はじめに

戦略的な背景: 不安定な世界

本レポートのデータを正しく読み取るには、世界規模の「大きな全体像」を理解しなければなりません。世界中の組織に対するサイバー脅威は、技術の世界だけで起こっているわけではないからです。サイバー リスクの主な要因のなかには、戦争をはじめとする不可抗力、経済サイクルの大規模な変化などもありますが、ビジネスモデルや主要なパートナー、コア プロセス、テクノロジーの導入、法規制の遵守といった要因に変更を加えるたびに出現する新たな脆弱性もあります。2023 年第1 四半期の脅威データに影響を与えている要因の例を以下に示します。

• ロシアによるウクライナ侵攻と欧米に対する非対称的な戦争: 政治的、経済的、領土的野心のために大国がしかけるスパイ活動、戦争、偽情報を目的としたサイバー活動は激しくなる一方です。欧米の企業、政府、インフラに対してハッカーがしかけるサイバー攻撃はさらに巧妙になっています。
• 習近平による中国の集中支配とその地政学的な野心: 中国の国家的な目標、強硬な外交政策、産業スパイ活動は、中国が関与する持続型脅威(APT) グループが世界的な状況を支配するなかで、サイバー リスクをあおり続けています。
• 発展途上国の経済とインフラストラクチャの急速な拡大: 発展途上地域の多くが、経済成長に伴ってインフラや技術の規模を拡大しているため、サイバー セキュリティは最優先事項になりにくく、重要なインフラにサイバー関連の脆弱性がいくつも発生する結果になります。 
• 世界的なインフレとその経済的および政治的影響: 今期は、市場の変動性、金融危機、政治危機、そして支出の優先順位やサイバー セキュリティ予算への圧力などがありました。
• コロナ禍以降も続くサプライチェーンの混乱: 地域間の市場への新たな経路を切り開くには、パートナー、輸送網、情報共有、ひいてはサイバー リスクのシフトが必要でした。サイバー脅威は日々サプライチェーンに影響を及ぼしているため、ゼロ トラスト機能の必要性は業界全体で高いままです。 
• Apple 製品のセキュリティ環境が優れているという神話: 攻撃者がGolang ベースのマルウェアを大規模に活用し始め、マルチベクトルの攻撃が多数のオペレーティング システムにまで広がっているため、macOS 環境はもはや安全とは言えなくなってきていますが、それでもこの状況は続いています。 
• 人工知能が世界の舞台に登場し、破壊的な影響が濃厚に: サイバー防衛にとって、機械学習や自然言語処理などの進歩は味方にも敵にもなるものです。しかし、世界的なサイバー脅威が進化し、人間のチームが対処できる速度をはるかに上回る規模で発生しているため、人工知能ソリューションは企業のサイバー防衛にとって不可欠なものとなります。

サイバー セキュリティ: CISO の課題とSecOps 革命

2023 年第1 四半期のハイライト概要

ランサムウェアの状況

• ランサムウェアの波: ランサムウェアは、膳世界で主要なサイバー攻撃としてその地位を保ち続けています。フィッシングのように、個人を欺き、操作して機密情報や個人情報を漏えいさせるソーシャル エンジニアリングの手口は、巧妙さが増しつつ、これまで以上に流行しています。
• Cuba とPlay が流行: 年明け早々には身代金に関連するサイバー犯罪活動の減少が見られましたが、第1 四半期に最も流行したランサムウェア ファミリーは、Cuba (9%) とPlay (7%) でした。
• LockBit 根強く存続: 活動は2 四半期連続で減少しているにもかかわらず、LockBit は依然として、身代金の要求に応じるよう被害者に圧力をかける特に攻撃的なランサムウェアとして存続しています。
• Magecart グループが全盛に: 公的報告書によると、2023 年第1 四半期には、このクレジット カード窃盗およびE コマース攻撃グループの活動が驚異的な増加を記録しています。この脅威が、国家の関与する他の主要なAPT ほどの規模で活動するのは稀であり、Magecart グループが世界的に再び台頭している可能性を示唆しています。 

