UTA0565とは何か、そしてCLEANGULPマルウェアはどのように動作するのか

中国政府と関係のある脅威アクター「UTA0565」が、ゼロデイ脆弱性を連鎖させて政府ネットワークに侵入し、「CLEANGULP」と呼ばれるマルウェアを展開していることが確認された。Volexityのセキュリティ研究者らは、このグループがGoogle ChromeとMicrosoft Windowsの脆弱性を組み合わせ、被害者に不審なファイルをダウンロードさせたり開かせたりすることなく、ブラウザのエクスプロイトからシステム全体の侵害へと直接移行できるようにしていることを突き止め、このキャンペーンを特定した。

攻撃チェーンは、標的を攻撃者制御下のページへ誘導する偽サイトまたは侵害されたサイトに依存していると報告されている。脆弱なバージョンのChromeがそのページを読み込むと、エクスプロイトチェーンが発動し、Windowsの脆弱性を通じて権限を昇格させ、CLEANGULPを静かにインストールする。そこから、このマルウェアはUTA0565にスパイ活動、データ窃取、または標的ネットワーク内でのさらなる横展開のための足がかりを与える。

このキャンペーンが注目に値するのは、真のゼロデイチェーンを使用している点である。つまり、悪用された時点でChromeとWindowsの開発者に知られていなかった脆弱性であり、攻撃開始時にパッチが存在しなかったことを意味する。このステルス性と速度の組み合わせこそ、ゼロデイ悪用が被害が生じる前に防御側が捕捉するのが最も困難な脅威の一つであり続ける理由である。

誰が危険にさらされているか：影響範囲内のデバイスとネットワーク

このキャンペーンに関する報道は、これまでに確認された標的として、主にアジアの政府機関を指摘している。しかし、ChromeやWindowsのような広く使用されているソフトウェアを中心に構築されたゼロデイエクスプロイトチェーンが、長期間にわたって単一の地域やセクターに留まることはほとんどない。これらのプラットフォームの未パッチバージョンを実行しているあらゆる組織や個人は、たとえ元々の意図された標的でなかったとしても、技術的には同じエクスプロイトキットにさらされている。

これは特に、国家レベルの脅威を監視するリソースを欠いている可能性がありながらも、二次標的として魅力的にする機密データを扱っている小規模な政府機関、請負業者、NGOにとって懸念事項である。一般ユーザーがUTA0565のようなスパイ活動に焦点を当てたグループに直接標的にされる可能性は低いが、同じエクスプロイトキットが後に他のアクターによって再利用、転売、または転用された場合、巻き添えになる可能性は依然としてある。

見慣れたパターン：中国のAPTキャンペーンはエスカレートし続ける

UTA0565は孤立して活動しているわけではない。Volexityの研究は、このキャンペーンで使用されたエクスプロイトキットが複数の中国系脅威グループのツールセットに登場していることを指摘しており、異なる高度持続的脅威（APT）作戦間での共有インフラまたは重複するリソースを示唆している。これは、中国と関係のあるグループが世界中の政府および外交標的に対して並行してスパイ活動キャンペーンを展開するという広範な傾向を反映している。

このパターンの最近の例としては、FamousSparrowのSparroWockyバックドアキャンペーンがあり、これは以前に報告されていないマルウェアを使用してラテンアメリカの政府機関を標的にした。UTA0565のCLEANGULP展開と同様に、SparroWocky作戦は、中国と関係のあるアクターが外国政府システム内で長期的なアクセスを維持するためにカスタムツールを改良し続けていることを示している。総合すると、これらのキャンペーンは一連の孤立した事件ではなく、協調的で継続的な取り組みを示唆している。

防御策：パッチ適用、VPN、マルウェア検出の基本

組織と個人の両方にとって、UTA0565のゼロデイ悪用からの保護は、完璧に行うことよりも一貫して基本を実行することから始まる：

  • アップデートが到着したらすぐにパッチを適用する。 ゼロデイは修正プログラムが利用可能になった瞬間にその力を失う。Chrome、Windows、または広く使用されているあらゆるソフトウェアでのパッチ適用の遅延は、既知の脆弱性が公表された後でも、攻撃者により長い悪用の窓を与える。
  • 可能な限りブラウザとオペレーティングシステムで自動更新を有効にする。特に、手動のパッチ適用サイクルが遅れがちな政府および企業のエンドポイントでは重要である。
  • 信頼できないネットワークでは評判の良いVPNを使用する。 VPN自体はゼロデイエクスプロイトチェーンを阻止することはできないが、トラフィックを暗号化し、攻撃者が標的型攻撃を開始する前の偵察に時々使用するネットワーク詳細を隠すことで、意味のある保護層を追加する。
  • 異常なプロセス動作を検出できるエンドポイント検出ツールを導入する。CLEANGULPのようなゼロデイマルウェアは、セキュリティベンダーによって正式に特定される前から異常な動作をすることが多いためである。
  • 機密ネットワーク上で不慣れな外部ウェブサイトへのアクセスを制限または監視する。特に政府や外交データを扱うスタッフに対しては重要である。

これがあなたにとって意味すること

政府、防衛、または機密の地政学データを扱うあらゆるセクターで働いているなら、このキャンペーンはパッチ管理が任意ではなく、最前線の防御であることを思い出させるものである。一般ユーザーにとっての教訓はよりシンプルである：ブラウザとオペレーティングシステムを最新の状態に保ち、正規に見えるサイトに表示される場合でも、不慣れなリンクには注意して対処すること。UTA0565のゼロデイ悪用からの保護は、IT部門だけの関心事ではない。それは、古いソフトウェアでウェブを閲覧するすべての人に利益をもたらす、より広範なセキュリティ規律を反映している。

次のキャンペーンに先んじるために

UTA0565がCLEANGULPマルウェアを展開するために連鎖ゼロデイを使用したことは、中国の国家と関係のあるグループがますます巧妙なツールで世界中の政府ネットワークを探っている明確なパターンに合致している。これがこの種の最後のキャンペーンである可能性は低い。これらの作戦がどのように進化するかに興味のある読者は、同じ広範なプレイブックが実行されている別の最近の例として、FamousSparrow SparroWockyバックドア攻撃を参照できる。情報を入手し、迅速にパッチを適用し、VPN使用やエンドポイント監視などの防御を重ねることが、これらのスパイ活動キャンペーンが表面化し続ける中で露出を減らす最も実用的な方法であり続けている。