iStock.com/Philip Steury

　最初のアクセスポイントには、ファイアウォールのRDP（リモートデスクトッププロトコル）ポートが利用されたらしい。このポートはサーバへのパブリックアクセスを提供するために開かれていた。この侵入が行われたのは2021年9月だった。

　前述のように、攻撃者は侵入したサーバのWebブラウザを利用してハッキングツールを検索し、そのインストールを試みた。攻撃者が「怪しげな」ダウンロードを行い、サーバに悪意のあるアドウェアをデプロイした形跡もあった。

　攻撃者は「Advanced Port Scanner」「FileZilla」「LaZagne」「Mimikatz」「NLBrute」「Process Hacker」「PuTTY」「Remote Desktop PassView」「RDP Brute Forcer」「SniffPass」「WinSCP」などのインストールを試みている。「ConnectWise Control」や「AnyDesk」といった商用リモートアクセスツールの利用も試していた。

　「具体的な目的があってITチームのメンバーがダウンロードしたのでなければ、PCにそうしたツールが存在するということは攻撃が進行中か、攻撃が差し迫っている危険信号を示す」

　「PCによるネットワークのスキャンなど、ネットワークでの予期しないアクティビティーや通常とは異なるアクティビティーも危険信号の一つだ。ネットワーク内でしかアクセスできないPCでRDPログインの失敗が繰り返されているのは、何者かがブルートフォースツールを使用してネットワーク内を横断的に移動しようとしている表れだ。ITチームがインストールしていないか、過去にインストールしてもしばらく使っていない商用リモートアクセスツールからの活発な接続がある場合も危険だ」（ブラント氏）

新たな攻撃者

　2022年1月になって攻撃者の手口が明らかに変わった。より熟練した集中的な活動の形跡が見られるようになったのだ。以前にデプロイされた悪意のあるクリプトマイナーとサーバのセキュリティソフトウェアが削除された。これは、標的にされた組織がメンテナンス操作後に誤って保護機能を無効にしたまま放置したためだ。その後、攻撃者はデータを盗み出してLockBitをデプロイした。だが、このランサムウェアは部分的にしか成功しなかった。

　ブラント氏によると、この戦術転換は別のグループが個別に関与してきたか、アクセスルートが何らかの方法で売却された可能性があるという。「最初の侵入から約4カ月が経過して攻撃の質が変わった。非常に劇的な変化だったので、全く異なるスキルを持つ攻撃者が争いに加わったと思われる」

　「堅牢（けんろう）で24時間365日稼働する多層防御アプローチがあれば、こうした攻撃が定着するのを阻止しやすくなる。最も重要な第一歩は、そもそも攻撃者がネットワークにアクセスできないようにすることだ。例えば、多要素認証を実装し、VPN接続を介さないRDPポートへのアクセスをブロックするようにファイアウォールのルールを設定する」

　Guruculのサリュ・ネイヤー氏（創業者兼CEO）によると、短期間のパターンを識別するように設定された従来のSIEM（Security Information and Event Management）ツールやXDR（Extended Detection and Response）ツールでは攻撃者の活動をうまく見つけられなくなっていて、攻撃者の潜伏期間が250日を超える場合もあるという。

　数週間や数カ月にわたって行われ、一見共通点がないようなIoC（セキュリティ侵害インジケーター）をセキュリティチームが手作業でつなぎ合わせて全容を解明するのは事実上不可能だと同氏は語る。これには現在の多くのソリューションが苦戦しているという。

　「単純な相関付けやルールベースの機械学習だけでなく、分析、適応型機械学習モデル、学習済み機械学習モデルも使って長期的に多種多様なイベントをつなぎ合わせる高度なツールを検討しなければならない」

　「さらに、脅威コンテンツの取り込み、不正な外部通信を特定するネットワークトラフィック分析、ユーザーやエンティティーの動作のリアルタイムなベースライン化と分析を利用すれば、異常な動作が攻撃活動に関係する脅威であることを明らかにできる。そうすれば形勢は一変し、セキュリティチームは事後対応ではなく事前対応が可能になる」とネイヤー氏は語る。