Flax Typhoon
Flax Typhoonは中国を拠点とするサイバースパイグループで、従来のマルウェアに頼ることなく、一般向けのサービスを悪用し、正規のソフトウェアを使用してステルス的に長期的なアクセスを維持することで組織に潜入します。
Flax Typhoonの起源
Flax Typhoonは、Microsoftが2021年半ばから追跡している中国ベースの中国を拠点とする国家支援型の活動グループです。このグループは、長期的なアクセスとスパイ活動に重点を置き、独自のマルウェアをほとんど使用せずに活動しています。その代わりに、標準のシステムバイナリ(Living-off-the-Land Binaries)や正規のサードパーティ製ソフトウェア、Webシェル、そしてハンズオンキーボードによる手動操作を多用し、標的ネットワーク内で静かに存在を維持します。Microsoftは、主に台湾の組織を標的としたキャンペーンをこのグループに帰属させていますが、他の地域でも活動が確認されています。
Flax Typhoonの標的国
活動は台湾に集中していますが、東南アジア、北米、アフリカでも被害者が出ています。ツールやテクニックは再利用可能であり、この地域以外でも適用可能です。
Flax Typhoonの対象業界
Flax Typhoonは、主に政府機関、教育機関、重要な製造業、情報技術機関を標的としています。このキャンペーンは、破壊的というよりむしろ収集志向であり、スパイの目的と一致しています。
Flax Typhoonの被害対象
Microsoftによると、被害を受けた組織は数十にのぼり、インターネットに面したサーバー、VPNゲートウェイ、ウェブ、Java、SQLサービスを実行しているサーバーなどが被害を受けています。最初のアクセスは、一般的に公開サービスとウェブシェルを利用します。
Flax Typhoonの攻撃方法
公開アプリケーションやサービスの既知の脆弱性を悪用し、China Chopperのようなウェブシェルを展開します。
公開されているオープンソースの特権昇格ツール(Juicy Potato、BadPotato、およびその亜種)と既知の脆弱性を悪用して、侵害されたホストの特権を昇格させます。
RDP パーシステンスの有効化、ネットワーク レベル認証 (NLA) の無効化、アクセシビリティ バイナリ (Sticky Keys/sethc.exe) の置き換え、アクター インフラストラクチャにトラフィックをトンネリングする VPN クライアントのインストール/設定により、長期的なアクセスを確立します。正当なアカウントで動作し、LOLBinsと署名されたシステム・バイナリ(certutil、bitsadminなど)を使用し、検出を減らすために重いmalware 避けます。
Mimikatz やその他の資格情報ダンピング手法を用いて、LSASS から資格情報やメモリをダンプします。
確立されたVPNトンネルと正当なリモートサービスを使用してネットワークをスキャンし、ラテラルムーブします。
内蔵ユーティリティとリモートサービスを活用して、他のシステムを調査し、アクセスします。
コマンドや軽量ツールをインタラクティブに実行し、認証情報や設定情報を収集し、確立されたトンネルやプロキシングホストを経由してデータを流出させます。
Microsoft は本キャンペーンにおいて大規模な破壊行為を確認しておらず、この活動は破壊ではなく、秘匿性の高いアクセスと情報収集に焦点を当てていると見られます。
公開アプリケーションやサービスの既知の脆弱性を悪用し、China Chopperのようなウェブシェルを展開します。
公開されているオープンソースの特権昇格ツール(Juicy Potato、BadPotato、およびその亜種)と既知の脆弱性を悪用して、侵害されたホストの特権を昇格させます。
RDP パーシステンスの有効化、ネットワーク レベル認証 (NLA) の無効化、アクセシビリティ バイナリ (Sticky Keys/sethc.exe) の置き換え、アクター インフラストラクチャにトラフィックをトンネリングする VPN クライアントのインストール/設定により、長期的なアクセスを確立します。正当なアカウントで動作し、LOLBinsと署名されたシステム・バイナリ(certutil、bitsadminなど)を使用し、検出を減らすために重いmalware 避けます。
Mimikatz やその他の資格情報ダンピング手法を用いて、LSASS から資格情報やメモリをダンプします。
確立されたVPNトンネルと正当なリモートサービスを使用してネットワークをスキャンし、ラテラルムーブします。
内蔵ユーティリティとリモートサービスを活用して、他のシステムを調査し、アクセスします。
コマンドや軽量ツールをインタラクティブに実行し、認証情報や設定情報を収集し、確立されたトンネルやプロキシングホストを経由してデータを流出させます。
Microsoft は本キャンペーンにおいて大規模な破壊行為を確認しておらず、この活動は破壊ではなく、秘匿性の高いアクセスと情報収集に焦点を当てていると見られます。
Flax Typhoonが使用したTTP
Vectra AIでFlax Typhoonを検知する方法
よくあるご質問(FAQ)
Flax Typhoonは破壊的なランサムウェアなのか、それともスパイ活動に特化したものなのか？
マイクロソフトは、破壊的なランサムウェアではなく、長期的なアクセスやクレデンシャルの収集に重点を置いたスパイ的な活動を観察した。
このアクターにとって、何が検出を難しくしているのか？
正規のツール、システム・バイナリ、有効なアカウントの多用は、シグネチャの検出を減少させ、偽陰性を増加させる振る舞い
侵害の疑いをトリアージする際、どのアーティファクトを最優先すべきか？
公開サーバー上の Web シェルファイル、NLA を無効にするレジストリの変更、アクセシビリティのバイナリ置換 (sethc.exe)、非定型アカウント下の SoftEther VPN プロセス、LSASS ダンプ。
使用するハンティングクエリーや検出ルールは公開されていますか？
Microsoftは、KQLの例やTIマッピングを含む、Microsoft 365 DefenderとSentinelのハンティングクエリと検出例を公開しています。これらをベースラインとして使用し、お客様のテレメトリに適応させてください。
マイクロソフトがリストアップしたIPをブロックすべきか？
悪意のある既知のインフラを運用可能な範囲でブロックまたはシンクホールするが、IPは刹那的なものとして扱う。カバレッジを持続させるために、IPブロックと振る舞い 検出を組み合わせる。
検出後の修復の優先順位は？
侵害されたホストを直ちに隔離して調査し、影響を受けたアカウントをリセットし、ウェブシェルが見つかったインターネットに面したサーバーを再構築し、クレデンシャルのローテーションを実行する。
このグループを発見するために最も価値のあるテレメトリーは何か？
エンドポイントでのプロセス作成とコマンドラインの遠隔測定、異常な外部エンドポイントへのネットワーク接続、ウェブサーバーのファイル変更とHTTPログ、LSASSアクセスのEDRトレース。
標準的なAV製品は工具を検知 のか？
いくつかのツール(Mimikatz、既知のバックドア)はAVによって検出されるが、Flax Typhoonの活動の多くはLOLBinsと正規のツールを使用している。
迅速な硬化チェックリストは？
パブリックサービスへのパッチ適用、MFAの実施、NLAの再有効化、条件付きアクセスまたはジャンプホストによるRDPおよびVPNアクセスの制限、LSASS保護の有効化、certutil/bitsadminの使用状況の監視。
公式詳細、ハントに関する問い合わせ、IOCはどこで入手できますか？
マイクロソフトのブログ記事には、完全な分析、ハンティングクエリー(KQL)が掲載されている。