亜麻台風
フラックス・タイフーンは中国を拠点とするサイバースパイ・グループで、従来のmalware頼ることなく、一般向けのサービスを悪用し、正規のソフトウェアを使用してステルス的に長期的なアクセスを維持することで組織に潜入する。
亜麻台風の起源
Flax Typhoonは、マイクロソフトが2021年半ばから追跡している中国ベースの国家活動グループである。このグループは、長期的なアクセスとスパイ活動に重点を置き、特注のmalware最小限に抑えて活動しています。その代わりに、このグループは、標的のネットワークで静かに存在感を維持するために、生きたバイナリ、正規のサードパーティ製ソフトウェア、Webシェル、およびハンズオン・キーボード・アクティビティに大きく依存しています。マイクロソフトは、主に台湾の組織に対するキャンペーンをこのグループによるものだとしていますが、他の場所でも活動が確認されています。
亜麻台風の対象国
活動は台湾に集中しており、東南アジア、北米、アフリカでも被害者が出ている。ツールやテクニックは再利用可能であり、この地域以外でも適用可能である。
亜麻台風の対象産業
フラックス・タイフーンは、主に政府機関、教育機関、重要な製造業、情報技術機関を標的としている。このキャンペーンは、破壊的というよりむしろ収集志向であり、スパイの目的と一致している。
亜麻台風の犠牲者
マイクロソフト社によると、被害を受けた組織は数十にのぼり、インターネットに面したサーバー、VPNゲートウェイ、ウェブ、Java、SQLサービスを実行しているサーバーなどが被害を受けている。最初のアクセスは、一般的に公開サービスとウェブシェルを利用する。
亜麻台風の攻撃方法
公開アプリケーションやサービスの既知の脆弱性を悪用し、China Chopperのようなウェブシェルを展開します。
公開されているオープンソースの特権昇格ツール（Juicy Potato、BadPotato、およびその亜種）と既知の脆弱性を悪用して、侵害されたホストの特権を昇格させる。
RDP パーシステンスの有効化、ネットワーク レベル認証 (NLA) の無効化、アクセシビリティ バイナリ (Sticky Keys/sethc.exe) の置き換え、アクター インフラストラクチャにトラフィックをトンネリングする VPN クライアントのインストール/設定により、長期的なアクセスを確立します。正当なアカウントで動作し、LOLBinsと署名されたシステム・バイナリ（certutil、bitsadminなど）を使用し、検出を減らすために重いmalware 避けます。
Mimikatzやその他のクレデンシャルダンプ技術などのツールを使って、LSASSからクレデンシャルとメモリをダンプする。
確立されたVPNトンネルと正当なリモート・サービスを使用してネットワークをスキャンし、横方向に移動する。
内蔵ユーティリティとリモート・サービスを活用して、他のシステムを調査し、アクセスする。
コマンドや軽量ツールをインタラクティブに実行し、認証情報や設定情報を収集し、確立されたトンネルやプロキシングホストを経由してデータを流出させる。
マイクロソフトは、このキャンペーンで広範な破壊的行動を観察していない。この活動は、妨害行為というよりも、むしろステルスアクセスと収集に重点を置いているようだ。
公開アプリケーションやサービスの既知の脆弱性を悪用し、China Chopperのようなウェブシェルを展開します。
公開されているオープンソースの特権昇格ツール（Juicy Potato、BadPotato、およびその亜種）と既知の脆弱性を悪用して、侵害されたホストの特権を昇格させる。
RDP パーシステンスの有効化、ネットワーク レベル認証 (NLA) の無効化、アクセシビリティ バイナリ (Sticky Keys/sethc.exe) の置き換え、アクター インフラストラクチャにトラフィックをトンネリングする VPN クライアントのインストール/設定により、長期的なアクセスを確立します。正当なアカウントで動作し、LOLBinsと署名されたシステム・バイナリ（certutil、bitsadminなど）を使用し、検出を減らすために重いmalware 避けます。
Mimikatzやその他のクレデンシャルダンプ技術などのツールを使って、LSASSからクレデンシャルとメモリをダンプする。
確立されたVPNトンネルと正当なリモート・サービスを使用してネットワークをスキャンし、横方向に移動する。
内蔵ユーティリティとリモート・サービスを活用して、他のシステムを調査し、アクセスする。
コマンドや軽量ツールをインタラクティブに実行し、認証情報や設定情報を収集し、確立されたトンネルやプロキシングホストを経由してデータを流出させる。
マイクロソフトは、このキャンペーンで広範な破壊的行動を観察していない。この活動は、妨害行為というよりも、むしろステルスアクセスと収集に重点を置いているようだ。
亜麻タイフーンが使用したTTP
Vectra AIで亜麻タイフーンを検知 方法
よくあるご質問(FAQ)
Flax Typhoonは破壊的なランサムウェアなのか、それともスパイ活動に特化したものなのか？
マイクロソフトは、破壊的なランサムウェアではなく、長期的なアクセスやクレデンシャルの収集に重点を置いたスパイ的な活動を観察した。
この俳優にとって、何が検出を難しくしているのか？
正規のツール、システム・バイナリ、有効なアカウントの多用は、シグネチャの検出を減少させ、偽陰性を増加させる振る舞い
侵害の疑いをトリアージする際、どのアーティファクトを最優先すべきか？
公開サーバー上の Web シェルファイル、NLA を無効にするレジストリの変更、アクセシビリティのバイナリ置換 (sethc.exe)、非定型アカウント下の SoftEther VPN プロセス、LSASS ダンプ。
使用するハンティングクエリーや検出ルールは公開されていますか？
Microsoftは、KQLの例やTIマッピングを含む、Microsoft 365 DefenderとSentinelのハンティングクエリと検出例を公開しています。これらをベースラインとして使用し、お客様のテレメトリに適応させてください。
マイクロソフトがリストアップしたIPをブロックすべきか？
悪意のある既知のインフラを運用可能な範囲でブロックまたはシンクホールするが、IPは刹那的なものとして扱う。カバレッジを持続させるために、IPブロックと振る舞い 検出を組み合わせる。
検出後の修復の優先順位は？
侵害されたホストを直ちに隔離して調査し、影響を受けたアカウントをリセットし、ウェブシェルが見つかったインターネットに面したサーバーを再構築し、クレデンシャルのローテーションを実行する。
このグループを発見するために最も価値のあるテレメトリーは何か？
エンドポイントでのプロセス作成とコマンドラインの遠隔測定、異常な外部エンドポイントへのネットワーク接続、ウェブサーバーのファイル変更とHTTPログ、LSASSアクセスのEDRトレース。
標準的なAV製品は工具を検知 のか？
いくつかのツール（Mimikatz、既知のバックドア）はAVによって検出されるが、Flax Typhoonの活動の多くはLOLBinsと正規のツールを使用している。
迅速な硬化チェックリストは？
パブリックサービスへのパッチ適用、MFAの実施、NLAの再有効化、条件付きアクセスまたはジャンプホストによるRDPおよびVPNアクセスの制限、LSASS保護の有効化、certutil/bitsadminの使用状況の監視。
公式詳細、狩猟に関する問い合わせ、IOCはどこで入手できますか？
マイクロソフトのブログ記事には、完全な分析、ハンティングクエリー（KQL）が掲載されている。