ランサムウェアの手口の進化

• 金銭目的: ランサムウェアの動機が依然として主に金銭であることに変化がないのは驚くことではなく、業種としては保険(20%) と金融サービス(17%) で潜在的な攻撃が最も多く検出されています。 
• 中規模企業の被害が最大に: 当社のリーク サイト データを評価した結果、これらの攻撃による被害は、従業員数51～200 人(32.3%)、売上高1,000 万～5,000 万ドル(38.3%) の中規模企業が最も多いことが判明しました。 
• 主な標的は米国: ランサムウェア グループの被害を最も受けた国は米国(15%) です。米国は、企業の被害者のうち、攻撃者から「データを買い戻す」と判断した人の割合が最も高い国(48%) でもあり、次にランクインした英国の6 倍という高さでした。
• Cobalt Strike が攻撃手段に: Trellix のテレメトリによると、Cobalt Strike はランサムウェアを使う攻撃にとても好まれています(インシデントの28%)。ベンダーFortra が、2022 年第4 四半期末 に、このツールを使いにくくしようと試みましたが、攻撃者グループの間では人気も使用率も高まっているようです。

国民国家の活動が危険な水域に

• 主な攻撃者: 第1 四半期に国家を標的とした活動のなかでは、過去6 か月間でMustang Panda やUNC4191 など中国が関連するAPT 攻撃者の活動が最も顕著でした。中国に関連する攻撃者は、全世界の環境に影響を及ぼしており、国家の関わる全活動のうち79.3% を占めました。北朝鮮、ロシア、イランに関連する攻撃者がこれに続いています。 
• 最も活発な APT グループ: Mustang Panda は、世界で最も活動的なAPT グループ(72%) として3 四半期連続で1 位を維持しました。中国が引き続き、スパイ活動と阻害活動を目的として悪質なサイバー活動を続け、増やしているということです。 

脆弱性インテリジェンス

• 既知の脆弱性への対処の失敗: 今四半期でも特に重要な脆弱性の大半は、まだ対処されていない既知の脆弱性が原因でした。
• 古い情報: 今年2 月に公開されたApple の脆弱性は、2021 年にNSO Group によって公開されたPegasus スパイウェアの一部として使用されていたFORCEDENTRY エクスプロイトまで遡ります。 

メール セキュリティ

• 新たな攻撃経路: Microsoft は、Office プラットフォームのマクロ添付ファイルをブロックし始めましたが、攻撃者は、SEO ポイズニング、OneNote、Zip 添付ファイルなど、引き続きWindows デバイスを狙う他の感染経路をすぐに使い始めました。
• 信頼性の低いブランド: 攻撃者は、PayPal、Google、DWeb、IPFS など正規のブランド名やサービスを悪用して被害者を欺き、オンライン認証情報を詐取する傾向が増えています。

クラウドへの不正アクセス

• 戦術がシフト: オンプレミス インフラストラクチャからAmazon、Microsoft、Google など手頃で拡張性の高いオプションに移行する企業が増えるにつれて、クラウド インフラストラクチャへの攻撃も増え続けています。
• 有効なアカウント: 多要素認証、プロキシ、およびAPI 実行を使用する高度な攻撃が台頭していますが、攻撃手法の主流は今もなお、有効なアカウントを使用するものであり、2 番目に多く使用されている攻撃ベクトルと比べても2 倍以上の頻度で多用されています。サイバー犯罪者が正規のアカウントのログイン情報にアクセスしてそれを販売し、侵入して攻撃するという不正アクセスのリスクがまぎれもない現実であることの裏付けです。

Cobalt Strike、Mimikatz、Sharphound など悪質性の高いサードパーティ ツールが、合法的な状況で利用されています。ペネトレーション テストの実施者がネットワークへの侵入を試みる際、このようなツールを使用して、パスワードの収集やビーコンの設定、特権の昇格を行うことがあります。攻撃者も同様にこれらのツールを使って、開発時間を短縮し、直近で使用されたツールや、誤ってマシンに残されたツールを利用したり、気になるエンド ユーザーのシステムに常駐したりできるようにします。

2023 年第1 四半期、金銭の収集、政府の機密の暴露、インフラ利用の阻害を目的として、地域またはセクター別にユーザーを標的とする最も活発な脅威グループおよびAPT の上位はMagecart グループ、APT29、APT41 の3 つでした。Magecart グループは、国家が関与する他のAPT のような規模で活動することはほとんどないため、Magecart グループがリストのトップになったのは予想外でした。今後数か月間はこのグループの活動を監視し、今期のデータははたして、このグループが世界的な舞台で再び台頭してきたことを示す兆候なのかどうかを見極めたいと考えています。

