Last Updated on 2024-07-18 22:06 by admin
未知の脅威アクターが、世界中の政府機関や民間セクターを対象に、オープンソースツールを利用したサイバー攻撃キャンペーンを展開していることが観察された。この活動は、Recorded FutureのInsikt Groupによって一時的にTAG-100と名付けられ、アフリカ、アジア、北米、南米、オセアニアの少なくとも10カ国の組織が侵害された可能性があると指摘されている。これには、名前が明かされていない2つのアジア太平洋地域の政府間組織も含まれる。
2024年2月以降、カンボジア、ジブチ、ドミニカ共和国、フィジー、インドネシア、オランダ、台湾、イギリス、アメリカ、ベトナムにある外交、政府、半導体サプライチェーン、非営利、宗教団体が特定された。TAG-100は、オープンソースのリモートアクセス機能を使用し、インターネットに接続された様々なデバイスの脆弱性を悪用して初期アクセスを得る。このグループは、オープンソースのGoバックドア「Pantegana」と「Spark RAT」を活用している。
攻撃チェーンには、Citrix NetScaler、F5 BIG-IP、Zimbra、Microsoft Exchange Server、SonicWall、Cisco Adaptive Security Appliances ASA、Palo Alto Networks GlobalProtect、Fortinet FortiGateなど、インターネットに接続された製品に影響を与える既知のセキュリティ上の欠陥の悪用が含まれる。また、少なくとも15カ国の組織が所有するインターネットに面した機器に対する広範囲な偵察活動が行われていることも観察された。
2024年4月16日から、TAG-100は主にアメリカに拠点を置く教育、金融、法律、地方政府、公共事業部門の組織のPalo Alto Networks GlobalProtectアプライアンスを対象とした偵察および悪用活動を行った。これは、Palo Alto Networks GlobalProtectファイアウォールに影響を与える重大なリモートコード実行の脆弱性CVE-2024-3400の公開と同時期のことである。成功した初期アクセスの後、侵害されたホストにはPantegana、Spark RAT、Cobalt Strike Beaconが展開される。この発見は、PoC（概念実証）の悪用とオープンソースプログラムを組み合わせて攻撃を仕掛けることで、技術的にあまり高度ではない脅威アクターの参入障壁を下げることができることを示している。さらに、このような手法は、帰属を複雑にし、検出を回避することを可能にする。
【ニュース解説】
未知の脅威アクターが、オープンソースツールを駆使して世界中の政府機関や民間セクターを狙ったサイバー攻撃キャンペーンを行っていることが明らかになりました。この活動は「TAG-100」という一時的な名称で、Recorded FutureのInsikt Groupによって追跡されています。この脅威アクターは、アフリカ、アジア、北米、南米、オセアニアの少なくとも10カ国にある組織を標的にしており、その中には2つのアジア太平洋地域の政府間組織も含まれています。
TAG-100は、オープンソースのリモートアクセスツールや、インターネットに接続されたデバイスの既知の脆弱性を悪用することで、初期アクセスを確立しています。具体的には、Go言語で書かれたバックドア「Pantegana」と「Spark RAT」を使用し、その後の攻撃活動に利用しています。
この攻撃キャンペーンでは、Citrix NetScaler、F5 BIG-IP、Zimbra、Microsoft Exchange Server、SonicWall、Cisco ASA、Palo Alto Networks GlobalProtect、Fortinet FortiGateなど、多くのインターネットに接続された製品が標的にされています。これらの製品に存在する既知のセキュリティ上の欠陥を悪用することで、攻撃者は組織のネットワーク内に侵入し、さらなる悪意ある活動を展開することが可能になります。
また、TAG-100は、少なくとも15カ国にある組織のインターネットに面した機器に対して広範囲な偵察活動を行っており、特にアメリカに拠点を置く教育、金融、法律、地方政府、公共事業部門の組織が標的にされています。これは、Palo Alto Networks GlobalProtectファイアウォールに影響を与える重大なリモートコード実行の脆弱性CVE-2024-3400の公開と同時期に行われたものです。
このような攻撃キャンペーンの展開は、PoC（概念実証）の悪用とオープンソースプログラムの組み合わせによって、技術的にあまり高度ではない脅威アクターでも攻撃を行うことが可能になるという点で注目されます。また、オープンソースツールの使用は、攻撃の帰属をより複雑にし、検出を回避することを容易にします。
この攻撃キャンペーンは、インターネットに接続されたデバイスのセキュリティがいかに重要であるかを改めて浮き彫りにしています。組織は、使用している製品のセキュリティパッチを常に最新の状態に保ち、不正アクセスを検出するための監視体制を強化する必要があります。また、オープンソースツールの利用が増える中で、これらのツールが悪用されるリスクに対する認識を高め、適切な対策を講じることが求められます。
from TAG-100: New Threat Actor Uses Open-Source Tools for Widespread Attacks.
