本文の内容は、2024年7月22日に STEFANO CHIERICI が投稿したブログ(https://sysdig.com/blog/sysdig-threat-research-team-black-hat-2024/)を元に日本語に翻訳・再構成した内容となっております。
Sysdig 脅威リサーチチーム (TRT) の使命は、クラウドのスピードでイノベーションを保護することです。
Sysdig TRT は、業界で最も優秀な脅威リサーチャーのグループであり、最新のクラウドネイティブ セキュリティの脅威、脆弱性、攻撃パターンを発見し、教育を行っています。
弊社は、セキュリティに強い情熱を持ち、その目的に全力で取り組んでいます。クラウド ネイティブ環境のセキュリティを確保するための最新の洞察、監視すべき傾向、重要なベストプラクティスについて、ここで最新情報を入手してください。
以下では、最新の調査と、セキュリティ エコシステムをどのように改善したかについて詳しく説明します。
さらに詳しくお話ししたい場合は、Black Hat 2024の Sysdig ブースにお越しください。
LLMJACKING
Sysdig 脅威リサーチチーム (TRT) は最近、LLMjackingと呼ばれる新しい攻撃を確認しました。この攻撃は、盗まれたクラウド認証情報を利用して、クラウドでホストされている 10 個の大規模言語モデル (LLM) サービスを標的とします。
最初のアクセスが取得されると、クラウドの認証情報を盗み出してクラウド環境にアクセスし、クラウド プロバイダーがホストするローカル LLM モデルへのアクセスを試みました。この例では、Anthropic のローカル Claude (v2/v3) LLM モデルが標的にされました。発見されなければ、この種の攻撃により、被害者は 1 日あたり 46,000 ドルを超える LLM 消費コストを被る可能性があります。
Sysdig のリサーチャーは、侵害されたアカウントへのアクセスを提供するために LLM のリバースプロキシが使用されている証拠を発見しました。これは金銭的な動機を示唆しています。ただし、別の可能性のある動機は、LLM トレーニングデータを抽出することです。
Azure Machine Learning、GCP の Vertex AI、AWS Bedrock など、すべての主要なクラウド プロバイダーが、大規模言語モデル (LLM) サービスをホストするようになりました。これらのプラットフォームにより、開発者は LLM ベースの AI で使用されるさまざまな一般的なモデルに簡単にアクセスできます。
攻撃者たちは、さまざまなサービスにわたる多数のLLMモデルへのアクセスを得ることを目指しています。検証フェーズでは、実際に正当なLLMクエリが実行されることはありませんでした。代わりに、アクセス権限や使用可能なリソースの限度を把握するために最低限の操作が行われました。さらに、可能な場合はログ設定も照会されました。これは、侵害された権限を使用してプロンプトを実行する際に検出を回避するために行われます。
これらの脅威を迅速に検出し対応する能力は、強力な防御システムを維持するために重要です。Falco、Sysdig Secure、CloudWatch Alertsのような基本的なツールは、ランタイムの活動を監視し、クラウドログを分析して不審な行動を特定するのに役立ちます。詳細なログ記録（詳細ログを含む）は、クラウド環境の活動に対する深い可視性を提供します。この詳細な情報により、組織はクラウドインフラ内のモデル呼び出しなどの重要な行動を微細に理解することができます。
SSH-SNAKE
SSH-Snake は、侵入されたシステムで発見された SSH 認証情報を利用してネットワーク全体に拡散する自己改変型ワームです。このワームは、既知の認証情報の場所とシェル履歴ファイルを自動的に検索して、次の動きを決定します。SSH-Snake は、脅威アクターによる攻撃活動で積極的に使用されています。
Sysdig TRT は、SSH-Snake を展開する脅威アクターのコマンド アンド コントロール (C2) サーバーを発見しました。このサーバーには、アクセスした各ターゲットの SSH-Snake の出力を含むファイルのリポジトリが保持されています。
C2 サーバーで見つかったファイル名には被害者の IP アドレスが含まれていたため、これらの脅威アクターが初期アクセスを取得して SSH-Snake を展開するために、既知の Confluence の脆弱性を積極的に悪用しているという高い信頼性での評価を行うことができました。これは他のエクスプロイトが使用されることを排除するものではありませんが、被害者の多くは Confluence を実行しています。
