ITG関連グループの手口を7カ国が分析
国家サイバー統括室（NCO）と警察庁は10月9日、中国を拠点とする企業「永信至誠科技集団（ITG）」が支援するサイバー攻撃グループについて、国際アドバイザリー（注意喚起文書）を公表しました。米国が作成した文書に、日本、米国、英国、豪州、カナダ、スペイン、ニュージーランドの7カ国が共同署名しています。
勧告は、ITGと、同社のツールを利用するグループの戦術や侵害指標を分析し、組織が攻撃を検知・緩和するための情報をまとめています。技術分析は、ITGに関連する複数のFBI捜査で収集、観測された証拠に基づいています。
攻撃グループは、大規模なボットネット、VPN、LOTL（Living-Off-The-Land）、CNE（コンピューターネットワーク侵害）ツールを組み合わせます。CNEはネットワークに侵入して情報を得る活動で、勧告は機密データの窃取を目的とする活動として説明しています。
複数の手段で侵入し、情報を集める
勧告によると、攻撃者はポートスキャンツールや脆弱性スキャンツール「MicroScan」を使い、公開されたシステムなどを調べます。Microsoft Exchangeを標的にするパスワード攻撃ツール「EBurst」も挙げられています。
初期侵入には、既知の脆弱性の悪用やクロスサイトスクリプティング（XSS）が使われます。勧告の対象脆弱性には、GNU BashのCVE-2014-6278、ProFTPDのCVE-2015-3306など、複数の製品に関するものが含まれます。
侵入後はVPNソフトウェアを使ってアクセスを維持し、スクリプトなどでメールや認証情報を収集・持ち出す手法が記載されています。標的には米国の政府関連サービス、重要製造業、医療・公衆衛生、情報技術のほか、法執行機関や教育機関なども含まれます。
正規の管理ツールに紛れるLOTL
LOTLは、OSに標準搭載された管理ツールやコマンドを攻撃に転用する手法です。別の中国政府支援型攻撃者を扱ったCISAなどの2023年勧告は、こうした操作が通常のWindows管理作業に紛れ、外部ツールの導入を検知するセキュリティ製品の警告を避けたり、既定のログに残る活動を減らしたりする場合があると説明しています。
同勧告では、WMIC、Ntdsutil、netsh、PowerShellが利用例として挙げられています。これらは正規の管理にも使われるため、コマンドが見つかっただけで悪意ある活動と決めつけず、システムの通常の挙動などと照らして調べる必要があります。
ITG関連グループについて今回の勧告は、正規機能を悪用するLOTLを、ボットネットやVPNなどと組み合わせる手口として挙げています。管理ツールや標準コマンドが不審な権限や想定外の用途で実行されていないかを監視し、コマンドラインの引数やファイアウォールログも確認するよう促しています。
勧告が示す防御策
NCOと警察庁は、アドバイザリーが組織向けに22項目の緩和策を示していると説明しました。主な対策は、使っていないサービスやポートの無効化、脆弱性への迅速なパッチ適用、Webアプリケーションへの入力値の無害化です。
また、ID・認証情報・アクセス管理（ICAM）の方針を導入し、可能な範囲で各サービスに多要素認証を適用するよう勧めています。これらは侵入経路や認証情報の悪用を防ぐために挙げられた対策です。
LOTLへの対応では、通常の管理作業と攻撃者の操作を区別するため、実行時の権限や用途を継続して監視することが勧告されています。既知の脆弱性への更新と不要なサービスの停止も含め、複数の対策を組み合わせる内容です。
