-----BEGIN PGP SIGNED MESSAGE----- Hash: SHA256 各位 JPCERT-AT-2024-0013 JPCERT/CC 2024-06-25 <<< JPCERT/CC Alert 2024-06-25 >>> Operation Blotless攻撃キャンペーンに関する注意喚起 https://www.jpcert.or.jp/at/2024/at240013.html 本注意喚起の公開直前に、国内組織のサイバー攻撃被害に関する報道が出てい ますが、本注意喚起との関係はありません。 I. 概要 2023年5月に重要インフラなどを狙う「Volt Typhoon」の攻撃活動が公表されて 以来、Living off the Land戦術を用いて長期間・断続的に攻撃キャンペーン を行うAPTアクターの活動に対して警戒が高まっています。JPCERT/CCでは2023 年から日本の組織も狙う同様の攻撃活動（Operation Blotless）を注視してお り、同攻撃キャンペーンの実行者はマイクロソフト社などが示すVolt Typhoon と多くの共通点があると考えていますが、Volt Typhoonによる攻撃活動だけな のか、これ以外に同様の戦術を用いる別のアクターによる活動も含まれている のか、現時点では精査しきれていません。 こうした攻撃活動では、Living off the Land戦術を用いる攻撃の特徴から、 対策や検知の難しさがフォーカスされがちであり、具体的にどのような対策を とるべきか困惑している組織も多いかと思います。Living off the Land戦術 は、最近のトレンドとして複数のAPTアクターが使用する戦術で、ランサムウェ ア攻撃のアクターも多用しています。特定のAPTアクターに限らず、さまざま な脅威への対策にもなることから、攻撃の手法や手順（TTP）について多くの 公開情報が出ている「Volt Typhoon」のTTP情報をベースに、JPCERT/CCがこれ までに対応した関連事案を含め、サイバーセキュリティ協議会の活動などを通 じて把握している同攻撃活動への対応方法について解説します。 ** 本注意喚起をご覧いただくにあたって ********************************* 以下、自組織の状況や目的に応じて、後述の情報や参考情報をご確認ください。 （A）攻撃被害をすでに受けている可能性が高い／被害を示す情報を得ている 場合： ・「III. 攻撃活動の事例」に示す同グループの攻撃活動時期を踏まえ、すでに 公表されているセキュリティベンダーなどのレポートに掲載されている情報など をもとに、侵害有無の調査を行ってください。 --------------------------------------------------------------------- （B）侵害されたか不明であるが、侵害有無を調査したいと考えている場合： ・「IV. 推奨調査項目」に示す、基本的な調査ポイントについて調査を行って ください。 --------------------------------------------------------------------- （C）侵害を受けている可能性はこれまでにないが、今後の攻撃に備えて対策を 取りたい場合： ・「V. 推奨対策」に示す、中長期的な対策の導入をご検討ください。 *********************************************************************** II. 攻撃概要と基本的な対処コンセプト 前述のとおり、本注意喚起ではOperation Blotless攻撃キャンペーンのうち、 公開情報が多く出ている、Volt Typhoonの攻撃活動を中心に取り上げます。今 後、Volt Typhoon以外のアクターに関する情報が確認された場合、情報を更新 する可能性があります。 --------------------------------------------------------------------- （1）Volt Typhoonの攻撃活動の特徴 --------------------------------------------------------------------- Volt Typhoonによる攻撃活動について、現時点で国内外の専門組織が把握して いる範囲では、その活動目的は、政府機関や重要インフラ企業への将来の再侵 入に備えて、「侵入方法を開拓」することであり、基本的には認証情報の窃取 （NTDSファイルの窃取など）がここまでの活動の中心です。一部の被害につい ては、認証情報以外の機微情報の窃取が疑われているものの、長期間にわたる 潜伏・情報収集はほとんど行われていません。 「侵入方法を開拓」する目的として、2024年2月にアメリカ・イギリス・カナダ・ オーストラリア・ニュージーランドの各当局から合同で発表されたアドバイザ リによれば、「重大な危機または紛争が発生した場合に、重要インフラに対す る破壊的なサイバー攻撃のため」であるとされています。 基本的に固有のマルウェアをバックドアとして長期間感染させ続けるという戦 術はとられておらず、後述のとおり認証情報を窃取することで、将来、必要なタ イミングで再び被害組織（標的組織）へ（再）侵入することを企図していると 想定されます。 他方で、ここまでの攻撃活動は侵害箇所が限定的であり、また、固有のマルウェ アなどを用いないことから、「自組織が侵害されたかどうか」について、IoC 情報を中心とした通常のAPT事案対応のような調査が難しくなることが想定さ れます。 