PowerDrop マルウェア
米国の航空宇宙産業が、新たに発見された PowerDrop として知られる PowerShell ベースのマルウェアを使用する正体不明の悪意のある攻撃者の標的となっています。サイバーセキュリティ研究者らによる報告書では、PowerDrop が欺瞞、エンコード、暗号化などの高度な手法を利用して検出を回避していることが明らかになりました。 2023 年 5 月、非公開の米国航空宇宙防衛請負業者のシステム内にマルウェアが埋め込まれていることが発見されました。
PowerDrop の脅威となる機能は、最初のアクセスを超えて、脅威がエクスプロイト後のツールとして機能することを可能にします。これは、攻撃者が別の方法で被害者のネットワークに侵入すると、PowerDrop が導入され、侵害されたシステムから貴重な情報が収集されることを意味します。その主な目的は、機密データを抽出し、被害者のネットワーク内で監視を行うことです。この脅威の詳細は、Adlumin の情報セキュリティ専門家によって公開されました。
PowerDrop マルウェアは正規のプロセスとシステムを悪用します
このマルウェアは、コマンド アンド コントロール (C2) サーバーとの通信を確立する手段として、インターネット コントロール メッセージ プロトコル (ICMP) エコー要求メッセージを利用します。これにより、マルウェアが悪意のある操作を開始できるようになります。
ICMP エコー要求メッセージを受信すると、C2 サーバーは暗号化されたコマンドで応答し、そのコマンドは侵害されたホスト上でデコードされて実行されます。実行された命令の結果を抽出するために、同様の ICMP ping メッセージが使用されます。
特に、PowerShell コマンドの実行は、Windows Management Instrumentation (WMI) サービスを利用することで容易になります。この選択は、敵が合法的なシステム プロセスを利用して検出を回避することを目的として、土地を離れて生活する戦術を意図的に使用していることを示しています。
この脅威の中核構造は本質的に複雑な設計を持っていない可能性がありますが、疑わしいアクティビティを隠蔽し、エンドポイント セキュリティ防御による検出を回避するその能力は、より高度な攻撃者の関与を示唆しています。
脅威アクターは複数の方法を使用して個人および企業のネットワークに侵入します
脅威アクターはさまざまな方法やテクニックを使用して企業システムに侵入し、組織のセキュリティ インフラストラクチャ内の脆弱性や弱点を悪用します。これらの侵入手法は多様かつ洗練されており、防御を回避して機密情報に不正にアクセスすることを目的としています。一般的な方法には次のようなものがあります。
- フィッシングとソーシャル エンジニアリング:攻撃者は、フィッシング メールや電話などの欺瞞的な戦術を使用して、従業員をだましてログイン資格情報や個人情報などの機密情報を漏らすことがあります。ソーシャル エンジニアリング技術は、個人を操作して企業システムに不正にアクセスできるようにします。
- マルウェアとエクスプロイト:攻撃者は、悪意のある電子メールの添付ファイル、感染した Web サイト、侵害されたソフトウェアなど、さまざまな手段を通じて企業システムに第 1 段階のマルウェアを導入する可能性があります。ソフトウェアやシステムの脆弱性を悪用することで、攻撃者は不正なアクセスを取得し、重要なインフラストラクチャを制御できるようになります。
- サプライ チェーン攻撃:脅威アクターは、セキュリティ対策が弱いサードパーティ ベンダーやサプライヤーをターゲットにし、システムの脆弱性を悪用して企業ネットワークへのアクセスを取得する可能性があります。内部に入ると、横方向に移動して権限を昇格させることができます。
- ブルートフォース攻撃:攻撃者は、正しい資格情報が見つかるまでユーザー名とパスワードの多数の組み合わせを系統的に試し、企業システムへのアクセスを試みる可能性があります。
- リモート デスクトップ プロトコル (RDP) 攻撃:脅威アクターは、公開された RDP ポートをターゲットにして、企業システムへの不正アクセスを取得します。脆弱なパスワードや RDP ソフトウェアの脆弱性を悪用してネットワークを侵害する可能性があります。
- ゼロデイエクスプロイト:ゼロデイ脆弱性とは、開発者がパッチを適用する前に脅威アクターが発見する未知のソフトウェアの脆弱性を指します。攻撃者はこれらの脆弱性を悪用して企業システムに不正アクセスする可能性があります。
脅威アクターは継続的に技術を進化させ、企業システムに侵入するための新しい方法を採用しています。そのため、組織はこれらの侵入の試みから保護するために、定期的なソフトウェアの更新、従業員のトレーニング、ネットワークのセグメンテーション、侵入検知システム、堅牢なアクセス制御などの包括的なセキュリティ対策を実装する必要があります。
