乐胖代购免代理版

2024年10月31日（現地時間）、米国サイバーセキュリティ・社会基盤安全保障庁（以下米国CISAと表記）は、国外の脅威アクターがRDP構成ファイルを添付した大規模なスピアフィッシングキャンペーンを行っているとして注意を呼びかけました。同キャンペーンの分析を行ったMicrosoftによれば、対象国の1つには日本も含まれています。ここでは関連する情報をまとめます。

RDP構成ファイルで攻撃者のサーバーに接続させる手口

米国CISAが注意を呼びかけたのはRDP構成ファイル(拡張子.rdp)が添付されたフィッシングメール。CERT-UA、Microsoft、Amazonなどが対処・分析報告や注意喚起を行っている。*1 *2 *3 各報告によれば、一連のフィッシングは諜報活動を目的に行われたもの分析されており、さらにMicrosoftはこの活動が継続中であると分析している。
今回悪用されたRDP構成ファイルとは、RDPサーバー接続時の情報やリソースなどの設定をまとめたもので、ファイルを開くと当該設定を自動で行った状態で接続ができる。攻撃者が送ってきたRDP構成ファイルも、設定された内容で攻撃者が用意したサーバーにリモートデスクトップ接続することが可能となっていた。さらに接続をする側、つまりメールを受け取った側のWindows端末のローカルシステムの機能およびリソースが攻撃者側が用意したサーバーに拡張される設定がされていた。
また攻撃者が用意したRDP構成ファイルはLetsEncrypt証明書を使用して署名が行われてた。これによりファイルを開いた際の確認ダイアログが署名がされていない時と比べて落ち着いたトーンでの表示がされるようになっていた。

攻撃者の設定したファイルに基づく接続を通じて重大な情報流出につながるとMicrosoftは言及。接続を誤ってしてしまっ場合、攻撃者のサーバーとメール受信者のWindows端末が双方向に接続される状態となり、以下の端末側の様々なリソースがサーバーへ送信される状態となる。
- ファイルとディレクトリ
- 接続されたネットワークドライブ
- スマートカード、プリンター、マイクなどの接続機器
- Windows Hello、パスキー、セキュリティキーを使用したWeb認証
- クリップボードの情報
- POSデバイス

攻撃者がこの状態を悪用して、メール受信者のローカルドライブやネットワーク共有、特にAutoStartフォルダに不審なプログラムを蔵置したり、RDP接続が閉じられた際にアクセス維持のためにRATを追加でインストールする恐れもある。また攻撃者の制御するシステムへRDP接続を確立するプロセスでは、システムにサインインしているユーザーの資格情報が漏洩する可能性もある。
関係情報を公開している組織よりこれまでのところ被害にかかる情報は開示されていないため、誤ってRDP構成ファイルを通じて接続を行ってしまった後の様子については確定的な情報はない。

100以上の組織を攻撃

Microsoftによれば、10月22日に100を超える組織の数千のターゲットにメールが送信されており、対象国は数十か国、特に英国、オーストラリア、日本の政府、教育、防衛、非政府組織が標的となった。Microsoftはキャンペーンの実行者として、脅威アクターのMidnight Blizzard（APT29）の名前を挙げており、Midnight Blizzardの他で行われているフィッシングキャンペーンの標的と一致すると指摘した。一方で、今回のRDP構成ファイルを用いた手口は同アクターにおいては初めてと分析がされている。
メール文面はウクライナ語でかかれたものが公開されているものの、他言語で記載されたものがあったのかなどについては関連情報が確認できず不明。
フィッシングメールに使用していたおとりの内容（ルアー）について、Microsoftの従業員や他のクラウドサービスプロバイダに偽装していたケースが確認されており、メール内容はMSとAWSへの言及とともにゼロトラストなどの言葉を使用し、添付ファイルの実行を促していたとみられる。RDP構成ファイル実行時の接続先名も「AWS Secure Storage Connection Stability Test」などとAWS関係と誤認させる名称が用いられていた。
攻撃者が用意したリモートデスクトップサーバーも一部はAWSを想起させるドメイン名が用いられていた。そのため、Amazonはこれらのドメイン名に対してドメイン差し押さえのプロセスを開始し、作戦を中断させたと報告している。