https://www.jpcert.or.jp/at/2024/at240013_001.png ［図1：Volt Typhoonの攻撃活動のイメージ図］ --------------------------------------------------------------------- （2）Volt Typhoonの攻撃への対処の基本コンセプト --------------------------------------------------------------------- ■ 侵害有無調査が難しい背景 ------------------------------------ 本攻撃活動はLiving off the Land戦術如何に関わらず、以下のような、本攻撃 活動の特徴や、標的となるアセットの運用事情から、これまでの活動に対する 侵害有無の調査が難しくなっています。 （a）Active Directoryの各種ログの少なさ 後述の「III. 攻撃活動の事例」に記載のとおり、Volt Typhoonによる過去の 攻撃活動では、Active Directoryデータベースファイル（NTDSファイル）の取 得により大量の認証情報を窃取しており、Active Directoryを中心とした調査 が必要になります。しかしながら、Active Directoryの各種ログについては、 組織規模（アカウント数）が多ければ多いほど、長期間のログ保存ができない ため、仮に侵害されていたとしても侵害当時の操作ログが残っていないケース が大半です。 （b）初期侵入経路となった機器の各種ログの少なさ 後述の「III. 攻撃活動の事例」に記載のとおり、Volt Typhoonによる過去の攻 撃活動では、これまでの攻撃では、初期侵入経路としてSSL-VPN製品の脆弱性を 悪用した攻撃を多用しています。しかしながら、こうした製品の運用では各種 ログを機器内以外の別システムに保存していないことが多いため、仮に侵害さ れていたとしても侵害当時の操作ログが残っていないケースが大半です。 （c）侵害箇所が限定的であること 基本的にはインターネットに面したアプライアンス経由で侵入し、NTDSファイ ルを窃取する活動が確認されています。このほか横展開の動きなどとしては、 Webサーバーを侵害してWebshellを設置しているケースが確認されています。 他の標的型サイバー攻撃の事例のように、多数の端末／サーバーへの横展開 やADサーバーそのものへの侵害などがなく、「痕跡が残る箇所が少ない」た めに調査できる箇所が少ないという特徴があります。 ■ 対処の基本コンセプト ------------------------------------ 以上のとおり、Volt Typhoonによる過去の攻撃活動に対する侵害有無の調査は、 通常のAPT事案対応よりも困難であることが想定されます。こうした、「過去 に侵害されたかどうか」を調査することの限界を認識した上で、本攻撃活動の 想定される目的を踏まえ、「仮に過去に侵害されていたとしても、将来の破壊 的活動における再侵入をされないこと」を目指すことが推奨されます。 III. 攻撃活動の事例 これまでにセキュリティベンダーが公表した各レポートを踏まえると、攻撃活 動時期は図2に記載の3つのフェーズに大別できます。また、各フェーズの攻撃 キャンペーンで主に観測されている特徴的な攻撃方法を図2に示しています。 詳細は後述する「VI. 参考情報」内のリンクの情報をご参照ください。 https://www.jpcert.or.jp/at/2024/at240013_002.png ［図2：Volt Typhoonの攻撃活動時期や特徴的な攻撃方法］ IV. 推奨調査項目（短期的な対応） 「III. 攻撃活動の事例」で紹介のとおり、これまでにセキュリティベンダーが 観測している攻撃事例やJPCERT/CCが対応した事例を踏まえて、短期的な対応 として侵害有無調査を行う場合、以下のような項目の調査が推奨されます。 ただし、「II. 攻撃の概要と基本的な対処コンセプト」で解説のとおり、対象と なるサービス／機器のログの不足等により、明確に侵害有無を判断できないケー スが想定されますので、「V. 推奨対策（中長期的な対策）」をあわせてご検 討ください。 --------------------------------------------------------------------- （1）ドメインコントローラーでのログなどの調査 --------------------------------------------------------------------- ■ Active Directoryデータベースファイル（NTDSファイル）の持ち出し試行の確認 - 特定プログラムの実行確認：ntdsutil.exe、vssadmin.exe ※資産管理ソフトやEDR、Prefetchを取得する設定をしている場合などに確認可能 - Event Log（Security）の確認：イベントID 8222（シャドウコピーの作成） - Event Log（System）の確認：イベントID 7036（Volume Shadow Copyサービスが対象の場合） ※攻撃者がntdsutil以外を使っていた場合、痕跡は残りません - Event Log（Application）の確認：イベントID 216（Volume Shadow Copyからntds.ditの取得を行っている場合） ■ Windowsイベントログの削除試行の確認 - Event Log（System/Security/Application）の確認：イベントID 104 ※消去されたイベントログ名から、意図したものかを確認する ■ Powershellの実行内容の調査（ドメインコントローラー） - Event Log（アプリケーションとサービスログ：Microsoft - Windows - Powershell - Operational）の確認 ※実行内容のログから、意図したものかを確認する 参考情報：JPCERT/CC ツール分析結果シート ntdsutil / wevtutil