Google CloudがAOMEI更新基盤の設定改ざんを紹介、利用組織は4〜7月の遡及調査が必要

短時間だけ設定を書き換える改ざんの特徴

SolarWindsや3CXのような従来のサプライチェーン攻撃は、ソースコードやビルドパイプラインを改ざんしていました。改ざんされたソースは公式リリースに持続的な痕跡を残し、リリース後のバイナリ分析で発見される可能性があります。^[1]

図1　従来手法の中心とUNC7017の事例の違い

一方、UNC7017は一時的な設定改ざんを用いており、主な特徴は以下の通りです。

Google Cloudは、今回の攻撃活動をソフトウェアのサプライチェーン攻撃の手法の広い変化を示す例と見ています。UNC7017の一時的な設定改ざんは、より手間が少なく発見されにくい代替手段と位置付けています。

AOMEIのサーバー対処後も端末に残る影響

サーバー側の是正は、以前の改ざん期間に不正な更新をダウンロードした端末を浄化しません。改ざんが短時間に集中したため、能動的な端末調査と是正をしない限り、組織が気付かないまま侵害が続く可能性があります。^[1]

図2　サーバー側の是正後も残る問題

改ざん中に更新を確認した端末には、スケジュールタスクで動く常駐型のペイロードが配置され、サーバーの.iniファイルが正規に戻っても動き続けます。改ざんは約5分で終わり、ローダーが端末の設定ファイルも戻したため、数時間後にURLを調べても正規の基盤しか見えず、根本原因の特定を難しくする要因です。

AOMEIのソフトウェアを使う組織は、ベンダーのサーバー側の対処だけを理由に、保護されているとはみなせません。企業のセキュリティチームは、公開された指標とYARAルールを使い、4〜7月の期間全体で端末とネットワークを遡って調べる必要があります。

AOMEI利用組織が取る調査と防御の措置

AOMEIのソフトウェアを使う組織の場合は、4〜7月を対象に端末のファイルやタスク、レジストリ、通信ログを遡る案を編集部は示します。通信の遮断は遡及調査と別の措置です。

図3　AOMEI利用組織の確認範囲（編集部整理）

防御側は、更新処理の振る舞いの監視に重点を置くべきです。背景で動く更新処理が起動した未署名の子プロセスや、信頼されたデスクトップソフトからの無許可の通信の転送を監視します。^[1]

端末で調べるディレクトリと痕跡

端末では、不正なペイロードと検索順序の乗っ取りに悪用された正規の署名済みバイナリの区別が必要です。調べるディレクトリと痕跡は以下の通りです。

図4　端末の痕跡を調べる範囲と区別の対象

ディレクトリ別の確認項目

FamItrfc.exeはFamatechの正規ソフトウェアですが、BlkScrDl.dllの乗っ取りに悪用されています。防御側のトリアージとハンティングの指針は、以下の通りです。

--nitrodで起動された短命の子プロセスは、NTFSストリームの上書き（:wtfbbq）でCROSSROADを消去します。AOMEIのインストール先にあるTmphtml\とhtml\は、更新処理の配置場所です。

タスクやレジストリの確認項目

スケジュールタスクでは、\NitroRuntimeや\RadminComponentRuntimeという名前の無許可のタスクを確かめます。\REGISTRY\MACHINE\SYSTEM\Software\Microsoft\TIP\AggregateResults\dataでは異常なバイナリデータを探します。

図5　スケジュールタスクの確認対象

外部通信の確認と遮断

外部への通信で遮断や確認をする値は以下の通りです。

外部IPアドレスへの外向きのSMB（TCP 445）とWebDAVは、NTLM認証情報の強制を防ぐために遮断します。Anyviewer-loader/1.0とserv.oss-cn-hongkong.aliyuncs.comは、プロキシやWebゲートウェイのログで確かめます。

AOMEI更新処理のアラートで避ける見落とし

更新処理が起動した不審なプロセスでEDRのアラートが出ると、SOCの担当者はベンダーのダウンロードURLやURLの評判を確かめがちです。攻撃者が5〜10分以内に設定ファイルを戻したため、ベンダーのサーバーは大半の時間に正規のファイルを返し、誤検知として見逃されるおそれがあります。^[1]

図6　誤検知と判断しないための確認点

対応者はライブのWeb確認に頼らず、%PROGRAMFILES(X86)%\AOMEI\*\Tmphtml\にキャッシュされた設定ファイルを保全し、分析する必要があります。アラート発生の正確な秒に対応する、プロキシやファイアウォールの記録も確認の対象です。

Nitro PDFを装ったAdaptix C2の配置は、アラートを利用者が始めた単独のダウンロードと誤認させるおそれがあります。対応者は、更新処理の親プロセスをたどり、根本原因であるサプライチェーンの改ざんを特定する必要があります。

遠隔設定ファイルを使うソフトの配布経路対策

デスクトップソフトが遠隔の設定ファイルで更新や通知を管理する場合、攻撃者はソースコードではなく配布層を狙えます。開発元が設定改ざんや配布経路の乗っ取りに備えて実装すべき管理策は以下の通りです。^[1]

更新クライアントは、通信路のHTTPSや認証されない設定内の平文MD5値だけに頼るべきではありません。更新処理を宣伝から分離すると攻撃対象領域が減り、広告の経路から端末でのコード実行を起こせなくなります。