中国で国家的に支援されているハッカーグループである TAG-112 が最近、チベットのコミュニティサイト2つを攻撃し、Cobalt Strikeマルウェアを配布したことが判明されました。TAG-112は、チベットの民主主義メディアである「Tibet Post」と大学である「Gyudmed Tantric University」のウェブサイトに侵入し、悪意のあるJavaScriptを埋め込み、ウェブサイトの訪問者にTLS証明書エラーを装ってセキュリティ証明書をダウンロードするように誘導しました。今回の記事では、Cobalt Strikeを使用したTAG-112のマルウェア配布の手口と攻撃に使用されたドメインをCriminal IPで分析し、よくある質問を中心に対応方法を提示します。
重要ポイント（Key Takeaways）
Cobalt Strikeを使用した TAG-112の今回の攻撃は、合法的なペンテストツールを悪用し、ウェブサイトの脆弱性を悪用して証明書に偽装し、ユーザーに直接マルウェアをダウンロードさせる典型的なソーシャルエンジニアリングの手口を見せています。今回の攻撃は、合法的なツールを媒介にして区別が難しくなる高度化されたハッキング手法を反映すると同時に、増加するウェブサイトの脆弱性セキュリティの必要性を強調します。自社のウェブサイトを守るためには、攻撃対象領域管理と脅威インテリジェンスの導入など、先制的なセキュリティ対策を講じ、運営するサイトのセキュリティを強化する必要があります。
TAG-112 がマルウェア配布のために使った攻撃戦略の分析
CMSサービスであるJoomlaの脆弱性を利用してCobalt Strikeマルウェアを配布
今回の攻撃で TAG-112は、Joomlaのコンテンツ管理システム（CMS）の脆弱性を利用して悪質なJavaScriptファイルをアップロードしたと思われます。このスクリプトは、Windowsオペレーティングシステムと特定のブラウザの互換性を確認した後、TAG-112のコマンド＆コントロール（C2）ドメインである update[.]maskrisks[.]com との接続を試みます。ユーザーがダウンロードを開始すると、Cobalt Strikeがインストールされ、Cobalt Strikeはセキュリティ専門家が主に使用するツールですが、攻撃者によってリモートアクセスやコマンド実行に悪用されます。
クラウドフレアを使用してIPアドレスを隠蔽、C2サーバーに接続されたマルチドメインで活動する
TAG-112は、Cloudflareを使用してサーバーのIPアドレスを隠すなど、高度なインフラ隠蔽技術を活用しています。当グループのC2サーバーに接続された複数のIPアドレスは2024年3月から活動を開始し、主要ドメインである maskrisks[.]com はNamecheapを通じて登録されました。また、mail.maskrisks[.]com や checkupdate[.]maskrisks[.]com などのサブドメインが追加され、運用の柔軟性を高めています。このように、ハッカーが攻撃の安定性のためにC2サーバーに接続された複数のIPアドレスとサブドメインを使用して検出を回避しようとする試みはよく見られます。この時、生成されたサブドメインは通常、数が多いため把握が難しいですが、脅威インテリジェンスを使用すると、接続されたドメインを効果的に把握することができます。
TAG-112 の攻撃に悪用されたドメインの関連性をCriminal IPで分析する
今回の攻撃で使用された主なドメインは maskrisks[.]com であり、TAG-112のコマンド＆コントロール（C2）ドメインである update[.]maskrisks[.]com と、前述した mail.maskrisks[.]com と checkupdate[.]maskrisks[.]com などのサブドメインも使用されました。Criminal IPを通じて、これらのドメインの脅威要素の関連性を分析してみましょう。以下は、それぞれのアドレスに対応するドメイン検索のレポートへのリンクです。
- maskrisks[.]com：https://www.criminalip.io/ja/domain/report?scan_id=16861653
- update[.]maskrisks[.]com：https://www.criminalip.io/ja/domain/report?scan_id=16862332
- checkupdate[.]maskrisks[.]com：https://www.criminalip.io/ja/domain/report?scan_id=16862225
3つのドメインに共通する点をまとめると、次のようになります。
まず、レポートの概要部分の左側にある各ドメインのフィッシングURLの確率は、いずれも99%を超える高い数値が確認されました。また、HTMLとファビコンから脅威の疑いのある要素が発見されることもあり、危険なドメインであることが分かります。
レポート下部のドメインの詳細情報から、ドメインはすべて共通して2024年3月18日に作成され、NameCheapによって登録されたことが確認できます。接続されたIP情報から、各ドメインは 104[.]21[.]x[.]xx と 172[.]67[.]xxx[.]xxx など、Cloudflarenet所有のIPアドレスが1つまたは2つほどあることが確認されます。
このうち1つのIPアドレスのIT資産検索レポートを見ると、そのIPアドレスの悪用履歴が2024年に2件、2021年に1件、合計3回で、接続されたドメインが29個あることが確認できます。また、実IPの情報を確認すると、当IPアドレスで何度も隠蔽の試みがあったことが分かります。
Cobalt Strikeマルウェアに感染したC2サーバーのIPアドレスを特定する
Criminal IPのIT資産検索でCobalt Strikeに関連する資産を検索してみましょう。
Query: tag: “Cobalt Strike”