https://jpcertcc.github.io/ToolAnalysisResultSheet_jp/details/ntdsutil.htm https://jpcertcc.github.io/ToolAnalysisResultSheet_jp/details/wevtutil.htm --------------------------------------------------------------------- （2）Webサーバーやネットワーク機器などへのWebshell設置有無調査 --------------------------------------------------------------------- ウイルス対策ソフトなどを使用している場合、Webサーバーに設置されたこれ までの攻撃活動で使われたWebshellを検出することができる場合があります。 また、後述のネットワークアプライアンスの脆弱性悪用事案に関するメーカー やセキュリティベンダーからのレポートでは、当該Webshellの調査の参考とな る情報が掲載されている場合がありますので、ご参照ください。 --------------------------------------------------------------------- （3）リバースプロキシツールの調査 --------------------------------------------------------------------- 米CISAなどが公開した共同アドバイザリによると、Volt Typhoonの侵害事案に おいて、被害組織と攻撃者のC2サーバーの間の通信を中継するリバースプロキ シツール（FRPツール）の使用が確認されており、IoC情報が公開されています。 被害組織ごとに同ハッシュ値のツールが見つかるとは限りませんが、調査時の 参考としてください。 参考情報：米CISA公開のIoC情報 https://www.cisa.gov/news-events/analysis-reports/ar24-038a ※同ツールを使った攻撃手法や使われた箇所などの詳細については共同アドバイザリの情報をご参照ください。 参考情報：FRPを使った攻撃の痕跡確認例（※必ずしもVolt Typhoonの攻撃事例ではありません） 株式会社ラック「オープンソースのポート転送／トンネリングツールを悪用する標的型攻撃に注意」 https://www.lac.co.jp/lacwatch/people/20200212_002127.html --------------------------------------------------------------------- （4）SSL-VPN機器などにおけるログ調査や管理者権限アカウントの調査 --------------------------------------------------------------------- ログの調査のほか、各機器にDomain adminなどの管理者アカウントが不適切に 保存されていないかをご確認ください。また当該アカウントが不正に使用され た痕跡がないかご確認ください。詳細な確認方法はご使用の製品機器の開発元 の情報をご確認ください。下記、一部の製品機器の調査時の注意点を示します。 なお、今後、悪用された可能性のある製品の脆弱性情報などについて情報を 更新する可能性があります。情報を確認次第、順次更新します。 ■（a）Fortigate：クラッシュログ有無確認 ------------------------------------ Fortigateについて、米CISAはCVE-2022-42475が初期侵入に悪用されていると 指摘しています。（※攻撃時期は不明） また、Lumen社は2023年夏頃の事案について、Volt Typhoon関連ではないと推 測しています。（※Fortinet社がCVE-2023-27997とVolt Typhoonによる悪用の 可能性について言及したレポートを引用しているものの、当該事案で CVE-2023-27997が悪用されていたかについては不明） 侵害が疑われる時期におけるFortigateのOSのバージョン状況から、 CVE-2022-42475もしくは、CVE-2023-27997悪用の可能性が高いということであ れば、sslvpndのクラッシュログをご確認ください。 JPCERT/CC：FortiOSのヒープベースのバッファーオーバーフローの脆弱性（CVE-2022-42475）に関する注意喚起 https://www.jpcert.or.jp/at/2022/at220032.html Lumen Black Labs：Routers Roasting on an Open Firewall: the KV-botnet Investigation https://blog.lumen.com/routers-roasting-on-an-open-firewall-the-kv-botnet-investigation/ ■（b）Ivanti Connect Secure：Integrity Checker Toolの使用など ------------------------------------ これまでにも複数の注意喚起で示しているとおり、Ivanti社が内部チェック ツールと外部チェックツールを提供しています。ログの保存だけでなく、そも そもログの出力設定が適切になされていない場合、十分な調査ができない可能 性があるため、ご注意ください。 JPCERT/CC：Ivanti Connect SecureおよびIvanti Policy Secureの脆弱性（CVE-2023-46805およびCVE-2024-21887）に関する注意喚起 https://www.jpcert.or.jp/at/2024/at240002.html ■（c）Citrix Netscaler ADC：ログの出力設定の見直し ------------------------------------ Citrix NetScaler製品についても、通信元IPアドレスがログに出力されるかど うかについては出力設定の確認が必要です。