SSH-Snake の出力には、見つかった認証情報、ターゲットの IP、被害者の bash 履歴が含まれます。被害者リストは増え続けています。これは、この攻撃が継続中であることを意味します。この記事の執筆時点では、被害者の数はおよそ 300 人です。
リバースボットネット
2024年3月、Sysdig脅威リサーチチーム（TRT）は、ドメイン「rebirthltd[.]com」からHadoopハニーポットサービスの1つに対する攻撃の観測を開始しました。調査の結果、このドメインは成熟し、ますます人気が高まっているDDoS-as-a-Serviceボットネット、Rebirth Botnetに関連していることがわかりました。このサービスはMiraiマルウェアファミリーに基づいており、運営者はTelegramとオンラインストア（rebirthltd.mysellix[.]io）を通じてサービスを宣伝しています。
ボットネットを運営する脅威アクターは金銭目的であり、主にビデオゲームコミュニティにサービスを宣伝しています。このボットネットがゲーム関連の目的以外で購入されていないという証拠はありませんが、組織は悪用され、ボットネットの一部になるリスクにさらされている可能性があります。私たちは、ビジネスと技術の観点から、このグループがどのように活動しているかを詳しく調べました。
RebirthLtd の事業の中核は DDoS ボットネットであり、これは料金を支払う意思のある人に貸し出されています。RebirthLtd は、2022 年 8 月から登録されている Web ベースのストアフロントに掲載されているさまざまなパッケージを通じてサービスを提供しています。購入者がサブスクリプションを購入してすぐにボットネットのサービスにアクセスできる最も安価なプランの価格は 15 ドルです。基本プランには、ボットネットの実行ファイルへのアクセスと、利用可能な感染クライアントの数に関する限定された機能のみが含まれているようです。より高価なプランには、API アクセス、C2 サーバーの可用性、開始できる 1 秒あたりの攻撃数などの改善された機能が含まれています。
ボットネットの主なサービスは、金銭的利益を目的としてビデオゲームストリーミングプラットフォームをターゲットにしており、Telegram チャンネルでは、RebirthHub (RebirthLtd とともにボットネットの別名) は「ほぼすべての種類のゲームサーバーを攻撃する」ことができると主張しています。Rebirth 管理チームは YouTube や TikTok でも積極的に活動しており、潜在顧客にボットネットの機能を紹介しています。調査を通じて、このマルウェア ファミリの未検出の実行ファイルが 100 個以上検出されました。
SCARLETEEL
このグループが発見した攻撃グラフは以下の通りです：
脆弱なコンピューティング サービスを悪用して AWS アカウントを侵害し、永続性を獲得し、暗号通貨マイナーを使用して金儲けを試みること。攻撃を阻止していなかった場合、攻撃が阻止されるまでのマイニングのコストは 1 日あたり 4,000 ドル以上になると控えめに見積もっています。
彼らが狙っているのは暗号通貨のマイニングだけではなく、知的財産の盗難もであることはわかっています。最近の攻撃では、攻撃者は AWS ポリシーの顧客のミスを発見して悪用し、権限を AdministratorAccess に昇格させてアカウントを制御できるようにし、好きなように操作できるようにしました。また、攻撃者が攻撃を大幅に拡大するために Kubernetes をターゲットにしているのも観察しました。
AMBERSQUID
クラウドの脅威に追随して、Sysdig TRT は、 AMBERSQUIDと名付けた新しいクラウドネイティブのクリプトジャッキングオペレーションを発見しました。このオペレーションでは、AWS Amplify、AWS Fargate、Amazon SageMaker など、攻撃者が一般的に使用しない AWS サービスが活用されています。これらのサービスは一般的ではないため、セキュリティの観点から見落とされやすく、AMBERSQUID 操作により被害者は 1 日あたり 10,000 ドル以上の損害を被る可能性があります。