過去の世界規模のキャンペーンでは、クリックやダウンロードの多い人なら誰でも引っかかるように設計された、あまり高度ではないスプレー アンド プレイ手法がこの業種では問題でした。標的型攻撃はさらに巧妙に進化しており、製造業、金融、医療の各業種がますます執拗に狙われるようになっています。残りの2 業種、通信とエネルギーは、グローバルに標的とされる頻度は低いようですが、どちらも重要な業種であることは変わらないので、この業種の組織が侵害を報告していない、あるいはインシデントに気づいていない可能性もあります。

当社のリサーチ チームによって分析・検証され報告されたイベントには、個人の攻撃者、脅威グループ、またはより巧妙なAPT に関する豊富な情報、相関関係、属性も含まれています。マルウェア ファミリーに伴うツール、テクニック、手順としては、ローダーやダウンローダーなどのマルウェア、RAT、情報窃取、ランサムウェアなどがあります。2023 年第1 四半期に分析され、Insights を通じて利用できるイベントでは、ウクライナが最も頻繁に標的とされており、僅差で米国が続いています。

Royal Ransom、Trigona、Maui のランサムウェア ファミリーが、2023 年第1 四半期に大きな被害をもたらしました。Trellix は先日、Royal Ransom の詳細な分析と、Windows およびLinux の実行可能ファイルに関してその内部構造を公開しました。これは、特に当社のInsights プラットフォームから得られた統計ですが、グローバルにつながったインフラストラクチャ全体では、さらに多くのイベントが発生しています。報告済み、または非公開の既知のイベント、まだ特定・修復されていないイベントも含まれています。

2023 年第1 四半期の 公的報告書で標的と報告された国

7

分析対象とした公開のイベントでは、攻撃者によって最も狙われた国はウクライナで、米国が僅差で続いています。

1.

ウクライナ

7%

2.

米国

7%

3.

ドイツ

4%

4.

韓国

3%

5.

インド

3%

2023 年第1 四半期の 公的報告書で取り上げられたランサムウェア

1.

Royal Ransom

7%

2.

Trigona

4%

3.

Maui

4%

4.

Magniber

3%

5.

LockBit

3%

国民国家の活動

国民国家の活動に関するインサイトは、脅威の状況をよりよく把握し、監視バイアスを減らすために複数のソースから収集されています。まず、国民国家グループのIOC とTrellix の顧客テレメトリの相関から抽出された統計を描いています。2 つ目に、セキュリティ業界が発行し、Threat Intelligence グループが厳しく吟味・解析・分析したさまざまなレポートから得られたインサイトを提供します。

前述したように、表示される統計は、キャンペーンの統計であり、検出そのものではありません。Due to various log aggregations, our customers’ use of threat simulation frameworks, and high-level correlations with the threat intelligence knowledge base, the data is manually filtered to meet our analysis goals.

弊社のグローバル テレメトリによると、APT グループによる複数のキャンペーンに関連するIoC が確認されました。中国に関連する脅威は引き続き世界的な状況を支配しており、特に2023 年第1 四半期には、Mustang Panda が検出件数の大半を占めました。ステルス性を高めるためにサイドローディングその他の手法を全面的に利用しているため、中国が関連するAPT グループは、他の脅威と比べてもマルウェア ツールのローテーション頻度が低い可能性があります。そうだとすれば、このような習慣が「予測バイアス」につながる、つまり 中国が関連するハッシュの検出数の過大評価につながる可能性があります。

確認されたキャンペーンで最も多く見られた攻撃者とその国、それぞれのツールや手法、および影響を受けた国やセクターは、以下のとおりです。

脆弱性インテリジェンス

リバース エンジニアリングと脆弱性解析に関するTrellix Advanced Research Center の専門家は、最新の脆弱性を継続的に監視しながら、攻撃者がいかに脆弱性を利用しているか、またその攻撃の確率と影響をどう軽減するかについて、お客様にガイドラインを提供しています。

