クラウドと脅威レポート：主な敵対者の戦術と手法

システムへのリモートアクセスがロックダウンされ、既知のセキュリティ脆弱性に対してシステムにパッチが適用されている場合、敵対者がそのシステムにアクセスする最も簡単な方法は、多くの場合、そのユーザーを通じてアクセスすることです。 そのため、ソーシャルエンジニアリングの手法は、攻撃者のプレイブックの主力であり続けています。 例えば、2023年9月に発生したMGMのハッキングでは、被害者のヘルプデスクに電話をかけることで、ビッシング(ボイスフィッシング)による初期アクセスを実現しました。 さまざまなフィッシング手法の中でも、スピアフィッシング リンクとスピアフィッシング添付ファイルは、2023 年にNetskope Security Cloud Platformで最も人気のある 2 つです。

被害者がクリックしたフィッシングリンクを分析することで、敵対者が被害者を最も狙っている場所についての洞察を得ることができます。 大差で、ユーザーが最も頻繁にクリックしたフィッシングリンクはクラウドアプリを標的としており、その3分の1はMicrosoft製品を標的としていました。 Microsoft OneDriveは、SharePoint、Outlook、Teamsなどの他のMicrosoft製品と 並んで、企業で最も人気のある単一のクラウドアプリであるため、これは驚くべきことではありません。

攻撃者はどのようにして被害者を騙してフィッシングリンクをクリックさせているのでしょうか? 電子メールは依然として非常に一般的なチャネルですが、さまざまな理由から成功率はかなり低くなっています。 まず、組織は、フィッシング電子メールが被害者に到達するのをブロックするために、高度なフィッシング対策フィルターを採用する傾向があります。 第 2 に、組織は通常、フィッシング電子メールを認識できるようにユーザーを訓練します。 これに対して、攻撃者は他のさまざまな戦術を使用して被害者に到達しています。

検索エンジン最適化 (SEO) - 攻撃者は、Bing や Google などの一般的な検索エンジンにリストされるように、SEO テクニックを採用した Web ページを作成します。 通常、ページはデータの空白(結果があまり出ない特定のキーワードのセット)を中心に作成され、特定の人口統計を対象としています。

ソーシャルメディアとメッセージングアプリ – 敵対者は、人気のあるソーシャルメディアアプリ(Facebookなど)やメッセージングアプリ(WhatsAppなど)を悪用して、さまざまな餌を使用して被害者に到達します。

音声およびテキストメッセージ– モバイル デバイスには、ラップトップなどの従来のデバイスに備わっているセキュリティ制御機能が欠けていることが多く、フィッシング攻撃の標的になりがちです。 被害者に電話をかけたり、テキストメッセージを送信したりすることは、フィッシングリンクを拡散するための方法としてますます一般的になっています。

個人の電子メール アカウント– 個人の電子メール アカウントはフィッシング対策が緩い傾向にあるため、より多くのフィッシング電子メールが被害者に到達する可能性があります。 個人の電子メール アカウントは、被害者が仕事で使用するのと同じシステムで使用されることが多いため、個人の電子メール アカウントを介して組織が管理する機密資産にアクセスするためのフィッシングは、攻撃者にとって非常に効果的な戦略となる可能性があります。

スピアフィッシング添付ファイルは、敵対者が添付ファイルを使用して正当性をアピールし(通常はこれらの添付ファイルは専門家の請求書のように見えます)、添付ファイルを検査しないセキュリティ制御を回避するために使用する特殊なタイプのフィッシングです。 Microsoft ExcelスプレッドシートやZIPファイルなど、攻撃者がフィッシング添付ファイルに使用するファイルの種類にはある程度の種類がありますが、これらのファイルタイプのほとんどはまれです。 フィッシング添付ファイルの90%は、被害者がフィッシングリンクをクリックするように誘導するように設計されたPDFです。

フィッシング リンクと同様に、攻撃者は個人の電子メールを含む複数のチャネルを通じてフィッシング添付ファイルを拡散します。 攻撃者が被害者の個人の Microsoft Live メールアカウントに餌を送りつけることで、より多くの成功を収めるようになったため、被害者がダウンロードしたフィッシング添付ファイルの数は 8 月にベースラインの 3 倍以上に急増しました。 過去 9 か月間で、管理対象組織の Web メール アプリからフィッシング添付ファイルをダウンロードしたユーザーと比較して、個人の Web メール アプリからフィッシング添付ファイルをダウンロードしたユーザーの数は 16 倍でした。

ソーシャルエンジニアリングは、初期アクセスに限定されません。 攻撃者は、秘密のリモート アクセスを提供したり、機密情報を盗んだり、ランサムウェアを展開したりする悪意のあるペイロードをユーザーが実行することに依存しています。 ターゲットユーザーに悪意のあるペイロードを実行するよう説得するには、多くの場合、ユーザーが 悪意のあるリンク をクリックするか、 悪意のあるファイルをダウンロードして実行する必要があります。 攻撃者は常に新しい方法で被害者を騙そうとしており、Netskope Threat Labs は月次レポートでそれらの変化を追跡しています。 2023年を支配した2つの包括的なテーマがあります。 まず、攻撃者は、悪意のあるファイルがクラウドアプリを介して配信されるときに、被害者に悪意のあるファイルをダウンロードさせるのに最も成功します。 今年これまでに、ユーザーがダウンロードしようとしたマルウェアの平均 55% がクラウド アプリ経由で配信されました。

第二に、マルウェアのダウンロード試行回数が最も多かったアプリは、企業で使用されている最も人気のあるクラウド アプリでもありました。 企業で最も人気のあるクラウド アプリである Microsoft OneDrive が、クラウド マルウェアのダウンロード全体の 4 分の 1 以上を占め、トップの座を獲得しました。 今年これまでに、攻撃者は合計 477 個の異なるクラウド アプリからユーザーを誘導してマルウェアをダウンロードさせ、実行させることに成功しました。

攻撃者は、被害者の環境で悪意のあるペイロードを正常に実行した後、多くの場合、侵害されたシステムと通信するためのチャネルを確立する必要があります。そこでコマンド&コントロールが機能します。 2023 年に攻撃者が使用した最も一般的なコマンド アンド コントロール手法は、アプリケーション層プロトコル (ウェブ プロトコル)であり、これはC2 チャネル経由の流出と組み合わせられることが多かった。 攻撃者は、 CobaltStrikeのようなC2フレームワークの使用、 一般的なクラウドアプリの悪用、独自のカスタム実装の作成など、コマンド&コントロールチャネルを作成するための複数のオプションがあります。

ステルスは、コマンド&コントロールチャネルの重要な機能です。 攻撃者は、侵害されたシステムと通信する必要があるだけでなく、その際に検出を回避する必要もあ