AMBERSQUIDオペレーションは、EC2インスタンスのみをスパムした場合に必要となるAWSのリソース増加承認をトリガーすることなく、クラウドサービスを悪用することができました。複数のサービスを標的にすることで、インシデント対応などの追加の課題が発生します。これは、各悪用されたサービス内の全てのマイナーを見つけて排除する必要があるためです。
私たちは、Docker Hub上のコンテナイメージに隠れている悪意のあるペイロードを理解するために、170万以上のLinuxイメージを分析することでAMBERSQUIDを発見しました。
この危険なコンテナ イメージは、既知のインジケーターや悪意のあるバイナリの静的スキャン中にはアラートを発しませんでした。コンテナが実行されたときに初めて、サービス間のクリプトジャッキング活動が明らかになりました。これは、静的スキャンだけでは悪意のあるイメージの 10% が見逃されると指摘した、 2023 年クラウド脅威レポートの調査結果と一致しています。
MESON NETWORK
Sysdig TRT は、 2024 年 3 月 15 日頃に行われる暗号トークンのロック解除に先立ち、ブロックチェーン ベースの Meson サービスを使用して報酬を獲得しようとする悪意のあるキャンペーンを発見しました。攻撃者は、侵害されたクラウド アカウントを使用して、数分以内に 6,000 個の Meson Network ノードを作成しようとしました。Meson Network は、ブロックチェーンプロトコルを通じて合理化された帯域幅マーケットプレイスを確立することにより、Web3 で動作する分散型コンテンツ配信ネットワーク (CDN) です。
攻撃者は数分以内に、複数のリージョンにまたがる侵害されたアカウント内で約 6,000 のインスタンスを生成し、meson_cdnバイナリを実行できました。これはアカウント所有者にとって大きなコストとなります。攻撃の結果、作成されたすべての Meson ネットワーク ノードに対して、マイクロ サイズを使用した場合でも 1 日あたり 2,000 ドル以上のコストがかかると推定されます。これには、6,000 ノードで 1 か月あたり 22,000 ドルにもなるパブリック IP アドレスの潜在的なコストは含まれていません。攻撃者が獲得できる報酬トークンの金額と価値を推定するのは困難です。これらの Meson トークンはパブリック マーケットでまだ価値が設定されていないためです。
同様に、AMBERSQUID の場合と同様に、レイヤーと脆弱性を分析する静的な観点からは、イメージは正当かつ安全に見えます。ただし、実行時に送信ネットワーク トラフィックを監視したところ、gaganode が実行され、悪意のある IP への接続を実行していることが確認されました。
新たな脅威やアクターに加え、CVE
STRT の唯一の目的は、新たな悪意のある行為者を探すことではなく、新たに出現した脆弱性に迅速に対応し、実行時にそれらを検出するための新しいルールで製品を更新することです。最後の 2 つの例を以下に示します。
CVE-2024-6387
7 月 1 日、Qualys のセキュリティ チームは、OpenSSH サーバーにおけるリモートから悪用可能な脆弱性 CVE-2024-6387 を発表しました。この重大な脆弱性は、「regreSSHion」というニックネームが付けられています。根本的な原因は、2006 年に遡るかなり以前の脆弱性 CVE-2006-5051 を修正したコードを誤って削除したことにあるためです。競合状態は、sshd (SSH のデーモン プログラム) のデフォルト構成に影響します。
4.4p1 より古い OpenSSH バージョン (以前の CVE-2006-5051 および CVE-2008-4109 のパッチが適用されていない場合) および 8.5p1 から 9.8p1 までのバージョンが影響を受けます。一般的なガイダンスとしては、バージョンを更新することです。Ubuntu ユーザーは更新バージョンをダウンロードできます。
regreSSHion の悪用には、一定期間内に実行される複数回の試行 (実際には数千回) が含まれます。この複雑さにより、主に悪用の複雑さに基づいて、CVE が「重大」に分類された脆弱性から「高」リスクの脆弱性に格下げされます。
Sysdig を使用すると、ベースラインの sshd 動作からのドリフトを検出できます。この場合、ステートフル検出は、sshd サーバーでの認証に失敗した試行回数を追跡します。Falco ルールだけで、潜在的な侵害の兆候 (IoC) を検出できます。これをグローバル状態テーブルに取り込むことで、Sysdig は、ポイントインタイムのアラートに重点を置くのではなく、匿名ユーザーの実際の失敗した認証試行の急増をより適切に検出できます。