前にも強調したように、Cobalt Strikeは合法的なツールであるにもかかわらず、攻撃者の検知を回避するための悪用事例が継続的に発見されている潜在的な脅威要素です。さらに、TAG-112 の攻撃事例で確認されたように、Cobalt Strikeを利用して配布されたマルウェアがC2サーバーと連携され、悪用されると、攻撃者がリモート操作をすることが可能になります。この時、Criminal IPを使用すると、Cobalt Strikeが配布したマルウェアに感染したC2サーバーを簡単に特定することができ、Criminal IPのAPIをファイアウォールなどのセキュリティ機器に連動すると、Cobalt Strikeマルウェアに感染したC2 IPアドレスを自動的に遮断することもできます。
FAQ（よくある質問）
Q1. Cobalt Strikeとは何ですか？
Cobalt Strikeは、商用のペンテストを目的として設計されたツールですが、すでに複数のランサムウェアグループによって悪用され、国のセキュリティレベルの被害まで残した履歴があります。そのため、ハッキングやフィッシング攻撃の脅威要素とみなされることも多いです。悪用する際、ハッカーは主にボットネットでCobalt Strikeマルウェアを配布し、その後ランサムウェアとPC感染攻撃を行います。
Q2. TAG-112 はどのようなハッカーグループですか？
TAG-112は、中国の国家的支援を受けるハッキンググループで、今回のチベットウェブサイト攻撃をきっかけに外部に知られた新興組織と把握されます。TAG-112は、TAG-102（Evasive Panda）と構造と様々な動作特性を共有しており、これは両グループが中国政府のチベットやその他の少数民族の監視に対する継続的な関心と関連していると思われます。TAG-102は自らカスタマイズしたマルウェアとコード難読化技術を使用している一方、TAG-112はCobalt Strikeのような商用ツールを使用しているため、TAG-112は比較的経験の浅いEvasive Pandaのサブグループと見なされています。
TAG-112に関する情報は、Criminal IPのハッキンググループ（Actors）ページでの検索機能を利用して調べることができます。（プロプラン以上対応）以下はTAG-112の要約カードで、クリックすると詳細レポートでTAG-112と関連したIOC、TTP、IOA、CVE情報などを確認することができます。
- IOC（Indicator of Compromise）：悪意のある活動を示す指標や痕跡
- TTP（Tactics、Techniques、Procedures）：サイバー攻撃で使用される戦略、手法、手順
- IOA（Indicator of Attack）：攻撃が進行中であることを示す指標
- CVE（Common Vulnerabilities and Exposures）：セキュリティの脆弱性に対する固有の識別子
Q3. 自社のウェブサイトをCobalt Strike攻撃から守るために、どのようなセキュリティ対策を講じることができますか？
Cobalt Strikeなど、広く使われている商用ツールとウェブサイトの脆弱性を利用した攻撃を予防するには、保有資産の「攻撃対象領域（Attack Surface）」を管理することが重要です。攻撃対象領域とは、インターネットに公開され、外部攻撃経路となる可能性のあるすべての組織のデジタル資産の脆弱性を指します。つまり、「攻撃対象領域管理（ASM、Attack Surface Management）」とは、特定の組織の攻撃対象領域を把握し、管理することを意味します。
その際、攻撃対象領域管理ソリューションの導入は、少ないセキュリティ人材で攻撃対象領域の把握・管理を実現できる現実的なセキュリティ方法です。IBMの2024年データ公開レポートによると、攻撃対象領域管理ソリューションを他のソリューションと一緒にワークフローに適用した組織は、そうでない組織より平均2.2百万ドル（約3.4億円）規模のコストを削減しました。セキュリティ要員が不足している組織の半分以上が、データ流出を経験した際に発生する追加コストが平均1.76百万ドル（約2.7億円）であることを考慮すると、攻撃対象領域管理は、組織のセキュリティギャップを埋めることができ、コスト面でも十分な投資価値があるオプションであることを指します。Criminal IPの攻撃対象領域管理（ASM）ソリューションは、AIと機械学習技術を適用し、企業や組織の攻撃対象領域の分析とモニタリングを自動化し、その精度を高める独自の仕組みを備えています。
Q4. CloudflareなどのサービスでIPアドレスを隠す場合、どのように確認できますか？
疑わしいIPアドレスをCriminal IPのIT資産検索で検索した後、レポートの「サマリー」の「インテリジェンス」で「実IP」を確認することができます。バイパスに使用されるIPアドレスであれば、そのデータが「True」と表示され、マウスホバーすると、実際のIPアドレスとして把握されるIPアドレスのリストを確認することができます。
まとめ
TAG-112は中国の支援を受けて活動するハッキンググループであり、最近の攻撃に次のような複合的な戦略を使用しています。
- 合法的なペンテストツールであるCobalt Strikeの悪用
- CloudFlareを使ったIPアドレスの隠蔽
- CMS（コンテンツ管理システム）の脆弱性を悪用
- TLSなどのセキュリティ証明書を偽装（ソーシャルエンジニアリング手法の使用)
TAG-112攻撃に使用されたドメインを分析した結果、ウェブサイトのセキュリティを強化するためには、攻撃対象領域管理と脅威インテリジェンスの導入など、先制的なセキュリティ対策を講じる必要があります。
関連してコバルトストライク・ランサムウェア：軍ドキュメントのダークウェブ流出の原因をご参照ください。
当レポートはサイバー脅威インテリジェンス検索エンジン「Criminal IP」のデータに基づいて作成されました。只今Criminal IPの無料アカウントを作成し、レポートに引用された検索結果の確認やより膨大な脅威インテリジェンスを自由に検索いただけます。
データの提供：Criminal IP（https://www.criminalip.io/ja）
ご参照：