2023 年第1 四半期において特に深刻で、にもかかわらず意外なほど知られていない発見があります。この期間に見つかった重大な脆弱性の多くは、その原因が古いCVE に対するパッチのバイパス、古くなったライブラリの利用から生じるサプライチェーンのバグ、あるいはかなり以前にパッチが公開された脆弱性にあることです。

たとえば、CVE-2022-47966 は、今年1 月に話題になったZoho のManageEngine 製品に存在する致命的な脆弱性(9.8) です。ManageEngine は全世界の多数の企業で使用されているので、この脆弱性の悪用が実際に検出されたとしても、それだけで驚くには当たりません。私たちを驚かせたのはその根本原因、すなわちApache Santuario 1.4.1 が使われていることでした。驚くほど古く、XML インジェクトを許してしまう既知の問題が存在していたのです。Zoho は10 月に同社の製品全体にこの脆弱性のパッチを公開し、それからほぼ3 か月後の第1 四半期には、CISA が勧告を発表して、野放し状態の悪用を警告するとともに、ベンダーにパッチ適用を促しました。

もうひとつの例がCVE-2022-44877、つまりControl Web Panel (CWP) に存在する重大な脆弱性です。直接の関連はありませんが、この脆弱性には前述の例と同じ特徴が多数存在します。前年の10 月にパッチが公開されていたにもかかわらず、1 月にその悪用が広く確認されたもうひとつの9.8 RCE だったのです。根本的な原因は、Black Hat トークにふさわしいものではなく、URL パラメータの標準的なシェル変数展開を使用したコマンド インジェクションでした。

3 つ目の例は、CVE-2021-21974です。VMware ESXi のOpenSLP サービスに存在する脆弱性で、2021 年2 月に対処されていました。広く悪用が確認された突然の流行から、実に2 年も前のことです。2 月の障害レポートでこの脆弱性について報告したときには、インターネットに接続可能な約48,000 台のサーバーでまだ脆弱なバージョンのESXi が稼働しているというShodan の指摘を報告しました。今日でもなお、その数はまだ38,000 を超えており、22% 未満の変化にとどまっています。

表1: 2 月下旬と4 月下旬に行われた脆弱なESXi インスタンスに対するShodan スキャンの結果。

今年初めにApple のデバイスを調査したとき、私たちも例をいくつか発見しました。CVE-2023-23530 とCVE-2023-23531 です。この2 つの脆弱性は、その影響がRCE ではなくローカルの特権昇格に限定されるという点が、これまでの例とは異なります。といっても、2021 年にはNSO Group がスパイウェアPegasus を配備するために使ったFORCEDENTRY エクスプロイトによって、これと酷似した脆弱性が利用されていたので、この脆弱性の重要性を見過ごしてよい理由にはなりません。実際、私たちが発見した2 つのCVE は、FORCEDENTRY エクスプロイトのベースになったのと同じプリミティブ、つまりNSPredicate と呼ばれる無害なクラスを利用しています。残念なことに、FORCEDENTRY を緩和しようとするApple のアプローチでは、広範な拒否リストが使用され、NSPredicate の悪用を補強する結果となりました。原因となる問題に対処できず、バイパスを許してしまっていました。

このような傾向を根拠として、ベンダーがセキュリティを真剣に考えていないと結論したり、攻撃者や研究者が古いエクスプロイトを再利用していることを嘆いたりしたくなりますが、その結論は正しくありません。脆弱性の研究者がさまざまな分析に取り組んでいるのは、有効な脆弱性研究が実際の攻撃者の優先順位をエミュレートするためであり、緩和策のバイパスや、パッチの進んでいない製品の古いCVE を発見できれば「車輪を再発明」するよりROI に有効だからです。組織がこの傾向を正しく認識していれば、次のように結論することが重要です。つまり、脅威の最新の状況において、最先端の脅威検出技術は不可欠ですが、勝利の多くは、パッチ適用プロセスやサプライチェーンの審査といった基本的な部分で勝ち取ることができるということです。

クラウド インシデント

Amazon、Microsoft、Google などが開発・提供するサービスに対するクラウド インフラストラクチャ攻撃は増加の一途をたどっています。以下のデータは、弊社の顧客ベースにおけるクラウドベースの攻撃テレメトリ データの内訳を、クラウド プロバイダー別に簡単にまとめたものです。