設定に不備がある場合は必要な調 査を行えない可能性があります。なお、直近でJPCERT/CCからは2023年7月にリ モートコード実行の脆弱性（CVE-2023-3519）に関する注意喚起を公表してい ますが、本攻撃活動で初期侵入に悪用されたケースが当該脆弱性の悪用による ものだけであると判断はできていません。 Citrix：Ns.log File in /var/log Directory Does Not Log the SOURCE IP Address of Any Client Request Going Through the NetScaler Appliance https://support.citrix.com/article/CTX134939/nslog-file-in-varlog-directory-does-not-log-the-source-ip-address-of-any-client-request-going-through-the-netscaler-appliance JPCERT/CC：Citrix ADCおよびCitrix Gatewayの脆弱性（CVE-2023-3519）に関する注意喚起 https://www.jpcert.or.jp/at/2023/at230013.html ■（d）ManageEngine ADSelfSerivice Plus：侵害検出ツールの実行 ------------------------------------ 米Zoho Corporationは、認証バイパスの脆弱性（CVE-2021-40539）を悪用する 攻撃や侵害を検出するツールを公開しています。詳細は同社が提供する情報を ご確認ください。 ADSelfService Plus ナレッジベース【重要】既知の脆弱性 CVE-2021-40539 について https://www.manageengine.jp/support/kb/ADSelfService_Plus/?p=4222 V. 推奨対策（中長期的な対策） 今後の攻撃に備えて、下記のような対策強化をご検討いただくことを推奨します。 --------------------------------------------------------------------- （1）攻撃の侵入経路になり得るインターネットに接続されたアプライアンス（SSL-VPN等）の設定や運用の点検 --------------------------------------------------------------------- ■（a）稼働状況や設定の確認 「IV. 推奨調査項目（短期的な対応）」で解説のとおり、そもそもログの出力設 定がなされていないまま運用しているケースが多く確認されています。さらには ライセンスが失効したまま稼働させており、脆弱性対応やインシデント対応に おいてメーカーからのサポートが受けられないケースもあります。 自組織やグループ内でどのようなアプライアンスを使用しているのか把握でき ていない組織も見受けられることから、ASM（Attack Surface Management）な どを活用した積極的なアセットの把握も推奨されます。 参考情報：経済産業省「ASM（Attack Surface Management）導入ガイダンス」 https://www.meti.go.jp/press/2023/05/20230529001/20230529001.html ■（b）ログ保存および確認の運用検討 今後の攻撃に備えて、基本的には各種ログの保存項目や保存期間の定期的な見 直しや確認が推奨されますが、保存できるサイズには限度があります。そのた め、例えば「3カ月分しか保存できない」場合、定期的なログチェックを3カ月 に一度行うことで、保存期間の不足を補うことができます。また、年間を通じ て、可能な限りログチェックの頻度を高くすることで、確認漏れを防ぐことも できます。 https://www.jpcert.or.jp/at/2024/at240013_003.png ［図3：ログの保管期間に応じたログチェックの運用イメージ図］ ■（c）脆弱性情報の入手経路の確認 インターネットから直接接続できるSSL-VPN機器やネットワーク機器などのアプ ライアンスについて、脆弱性情報の入手方法や対応体制の確立を推奨します。 こうした機器については、メーカーからの脆弱性情報が直接エンドユーザーに 届かないケースや、代理店などを経由して伝達が遅延するケースもあるため、 可能な限り速やかに重要な脆弱性情報を入手できるよう、伝達経路や確認方法 の見直しを行ってください。また、脆弱性情報を入手した後、速やかに対策や 回避策の適用などの判断や対応ができるよう、運用保守を担当する組織やグルー プの中での対応体制の確認を推奨します。 --------------------------------------------------------------------- （2）Active Directoryの各種ログ保存設定の見直し、侵害兆候に関するアラート設定等の導入 --------------------------------------------------------------------- Active Directoryの各種ログの保存設定を見直し、侵害兆候である可能性があ るイベントを早期検知する仕組みなどの導入の検討を推奨します。 