警察庁、中国の関与が疑われる日本国内へのサイバー攻撃に注意喚起。侵入手口など解説、CLI版VSCodeが悪用される例も

今回は「警察庁、中国の関与が疑われる日本国内へのサイバー攻撃に注意喚起。侵入手口など解説、CLI版VSCodeが悪用される例も」についてご紹介します。

関連ワード (使用、個人、分析等) についても参考にしながら、ぜひ本記事について議論していってくださいね。

本記事は、Publickey様で掲載されている内容を参考にしておりますので、より詳しく内容を知りたい方は、ページ下の元記事リンクより参照ください。


警察庁は、主に日本の安全保障や先端技術などの情報窃取を目的とした、中国の関与が疑われる組織的なサイバー攻撃のキャンペーンが行われているとして注意喚起を行っています。

fig

警察庁および内閣サイバーセキュリティセンターは、2019年頃から現在に至るまで、「MirrorFace」(ミラーフェイス)(別名、「Earth Kasha」(アース カシャ))と呼ばれるサイバー攻撃グループによって、日本国内の組織、事業者及び個人に対するサイバー攻撃キャンペーンが行われているとしています。

その攻撃対象や手口、攻撃インフラなどを分析した結果、「MirrorFace」による攻撃キャンペーンは、おもに日本の安全保障や先端技術に係る情報窃取を目的とした、中国の関与が疑われる組織的なサイバー攻撃であると評価されるとのことです。

3つの攻撃キャンペーンが報告

今回のサイバー攻撃は、主に以下の3つに分類されると報告されています。

攻撃キャンペーンA
2019年から2023年にかけて、主に日本のシンクタンク、政府(退職者含む)、政治家、マスコミに関係する個人や組織に対し、不正なプログラム(マルウェア)を添付したメールを送信してマルウェアに感染させ、情報窃取を試みるサイバー攻撃。

攻撃キャンペーンB
2023年頃から、インターネットに接続されたネットワーク機器のソフトウェアのぜい弱性を悪用して標的ネットワーク内に侵入するサイバー攻撃。主な標的は日本の半導体、製造、情報通信、学術、航空宇宙の各分野であった。

攻撃キャンペーンC
2024年月頃から、主に日本の学術、シンクタンク、政治家、マスコミに関係する個人や組織に対して、マルウェアをダウンロードするリンクを記載したメールを送信してマルウェアに感染させ、 情報窃取を試みるサイバー攻撃。

攻撃キャンペーンAとCはいずれも標的型メール攻撃ですが、攻撃キャンペーンAでは「LODEINFO」と呼ばれるマルウェアが使用され、主に添付ファイルの開封を感染の起点としてたのに対し、攻撃キャンペーンCでは「ANEL」と呼ばれるマルウェアが使用され、主にメール本文のリンク先を感染の起点としているという違いがあると説明されています。

さらにキャンペーンCではVisual Studio Code(VSCode)を悪用する手口も確認されているとしています。

キャンペーンごとの侵入手口や緩和策

それぞれのキャンペーンでの主な攻撃方法や対策についても公開されています。ここでは手短に紹介していきましょう。

攻撃キャンペーンAの侵入手口
標的となる受信者に対して、マルウェアを含むファイルを添付したメールを送付。受信者が添付ファイルを開くことにより、マルウェアに感染させる。送信者名として、受信者が所属する(又は所属していた)組織の元幹部や、受信者が関心のある専門分野の有識者を詐称した事例が多く把握されている。

添付ファイルは、Microsoft WordやMicrosoft Excelのほか、VHDファイル(仮想ハードディスクイメージ)やISOファイル(光学ディスクイメージ)を使った事例が把握されており、多くは、Microsoft Office ファイルのマクロを有効化することによって「LODEINFO」と呼ばれるマルウェアに感染する。

攻撃キャンペーンBの侵入手口
VPN機器(クラウド向け仮想アプライアンスを含む)の脆弱性や、何らかの手段で得た認証情報(クライアント証明書を含む)の悪用により侵入されたとみられる事例のほか、外部公開サーバのSQLインジェクションの脆弱性を悪用したとみられる事例が把握されている。

侵入後、Active Directoryサーバへの侵害、Microsoft 365への不正アクセス、仮想化サーバへの不正アクセスや仮想マシンイメージの取得事例などが把握されており、また、コンピュータをCobalt Strike BEACON、LODEINFO、NOOPDOORと呼ばれるマルウェアに感染させた事例も把握されている。

