ケーススタディ:OpenCTIを活用したフィッシング攻撃の調査
すべては、OpenCTI/BASのGitHub issueに作成後数秒から数分以内に追加されたいくつかの不審なコメントから始まりました。これらの疑わしい活動が私たちの注意を引き、OpenCTIを使用した詳細な調査に乗り出すことになりました。今回は靴屋が自分の靴を履いています。
このケーススタディでは、調査プロセスを通じた私たちの取り組みを詳しく説明し、このフィッシング攻撃に関する貴重な洞察を明らかにするためにOpenCTIをどのように活用したかを強調します。
最初の観察
最初の危険信号は、OpenCTIとOpenBASのリポジトリのGitHub issueに異常なコメントが表示されているのに気付いたときに発せられました。これらのコメントは、新しいissueの作成後、驚くほど迅速に投稿されており、その真正性について疑念が生じました。
以下は、私たちが観察した疑わしいメッセージの例です:
OpenCTI issueで観察された疑わしいメッセージ
OpenCTI Connector issueで観察された疑わしいメッセージ
OpenBAS issueで観察された疑わしいメッセージ
調査の目的
これらの疑わしい活動を踏まえ、私たちは以下の主要な質問に答えることを目指しました:
- これらのコメントは本当に悪意のあるものなのか、それとも単に異常なだけなのか?
- これはFiligranのリポジトリと組織に対する標的型攻撃なのか?
- これらの活動の背後にいるのは誰か?
- 関与している攻撃者の動機は何か?
これらの目的を念頭に置き、私たちはOpenCTIを使用して、これらの疑わしいコメントの背後にある真実を明らかにする調査を開始しました。
調査プロセス
1. GitHubアカウントの分析
最初のステップは、これらのコメントの責任者であるGitHubアカウントを調査することでした。興味深いことに、これらのアカウントは、コメントが公開された後の短い時間だけアクセス可能であることがわかりました。その後のアクセス試行では404エラーが発生し、アカウントが使用後すぐに削除されていることが示唆されました。
しかし、インターネットアーカイブからいくつかの情報を取得することができました。これらのアカウントの一部には最近の活動があり、ほとんど空のリポジトリがいくつかあることを発見しました。例えば:
- 「Wanderx13」アカウントには、ポルトガル語のリポジトリ名があり、学校のプロジェクトに関連しているようでした(??)
- 「coffincolors」アカウントには、英語のリポジトリ名がありました。
Wanderx13 GitHubアカウントの履歴
2. 悪意のあるリンクの分析
観察されたすべてのURLは、特定のパターンに従っていました:https://www.mediafire.com/file/<random_string}/fix.<extension>/file
ランダム文字列は常に15文字の英数字文字列で、拡張子は通常.rarや.zipなどのアーカイブ形式でした。
興味深いことに、MediaFire上のファイルは調査時にはもう利用できませんでした。「ファイルが見つかりません」というメッセージか、MediaFireからの警告メッセージのいずれかが表示されました。
MediaFireからの警告メッセージ
3. OpenCTIの活用
調査を深めるために、私たちは手元にあるツール、OpenCTIを利用しました。🥳
プラットフォームを次のように使用しました:
情報の収集
OpenCTIの高度な検索機能を使用して、同じパターンのURLが複数のソースによって報告されていることを発見しました。これは、これが既知の戦術であることを示しています。
最も古い報告されたURLは2023年7月にさかのぼります。
脅威の特定
OpenCTIでの調査により、情報源が非常に多様であることが明らかになり、この技術が複数の攻撃者によって使用されているフィッシングキットによって管理されている可能性が示唆されました。しかし、次の2つを指す主要なクラスターを特定しました:
- マルウェア Agent Tesla — Agent Teslaは、.NETフレームワーク用に作成されたスパイウェアトロイの木馬で、少なくとも2014年以降観察されています。
- 侵入セット Hagga — Haggaは、2018年以降広範なマルウェアキャンペーンに結びついているパキスタンの攻撃者で、そのツールはナイジェリアの攻撃者を含む他の者によって使用されています。Haggaの活動はGorgon Groupの活動の一部と重複していますが、現時点では彼をそのグループに結びつける決定的な証拠はありません。
OpenCTIで特定された2つの主要なクラスター
調査目的ごとの結果
1. コメントの悪意のある性質:
- 悪意があることを確認:コメントには、潜在的に有害であるとフラグが付けられたMediaFireファイルへのリンクが含まれていました。
- URLは、既知のフィッシングキャンペーンに関連する特定のパターンに従っていました。
2. 標的型攻撃の評価:
- 特定の標的型ではない:この攻撃は、複数のGitHubリポジトリに影響を与えるより広範なフィッシングキャンペーンの一部であるようです。
- 私たちのリポジトリは、Filigranへの特定の焦点ではなく、その人気のために標的にされた可能性が高いです。
3. 活動の背後にいる攻撃者:
- 単一の侵入セットは明確に特定されていません。
- 2つの主要なクラスターがキャンペーンに関連していました:a. Agent Teslaマルウェア b. Hagga侵入セット
4. 攻撃者の動機:
- 主に金銭的動機:広範なフィッシング技術の使用とAgent Tesla(既知の情報窃取マルウェア)の関与は、金銭的利益が主な動機であることを示唆しています。
- キャンペーンの広範な性質と迅速なアカウント変更は、標的型攻撃ではなく量に焦点を当てていることを示しています。
この調査は、脅威データを迅速に分析および関連付けて、新たなサイバー脅威に関する実用的な洞察を提供するOpenCTIの有効性を示しています。
また、この機会を利用して、OpenCTI公開デモインスタンスで直接このテーマについて調査することもできます!
続きを読む
関連トピックとインサイトをご覧ください
