ロシアの国家ハッカー、標準的な復旧手順を生き延びるマルウェアを展開

「OWAReaper」と名付けられた新たに文書化されたマルウェアの一種が、セキュリティチームに「侵害後のクリーンアップ」の意味そのものの再考を迫っている。ロシアの国家に関連するとされる「ロンダリー・ベア」として知られるグループによって展開されたOWAReaperは、米国および欧州の政府機関や重要セクターの組織に対して使用されてきた。注目すべきは、その標的だけでなく、いったん侵入したシステムにいかに頑固にしがみつくかという点である。

ほとんどの組織は、侵害の疑いに対して、認証情報のローテーションを行い、深刻なケースでは影響を受けたデバイスをワイプして再イメージングすることで対応する。OWAReaperは、これらの両方の手順を無効化するように特別に設計されている。このマルウェアに関する報告によると、攻撃者にExchange Serverメールボックスへの所有者レベルのアクセス権を付与する。このアクセス許可レベルは、パスワードが変更され、マシンがゼロから再構築された後も持続する。

OWAReaperがセキュリティ防御を生き延びる仕組み

認証情報のローテーションは、不審なアクティビティを検出した後にインシデント対応チームが最初に行うことの一つである。これは、盗まれたユーザー名とパスワードを無効にすることで攻撃者を締め出すことを意図している。OWAReaperは、そのアクセスが特定の認証情報セットに紐付いていないため、これを完全に回避する。代わりに、所有者レベルのメールボックスアクセス許可をExchange Server環境に直接埋め込む。これは、誰のパスワードが変更されても機能し続ける足がかりとなる。

再イメージングは、デバイスをワイプしてクリーンなオペレーティングシステムを再インストールするプロセスであり、通常、永続的な脅威を一掃するための最終手段と見なされている。それは新たなスタートとなるはずのものだ。OWAReaperの設計はこのシナリオを特に考慮しており、インプラントのアクセスが再構築後も存続することを可能にする。防御側にとって、これは最も警戒すべき詳細である。多くの組織が確実なリセットとして扱っているツールが、この種のマルウェアが関与すると、もはや何も保証しなくなるのだ。

これは、国家の支援を受けるアクターが永続性に取り組む方法における意味のある変化である。Laundry Bearは、発見・削除可能なマルウェアや、無効化可能な認証情報に依存するのではなく、メールサーバー自体のアクセス許可構造を標的にしているように見える。それは、悪意のあるファイルをスキャンしたりパスワードをリセットしたりするだけでなく、組織が構成とアクセス権を監査することを必要とするため、解決がより困難な問題である。

重要セクターの標的が特に脆弱な理由

政府機関や重要インフラ事業者は、そのメールシステムに機密通信、政策協議、運用の詳細が含まれていることが多いため、まさに国家支援グループにとって魅力的な標的である。長期的な所有者レベルのメールボックスアクセスを付与するインプラントは、最初の侵入が他の方法であれば封じ込められたかもしれない後もずっと、攻撃者にその情報への静かで継続的な窓口を提供する。

インフラやエンタープライズシステムを標的とするロシアに関連するアクターのこのパターンは、孤立したものではない。Stadler Railが攻撃者にZimbraメールサーバーを攻撃された後、数百万ドルの身代金要求を拒否した事例を含む他の最近のインシデントは、国家に関連するグループや犯罪グループが複数のセクターや国にわたってエンタープライズメールインフラを探査する、より広範な傾向を示している。ExchangeであれZimbraであれ、メールサーバーは組織の内部コミュニケーションの中心に位置し、さらなるアクセスへの鍵を握っていることが多いため、一貫して魅力的な標的であり続けている。

これが意味すること

政府機関、重要セクターの組織、またはオンプレミスのExchange Serverを運用する企業で働いている場合、OWAReaperは、標準的なインシデント対応プレイブックだけでは不十分かもしれないことを思い出させるものである。パスワードのローテーションとマシンの再構築は依然として必要な手順だが、侵入が完全に解決された証拠として扱うべきではない。

ITおよびセキュリティチームにとって、これはExchange Serverのメールボックスアクセス許可を直接監査し、特に明示的に許可されていない所有者レベルのアクセス権付与を探すことを意味する。ネットワークセグメンテーションもここでは重要である。侵害されたメールサーバーから攻撃者が横方向に移動できる範囲を制限することで、OWAReaperのような永続化メカニズムが存在していても、その被害を軽減できる。メールインフラへのリモート管理アクセスにVPNを使用し、厳格なアクセス制御と組み合わせることで、攻撃者がそもそもこれらのシステムに到達しようとする際に利用可能な経路を狭めることができる。

一般の従業員にとって、現実的なアドバイスは馴染み深いが重要である。予期しないメールには注意し、異常なものがあればすぐにITに報告し、侵害されたメールボックスがアカウント所有者だけでなく、そこからメッセージを受信する同僚やパートナーにも影響を与える可能性があることを理解することだ。

実践的なポイント

政府機関や重要セクター環境で特にExchange Serverを運用している組織は、認証情報のローテーションと再イメージングを、侵害の疑いに対する必要だが不十分な対応として扱うべきである。セキュリティチームは、クリーンな再構築によって永続性が解決されると想定するのではなく、特にメールボックスの所有者権限を監査すべきである。ネットワークセグメンテーションとVPNで保護された管理者アクセスは、OWAReaperのようなインプラントが初期の修復後も存続している場合でも、攻撃者の移動範囲を制限できる。最後に、Laundry Bearのようなロシアに関連するグループがどのように戦術を進化させているかについて情報を入手し続けることは、セキュリティチームが事後に対応するのではなく、将来のキャンペーンにおける同様の永続化の手口を予測するのに役立つ。