方法論

データ収集: Trellix と当社のAdvanced Research Center に所属する経験豊富な、世界でもトップクラスの専門家は、本レポートを構成する統計、トレンド、インサイトをグローバルな幅広いソースから収集しています。

• クローズドのソース: 場合によっては、公共と民間の両方のネットワークによって全世界に配備されている顧客のサイバー セキュリティ ネットワークと防御フレームワーク上でテレメトリが生成され、これにはTrellix のセキュリティ ソリューションによって技術、インフラ、およびデータ サービスを提供するものも含まれます。このようなシステムは数百万に上り、10 億個のセンサーからデータを生成しています。
• オープン ソース: その他のケースで、Trellix は特許取得済み、プロプライエタリ、オープンソースのツールを組み合わせて、インターネット上のサイト、ログ、データ リポジトリをスクレイピングしており、攻撃者がランサムウェアの被害者に関する情報や被害者の情報を公開する「リーク サイト」のようなダーク ウェブも活用することがあります。

正規化: 収集されたデータは、弊社のInsights およびATLAS プラットフォームへ送られます。機械学習、自動化、そして人間の鋭敏な感覚を活用して、チームは集中的、統合的、反復的なプロセスをひととおり実施します。つまり、データを正規化して結果を補強し、個人データを削除して、攻撃手法やエージェント、業種、地域、戦略、結果などに関する相関関係を特定します。

分析: 次にTrellix は、(1) 脅威インテリジェンスの広範なナレッジ ベース、(2) 高い評価と認定を受けた情報ソースからのサイバー セキュリティ業界レポート、(3) Trellix のサイバー セキュリティ アナリストや調査員、リバースエンジニアリング専門家、フォレンジック研究者、脆弱性専門家の経験と洞察力を参考にして、この膨大な情報を分析します。

解釈: 最後に、Trellix チームは、サイバー セキュリティ リーダーとSecOps チームが(1) サイバー脅威の環境における最新のトレンドを把握し、(2) この視点に立って将来的なサイバー攻撃を予測、防止、防御する機能を向上させるうえで役に立つ有意義なインサイトを抽出し、確認して検証します。

リソース ライブラリ

脅威レポートのアーカイブ

The Mind of the CISO (CISO の考え方)

Trellix Advanced Research Center、macOS とiOS で新たな特権昇格バグ クラスを発見

A Royal Analysis of Royal Ransom (Royal ランサムウェアに関する優れた分析)

Feeding Gophers to Ghidra (Ghidra にGophers を取り込む)

Trellix Advanced Research Center について

サイバー セキュリティ業界の最も包括的な憲章を掲げ、Trellix Advanced Research Center は、脅威を取り巻く環境全体の中で、新たな手法、トレンド、攻撃者の最前線に立ち、全世界のセキュリティ オペレーション チームにとって不可欠なパートナーとして活動しています。Trellix Advanced Research Center は、セキュリティ アナリストにインテリジェンスと最先端のコンテンツを提供することで、弊社の最新 XDR プラットフォームを支えています。Furthermore, the Threat Intelligence Group within the Trellix Advanced Research Center offers intelligence products and services to customers globally.

Trellix Advanced Research Center

Trellix について

Trellix は、サイバー セキュリティの将来と気持ちのこもった業務を再定義するグローバル企業です。今日の最も高度な脅威に直面している組織は、弊社のオープンでネイティブな eXtended Detection and Response (XDR) プラットフォームを使用することにより、業務の保護と耐久性に自信を持つことができます。Trellix は、広範なパートナー エコシステムとともに、機械学習と自動化を通じて技術革新を加速させ、生きたセキュリティによって 40,000 以上の企業や政府機関のお客様を支援しています。

脅威情報を受け取るには購読登録をお願いします。

このWeb ページおよびそこに記載されている情報は、教育上の目的およびTrellix 顧客の利便性のみを目的としたコンピューター セキュリティ リサーチについて記述したものです。Trellix は脆弱性の適切な開示に関するポリシー | Trellix に従ってリサーチを進めています。Any attempt to recreate part or all of the activities described is solely at the user’s risk, and neither Trellix nor its affiliates will bear any responsibility or liability.

Trellix は、Musarubra US LLC または米国その他の国における関連会社の商標または登録商標です。その他の名前およびブランドは、他社の所有物である場合があります。