FiligranがOpenAEVでSalt Typhoonシナリオを構築した方法

Salt Typhoon(Earth EstriesまたはGhost Emperorとも報告されている)は、持続的なスパイ活動キャンペーンとLiving-Off-the-Land Binaries(LOLBins)の広範な使用で知られるAPTです。
Filigranでは、検知の評価、予防、XDRレジリエンスの強化を目的として、これらのTTPsを制御されたシナリオとして、当社のシミュレーションプラットフォームであるOpenAEVで再現しました。
本記事では、すべてのFiligranユーザー向けにXTM Hubで事前構築コンテンツとして提供されているこの特定シナリオを、どのように調査、設計、サニタイズ、検証したかを説明します。

TL;DR

• Salt TyphoonはLOLBins、永続化、控えめなデータ流出技術に依存しています。
• Filigranは公開されたTTPsを安全で非破壊的なOpenAEVシナリオに変換しました。
• ペイロードはカスタマイズ可能で、トレーサビリティのためにMITRE ATT&CKにマッピングされています。
• テストは隔離されたラボ環境で実行され、XDR、SIEMの予防と検知を検証するアサーションが含まれています。

Salt Typhoonの理解

脅威の背景

Salt Typhoon(別名:Earth Estries / Ghost Emperor / UNC2286)は、政府や通信関連のターゲットに対して長期的な侵入を実施しているAPTです。

これらのキャンペーンでは、広範な偵察、living-off-the-landツールへの依存、慎重に段階化された永続化とデータ収集フェーズが見られます。

情報源とインテリジェンス収集

シナリオ設計は、Trend Microの技術分析やVaronisの脅威サマリーなどの公開レポートから始めました。

これらのレポートから、wmicによるリモート実行、アーカイブユーティリティのパッケージング利用、C:\\ProgramData配下に配置されるスクリプト、内部ログへの標的型アクセスといった反復的な挙動を抽出しました。

これらの挙動をエミュレートすべきシグナルとして扱い、マルウェアの成果物そのものではなく挙動を対象としました。

(参照:Trend Micro、Varonis)

TTPsをOpenAEVペイロードに変換

エミュレーションの目的

正規のシステムツールによる横方向の実行、一般的な書き込み可能な場所へのアーティファクトの配置、段階的な収集といった攻撃者の挙動パターンを再現することを目指しましたが、破壊的なアクションは一切行わないようにしました。

例1:WMICベースの実行チェーン

レポートでは、Salt Typhoonがwmic process call create "cmd.exe /c <script>"を使用してホスト上でスクリプトを実行していることが示されています。

私たちは挙動を再現しましたが、有害なアクションを観察可能で無害なマーカーに置き換えました:

このテンプレートは、未知のペイロードを実行する代わりに、マーカーファイルとログを書き込みます。XDRが検出すべき同じテレメトリのフットプリント(cmdを介したプロセス生成、ProgramDataへのアクセス、ファイル読み取り)をトリガーします。

ペイロードの設計原則

• 非破壊的:実際のデータ流出や破壊的な変更は決して行わない。
• パラメトリック:変数(#{file}、#{artifact_dir})を使用して、さまざまなターゲットイメージにペイロードを適応させる。
• 無害:ペイロードは副作用なく再実行できるよう安全でなければならない。
• 前提条件:セットアップとペイロードの自動化を容易にするために、前提条件のチェックと取得が可能。
• クリーンアップ:各ペイロードは実行後にクリーンアップして、エンドポイントにアーティファクトを残さない。
• ノイズ制御:現実的なタイミングをシミュレートし、ステップを時間枠に分散させる。
• サニタイズ:公開アーティファクト用にIP、ドメイン、キーをプレースホルダーに置き換える。

MITRE ATT&CKマッピング

トレーサビリティのために、すべてのペイロードをMITRE ATT&CKにマッピングしました:

• T1059.001 — Command and Scripting Interpreter(cmd.exe、wmic)
• T1105 — Ingress Tool Transfer(アーカイブと転送挙動、シミュレーション)
• T1078 — Valid Accounts(承認されたツールの使用と永続化パターンを介して模倣)

例2:ビーコンのマスカレードと実行の模倣

Trend Microのレポートでは、Cobalt Strike Beaconを隠すためにcabファイルを使用するいくつかのパスが確認されました:

