill:#e6f7ff classDef tool fill:#ffeb99 classDef malware fill:#ffcccc %% 技術ノード technique_valid_accounts[“技術 – T1078 有効なアカウント 説明: 盗難または取得された認証情報を使用して初期アクセスを確立する。”] class technique_valid_accounts technique technique_exploit_remote[“技術 – T1210 リモートサービスの悪用 説明: 脆弱なサービス（例: CVE-2021-26868, CVE-2024-0012, CVE-2024-5591）を悪用し、横展開および制御を行う。”] class technique_exploit_remote technique technique_persistence_registry[“技術 – T1547.001 レジストリ実行キー / スタートアップフォルダ 説明: Runキー（HKCU/HKLM）やスタートアップフォルダにより永続化を確立する。”] class technique_persistence_registry technique technique_c2_external_proxy[“技術 – T1090.002 外部プロキシ 説明: C2通信を外部プロキシ経由でルーティングし、インフラを隠蔽する。”] class technique_c2_external_proxy technique technique_c2_web[“技術 – T1071.001 Webプロトコル (HTTP/S) 説明: HTTP/S (TCP/443) を用いたC2通信。”] class technique_c2_web technique technique_execution_ps[“技術 – T1059.001 PowerShell 説明: PowerShellを使用してファイルのダウンロードや実行を行う。”] class technique_execution_ps technique technique_remote_access[“技術 – T1219 リモートアクセスツール 説明: インタラクティブなリモートセッションを提供するバックドアを展開する。”] class technique_remote_access technique technique_credential_exploit[“技術 – T1212 認証情報の悪用 説明: 盗まれた認証情報を使用して直接デバイスへ認証する。”] class technique_credential_exploit technique technique_impact_preos[“技術 – T1542 プレOS起動 説明: OS起動前に影響を与えるためブートコンポーネントを改変する。”] class technique_impact_preos technique technique_impact_data_destruction[“技術 – T1485 データ破壊 説明: 重要データを破壊または削除する。”] class technique_impact_data_destruction technique technique_impact_disk_wipe[“技術 – T1561.001 ディスクワイプ 説明: ディスク領域を上書きしシステムを使用不能にする。”] class technique_impact_disk_wipe technique %% ツールとマルウェア tool_dustyproxy[“ツール – DUSTYPROXY 説明: レジストリRunキー経由でインストールされるC#プロキシクライアント。外部プロキシへ通信を中継する。”] class tool_dustyproxy tool malware_eriesnake_go[“マルウェア – ERIESNAKE.GO 説明: Go製バックドア。対話型セッション提供、PowerShell実行、HTTP/443通信を行う。”] class malware_eriesnake_go malware malware_rusty_boots[“マルウェア – Rusty Boots 説明: ブートキット型ワイパー。OS再インストール後も残存しブート領域を破壊する。”] class malware_rusty_boots malware malware_mokhargosh[“マルウェア – MoKhargosh 説明: 産業システムを無効化するためのブートキット型ワイパー。”] class malware_mokhargosh malware %% フロー technique_valid_accounts –>|次へ| technique_exploit_remote technique_exploit_remote –>|可能化| technique_persistence_registry technique_persistence_registry –>|使用| tool_dustyproxy tool_dustyproxy –>|インストール| technique_persistence_registry tool_dustyproxy –>|プロキシ転送| technique_c2_external_proxy technique_c2_external_proxy –>|通信| technique_c2_web technique_c2_web –>|実行支援| technique_execution_ps technique_execution_ps –>|起動| malware_eriesnake_go malware_eriesnake_go –>|提供| technique_remote_access technique_remote_access –>|悪用| technique_credential_exploit technique_credential_exploit –>|到達| technique_impact_preos technique_impact_preos –>|有効化| technique_impact_data_destruction technique_impact_data_destruction –>|破壊| technique_impact_disk_wipe technique_impact_preos –>|実装| malware_rusty_boots technique_impact_preos –>|実装| malware_mokhargosh %% スタイル class technique_valid_accounts,technique_exploit_remote,technique_persistence_registry,technique_c2_external_proxy,technique_c2_web,technique_execution_ps,technique_remote_access,technique_credential_exploit,technique_impact_preos,technique_impact_data_destruction,technique_impact_disk_wipe technique class tool_dustyproxy tool class malware_eriesnake_go,malware_rusty_boots,malware_mokhargosh malware