参考情報：Microsoft Active Directory のセキュリティ保護に関するベスト プラクティス https://learn.microsoft.com/ja-jp/windows-server/identity/ad-ds/plan/security-best-practices/best-practices-for-securing-active-directory 参考情報：JPCERT/CC ログを活用したActive Directoryに対する攻撃の検知と対策 https://www.jpcert.or.jp/research/AD.html 高度サイバー攻撃への対処におけるログの活用と分析方法 https://www.jpcert.or.jp/research/apt-loganalysis.html ツール分析結果シート https://jpcertcc.github.io/ToolAnalysisResultSheet_jp/ --------------------------------------------------------------------- （3）管理者権限の棚卸し --------------------------------------------------------------------- インターネットから直接接続できるSSL-VPN機器やネットワーク機器などのアプ ライアンスについて、不要な管理者アカウントや管理者権限を有するユーザーが 残留していないかご確認ください。また、不要な管理者アカウントや権限が存在 している場合、アカウントや権限の削除を行い、管理者権限は最小限で運用する ようご検討ください。 VI. 参考情報 SecureWorks（2023年5月24日公開） Chinese Cyberespionage Group BRONZE SILHOUETTE Targets U.S. Government and Defense Organizations https://www.secureworks.com/blog/chinese-cyberespionage-group-bronze-silhouette-targets-us-government-and-defense-organizations Microsoft（2023年5月24日公開） Volt Typhoon targets US critical infrastructure with living-off-the-land techniques https://www.microsoft.com/en-us/security/blog/2023/05/24/volt-typhoon-targets-us-critical-infrastructure-with-living-off-the-land-techniques/ CISA（2024年2月公開） AA24-038A:PRC State-Sponsored Actors Compromise and Maintain Persistent Access to U.S. Critical Infrastructure https://www.cisa.gov/news-events/cybersecurity-advisories/aa24-038a Palo Alto Networks Unit 42（2024年2月公開） Threat Brief: Attacks on Critical Infrastructure Attributed to Insidious Taurus (Volt Typhoon) https://unit42.paloaltonetworks.com/volt-typhoon-threat-brief/ 今回の件につきまして提供いただける情報がございましたら、JPCERT/CCまで ご連絡ください。 ====================================================================== 一般社団法人JPCERTコーディネーションセンター（JPCERT/CC） 早期警戒グループ Email：ew-info@jpcert.or.jp -----BEGIN PGP SIGNATURE----- iQIcBAEBCAAGBQJmel94AAoJEDoQgdvpn3qqtUsQAKIXlx75Luoy/CoExtvBb0sF 48j2EeaP80qsG5WoTDv4R6gQ7fls3CdMiNBRI8fWY8I34MD9XeupZYcjnPtL8F1C nejJXpgQWEI+4/O/mzbaMEtKhqX7qMgZVkty8+w4x1aeHjPV+DnMqAuKzI55pOCn Jo63mmYWB8xkP1lfjkGe0lUMkJPUwXPFDkXMwjyHA0pw9tQ0ufURGvil4+ZfEAL9 Gg3K9+a6/q+IMkdWnVQbOCPcHvjpaYwIiBHplDHdZLt66PIxOWvBHIQX3qNsTBLz aaNq0gNaL2iZLPD50ZwBE7FPNeX8E+fdPXOUszqwjuusPvhrxFsixOLUTiC8Z61d c5uvwOS3MEU3j5qU1CowgA7xlY46FFTzFZJ3VSsUNY8pG73ZXG4Od6fPyCh0h/Qp L15sajFxkEUONePnvUUwOFf3yo3HaR+DirI2J9myNjq2L4drUOU+vqrXkKDvlxPc 6Icpv5KtvQixrcyps5CKjVPsIp75MHWD3u9a3caVT6xd9JE4h+aJxs+m/3KYMmsc BKhL1GFYzV6TjSykvV2q6qs4TEeMTw9ipQDh4hqSjEqoRdrnTsopzO1pEET8Hctt +jDQB9stLyNAXLKWI8fqxgLEnlcXOPM+QJ6u/h/LOA49E2blbiQhDnizbYaf9CSx YRJiIjkmmx2YJkUCtRGq =dPAK -----END PGP SIGNATURE-----