出典: https://www.trendmicro.com/en_us/research/24/k/breaking-down-earth-estries-persistent-ttps-in-prolonged-cyber-o.html

以下の図は、Trend Microの調査に基づくSalt Typhoonの最初の攻撃チェーンを示しています:

出典: https://www.trendmicro.com/en_us/research/24/k/breaking-down-earth-estries-persistent-ttps-in-prolonged-cyber-o.html

この情報を基に、同じロジックを再現しましたが、Cobalt Strike beaconを隠す代わりにOpenAEVエージェントを隠し、同じパスを使用しました:

その他の例

同じ論理シーケンスでOpenAEVに他のペイロードも開発しました:

ここで、HOSTNAMEは変数であり、希望するものに設定できます。デフォルトではループバック(127.0.0.1)に向かっており、EDRおよびSIEMによって検知されるはずです。

すべてのペイロードを連鎖させる

すべてのペイロードを段階的に作成し、それらを連鎖させました。

Salt Typhoonの手法に従い、現在OpenAEVで実装しているシナリオを明確に示すため、次の図を作成しました。

CVEについて

Salt Typhoonは、他の多くの脅威アクターと同様に、攻撃パスの他のステップに移る前に、被害者への初期アクセスを得るために脆弱性を利用します。この脅威アクターは、特定のCiscoの脆弱性を組み合わせてGREトンネル(IPSEC VPNのような)を構築し、内部リソースにアクセスすることで知られています。その他の既知の脆弱性には、Microsoft Exchange サーバーを標的とするProxy Shellが含まれます。

この調査に基づき、これらをサポートするNucleiテンプレートに基づいて、OpenAEVにCVEチェックを追加しました:

これらのテンプレートは、エージェントレスのNuclei Injectorを通じて、内部または外部のリモートエンドポイントの脆弱性をチェックするために使用できます。脆弱性が見つかった場合、次のように表示されました:

どのアセットが脆弱であるかを確認し、実行の詳細を表示し、CVEとその修復に関する詳細情報にアクセスできました。

テスト、検証、学んだ教訓

安全性チェック

すべてのシナリオは、スナップショットとVLANセグメンテーションを備えた隔離されたラボ内で実行されました。

各テスト実行では、クリーンなVM状態を使用し、フォレンジック収集のための計装が行われました。

アサーションとテレメトリの検証

OpenAEVシナリオには、予期されるアーティファクトを検証するアサーションが含まれています:脆弱性のあるアセット(CVE)、マーカーファイルの存在、生成されたログ、EDRテレメトリイベント。

EDRシグナル(プロセス作成、コマンドライン引数、ファイルI/O、アーカイブ操作)を検証し、検知ルールへのマッピングを確認しました。

反復と調整

EDRが検知しない場合、誤設定されているか、これらの新しい攻撃技術に対応していない可能性があります。

OpenAEVの最新AI機能により、特定のEDRに合わせてカスタマイズされた検知ルールを提供することで、セキュリティポスチャを改善できます。

これを行うには、ルールを作成するセキュリティプラットフォームを選択し、「Use Ariane」をクリックします:

セキュリティとコンプライアンス

すべての公開例をサニタイズしました。実際のレポートのアーティファクト(機密IP、正確なマルウェアサンプル)は、公開テンプレートには含まれていません。

まとめ

OpenAEVでSalt Typhoonの挙動を再現することで、Filigranはliving-off-the-land実行、永続化配置、段階的なデータ収集に対する検知カバレッジをテストできました。
重要なポイント:マルウェアではなく挙動をエミュレートし、ペイロードを安全でパラメトリックに保ち、ステップをMITRE ATT&CKにマッピングし、明確なアサーションを備えた隔離されたラボで検証します。
これらの実践により、EDR検知とアナリストの対応準備を向上させる再現可能なシナリオが得られます。

XTM Hubの事前構成シナリオ

内部テストのためにこのATPをシミュレートすることに興味がある場合は、XTM Hubから無料で事前構成およびサニタイズされたシナリオパッケージをダウンロードできます。
https://hub.filigran.io/app
ぜひご利用いただき、ご質問があれば当社のSlackコミュニティチャンネルでお気軽にお尋ねください!