攻撃キャンペーンCの侵入手口
標的となる受信者に対してファイルをダウンロードさせるリンクが記載されたメールを送付し、受信者がダウンロードしたZipファイルを展開後に、Microsoft Office 文書を開いてマクロを有効化すること、また、Microsoft Office文書に偽装されたリンクファイル(拡張子がlnk)を開くことにより、ANELと呼ばれるマルウェアに感染させる手口が把握されている。

メールの件名は、「取材のご依頼」、「所蔵資料のおすすめ」、「国際情勢と日本外交」といったキーワードを含み、メールの本文は、詐称された送信者が過去に第三者とやりとりしていたメールを何らかの手段で窃取し、一部だけ改変して送付しているとみられるため、違和感がなかったなどの事例が把握されている。

VS Codeの開発トンネル機能(Microsoft dev tunnels)を遠隔操作ツールとして悪用した事例も把握されています。

攻撃に対する主な対策

注意喚起において解説されている対策は多岐に渡っているため、ぜひ元の文書を参照いただきたいのですが、ここでは対策の中から主なものをいくつか紹介しましょう。

VPN機器などの侵入において悪用された脆弱性は「CVE-2023-28461」「CVE-2023-27997」「CVE-2023-3519」などが挙げられています。これらの脆弱性について確認しておく必要があります。

VSCodeを悪用する手口については、攻撃者が侵入したPCへ密かにCLIツール版のVSCodeをダウンロード及びインストールした上で、開発トンネル機能(Microsoft dev tunnels)を使用することで、遠隔からのコマンド実行を可能にするというものです。

そのため、開発トンネル機能(Microsoft dev tunnels)が使用する通信先との不審な通信が発生していないかを監視、確認することが求められます。

標的型のメール攻撃に対しては、普段からの交流相手であっても普段と少しでも異なる状況、例えば、普段はMicrosoft Officeファイルをそのまま添付するやりとりが多いのに、パスワード付きZipファイルが届く場合、拡張子がVHDやISOといった日頃のやりとりでは見かけない形式のファイルが届く場合などの違和感を感じたら、添付ファイルを開いたりリンクをクリックしたりせず、送信者に確認することが求められます。

また、安易に「コンテンツの有効化」をクリックしないことも有効とされます。

ぜひ下記の警察庁による注意喚起をご一読されることをお勧めします。

≫MirrorFaceによるサイバー攻撃について(注意喚起)|警察庁Webサイト

COMMENTS


Recommended

TITLE
CATEGORY
DATE
高速・大容量だけではない! KDDIがビジョンを描く「5G×ビジネス」の新時代 :5G搭載!“ARM版Windows 10”特集 第三弾
PR
2021-07-09 02:39
TypeScriptをコンパイルしてWebAssemblyバイナリに、実現を目指す「TypeScript Compilation SIG」をByteCode Allianceが発表
TypeScript
2023-04-27 19:04
おかやまコープ、AI活用した発注で年間8600時間の作業時間削減–廃棄ロスも改善
IT関連
2025-02-08 19:55
APIをプラットフォーム化せよ
IT関連
2022-03-22 21:27
IIJ、エッジコンピューティング環境を体感できるショーケース開設
IT関連
2022-02-06 03:33
AWS、「Amazon Bedrock」の基盤モデルを評価する新機能を提供
IT関連
2024-04-26 07:32
「Windows 11 24H2」、修正パッチが登場するも新たなバグが発生
IT関連
2024-10-31 08:46
サプライチェーン攻撃やコロナ禍のランサムウェア攻撃が倍増–クラウドストライク
IT関連
2021-03-12 00:15
マイクロソフト、モールス符号を用いる「ユニークな」フィッシング詐欺の手口を公開
IT関連
2021-08-16 00:49
クラウド導入の加速と拡大に伴う新たな課題にどう取り組むか
IT関連
2022-03-18 07:33
バイデン政権による200兆円規模の経済対策、2021年米テック市場の成長後押しへ
IT関連
2021-03-22 22:30
関東学院大とNTT Com、看護部長/看護師長向けのVRコンテンツを提供
IT関連
2021-01-22 22:10
各分野のコラボレーション進む–Appier、AIトレンドの2020年総括と2021年予測
IT関連
2021-01-21 18:53
アカマイ、国内事業者向けでは過去最大規模のDDoS攻撃について解説
IT関連
2025-02-02 12:20