攻撃フロー

攻撃のナラティブとコマンド:
1. 資格情報を取得する (T1078) – 低権限のサービスアカウントを侵害した攻撃者は、安全でない資格情報ストアから「Rockwell」サービス資格情報を取得します。
2. リモート・インタラクティブ・ログオン (T1078, LogonType 10) – それらの資格情報を使用して、攻撃者はRDPを介してターゲットのPLC管理ワークステーションに接続し、規則に一致する成功したログオンイベント（EventID 4624, LogonType 10）を生成します。 selection1.
3. エクスプロイトの試み (T1190 / T1542.003) – ログイン時、攻撃者はRSLogix 5000ウェブサービスに対して作成したHTTPリクエストを実行し、認証バイパスをトリガーします（CVE‑2021‑22681）。サービスは失敗した認証イベント（EventID 4625）をログし、失敗理由文字列に「CVE‑2021‑22681」が含まれ、規則を満たします。 selection2.
4. 事後エクスプロイト (T1059.001, T1071.001, T1090.002) – 外部プロキシを通じてPowerShellリバースシェルが確立され、悪意のあるペイロードがダウンロードされますが、これらのステップは規則が発効するために必要ではありません。

回帰テストスクリプト: 以下のスクリプトは、ステップ2と3を自動化し、正確なテレメトリーを生成します。

# ==============================
# Hydro Kitten 悪用テスト
# ==============================

# 1️⃣ 変数 - 環境値に置き換えてください
$targetHost   = "10.0.0.50"               # RSLogixサーバのIP
$rockwellUser = "Rockwell"
$rockwellPwd  = "P@ssw0rd!"               # 既知（または取得した）パスワード
$proxyUrl     = "http://proxy.example.com:8080"

# 2️⃣ Rockwellの資格情報を使用してリモートインタラクティブセッション（RDP）を確立する
$secPwd = ConvertTo-SecureString $rockwellPwd -AsPlainText -Force
$cred   = New-Object System.Management.Automation.PSCredential ($rockwellUser, $secPwd)

Write-Host "[*] $targetHostへのRDPセッションを$rockwellUserで開始しています..."
# Start-Processは新しいログオンセッションを作成します - これがEventID 4624、LogonType 10を生成します
Start-Process -FilePath "mstsc.exe" -ArgumentList "/v:$targetHost" -Credential $cred

Start-Sleep -Seconds 10   # ログオンが記録される時間を許可します

# 3️⃣ CVE-2021-22681認証バイパス試みをトリガーする
$exploitUrl = "http://$targetHost/rslogix/rslogix.cgi?CVE-2021-22681=1"

Write-Host "[*] CVE検出をトリガーするための不正なリクエストを送信しています..."
Invoke-WebRequest -Uri $exploitUrl -Proxy $proxyUrl -Method GET -UseBasicParsing -ErrorAction SilentlyContinue

Write-Host "[+] エクスプロイトリクエストが送信されました。SIEMでEventID 4625が『CVE-2021-22681』を含むか確認してください。"

クリーンアップコマンド: RDPセッションと一時的なアーティファクトを削除してください。

# RDPクライアントプロセスを終了する
Get-Process -Name mstsc -ErrorAction SilentlyContinue | Stop-Process -Force

# （オプション）フォレンジックフットプリントを削減するためのPowerShell履歴のクリア
Clear-History

SOC PrimeのDetection as Codeプラットフォームに参加し ビジネスに最も関連性のある脅威に対する可視性を向上させましょう。開始して即座に価値をもたらすためには、今すぐSOC Primeの専門家とのミーティングを予約してください。

無料で参加