CVE-2024-3094
2024 年 3 月 29 日、Openwall メーリング リストは、XZ Utils と呼ばれる人気のパッケージにバックドアがあることを発表しました。このユーティリティには、リモートアクセスに使用されるインターネットインフラストラクチャーの重要な部分である SSHD で使用される liblzma と呼ばれるライブラリが含まれています。ロードされると、CVE-2024-3094 が SSHD の認証に影響し、方法に関係なく侵入者がアクセスできるようになる可能性があります。
- 影響を受けるバージョン: 5.6.0、5.6.1
- 影響を受けるディストリビューション: Fedora 41、Fedora Rawhide
Sysdig Secure ユーザーの場合、このルールは、“Backdoored library loaded into SSHD (CVE-2024-3094)” と呼ばれ、Sysdig ランタイム脅威検出ポリシーに記載されています。
- rule: Backdoored library loaded into SSHD (CVE-2024-3094)
desc: A version of the liblzma library was seen loading which was backdoored by a malicious user in order to bypass SSHD authentication.
condition: open_read and proc.name=sshd and (fd.name endswith "liblzma.so.5.6.0" or fd.name endswith "liblzma.so.5.6.1")
output: SSHD Loaded a vulnerable library (| file=%fd.name | proc.pname=%proc.pname gparent=%proc.aname[2] ggparent=%proc.aname[3] gggparent=%proc.aname[4] image=%container.image.repository | proc.cmdline=%proc.cmdline | container.name=%container.name | proc.cwd=%proc.cwd proc.pcmdline=%proc.pcmdline user.name=%user.name user.loginuid=%user.loginuid user.uid=%user.uid user.loginname=%user.loginname image=%container.image.repository | container.id=%container.id | container_name=%container.name| proc.cwd=%proc.cwd )
priority: WARNING
tags: [host,container]
Sysdig セキュアソリューション
Sysdig Secure を使用すると、セキュリティ チームとエンジニアリング チームは、脆弱性、脅威、構成ミスをリアルタイムで特定して排除できます。ランタイムインサイトを活用することで、組織は脅威データを視覚化して分析する直感的な方法を得ることができます。
Sysdig Secure は、Falco の統合検出エンジンを搭載しています。この最先端のエンジンは、リアルタイムの動作分析と脅威インテリジェンスを活用して、多層インフラストラクチャーを継続的に監視し、潜在的なセキュリティインシデントを特定します。
異常なコンテナアクティビティ、不正アクセスの試み、サプライチェーンの脆弱性、アイデンティティベースの脅威、あるいはコンプライアンス要件の単純な満たしなど、Sysdig は、急速に進化するこれらの脅威に対して組織が統合されたプロアクティブな防御を実現できるようにします。
BLACK HAT 2024 で SYSDIG TRT に会う
Sysdig 脅威リサーチチーム (TRT) のメンバーは、8 月 7 日から 8 日までラスベガスで開催される BlackHat カンファレンス 2024 のブース #1750 に常駐し、今年最も注目され、最も重要なサイバーセキュリティのトピックのいくつかに関する調査結果と分析から得た洞察を共有します。
展示会でSysdig TRTチームと会う時間を予約しましょう！
