グローバル脅威インテリジェンス・レポート

内部脅威とは、BlackBerry が自社の顧客ベース内で特定し、防御する脅威である。外部からの脅威（次のセクションで取り上げる）とは、業界紙、セキュリティ・ベンダー、政府機関など、第三者から報告される脅威のことである。

タイプインフォスティーラー

ターゲット通信、ヘルスケア

地域ラテンアメリカ（LATAM）、北米

Vidarは2018年から存在する情報窃盗犯だ。かつて悪名を馳せた情報窃取者Arkeiの分派である可能性が高いVidarは、極めて活発な活動を続けており、しばしばアンダーグラウンド・フォーラムでマルウェア・アズ・ア・サービス（MaaS）を介して販売されている。このマルウェアは非常に柔軟性が高く、フィッシング文書やマルバタイジング（マルウェアを拡散させる広告）、他のマルウェアを介した二次配布など、さまざまな方法で被害者のデバイスに落とすことができる。2024年の初めには、Vidarが重要なインフラを標的にするためにも使用されていることが確認されています。この報告期間中、Vidarは、特にラテンアメリカ諸国において、主に通信およびヘルスケア分野を攻撃していることが確認されており、北米ではヘルスケアを標的としていることも確認されています。

タイプダウンローダー

ターゲット食料・農業、ヘルスケア

地域 ラタム、北米

2011年から稼働しているSmokeLoaderは、さまざまなトロイの木馬、情報窃取、さらにはランサムウェアを含む、第2段階の悪意のあるペイロードの著名な配信メカニズムです。MaaSとして販売されているSmokeLoaderは、ユーザー認証情報を採取することもできます。追加のマルウェアを展開する能力があるため、多くの著名な脅威グループに人気がある。2024年5月、欧州刑事警察機構（Europol）は、悪意のあるダウンローダーを標的とした「Operation Endgame」を実施した。100以上のマルウェアサーバがダウンまたは停止され、2,000以上のドメインが法執行機関によって押収されました。これらの措置により、SmokeLoaderの背後にいる脅威グループの活動は大幅に停止しましたが、今四半期においても、北米の医療分野や中南米の食品・農業分野において、同マルウェアに関連するバイナリが確認されています。

タイプインフォスティーラー

ターゲット電気通信、食品・農業、ヘルスケア

地域ラタム、北米

RiseProは、アンダーグラウンド・フォーラムでMaaSとして販売されることが多い多機能情報窃取ツールである。RiseProは当初、2022年後半に観測された。その後、2023年後半から2024年前半にかけて、BlackBerry 、RiseProの活動が急激に増加していることに気づきました。

RisePro infostealerは、悪意のあるリンクや電子メールの添付ファイルなど、さまざまな方法で被害者のデバイスにインストールされます。また、マルウェア配布サービスとしてよく使用されるペイ・パー・インストール（PPI）マルウェアであるPrivateLoaderを介して展開されることもあります。

被害者のデバイスに侵入すると、RiseProはコマンド・アンド・コントロール（C2）サーバーと通信し、そこでデータを盗み出したり、追加のマルウェアを投下したり、デバイスから情報を流出させたりするコマンドを受け取ります。今期、RiseProは、ラテンアメリカ諸国では食品、農業、電気通信企業を、北米では医療サービスを標的としていることが確認されています。

タイプダウンローダー

ターゲット教育、交通、医療、食料、農業

地域 APAC、北米

GuLoader（別名CloudEyE）は、他のマルウェアを配布する著名なダウンローダーです。2020年以降、GuLoaderの背後にいる脅威グループは、セキュリティサービスによる攻撃の特定や対策の考案がより困難になるよう、アンチ解析技術を追加しています。GuLoaderは通常、他のマルウェア、すなわちFormBook、Agent Tesla、Remcosのような情報窃取者と連携して動作します。

今回の報告サイクルでは、GuLoaderは主に北米の運輸、食品、農業、教育分野の組織を標的としているようであった。しかし、GuLoaderのバイナリは、APAC諸国の輸送会社でも発見された。

タイプインフォスティーラー

ターゲット食料・農業、エネルギー、金融

地域 APAC, LATAM, 北米

Lumma Stealer（別名LummaC2）はCベースの情報窃盗犯で、2回目の報告期間中、LATAMの食品および農業企業、APACのエネルギー・セクターを標的としている。Lumma Stealerは、銀行詐欺を行うためにログイン認証情報や銀行情報のような機密データの流出を専門とするMaaSです。さらに、Lumma Stealerは北米とAPACの金融サービス企業を標的としていた。

内部脅威とは、BlackBerry が自社の顧客ベース内で特定し、防御する脅威である。外部からの脅威（次のセクションで取り上げる）とは、業界紙、セキュリティ・ベンダー、政府機関など、第三者から報告される脅威のことである。

タイプボット/詐欺師

ターゲット製造業、商業サービス業、資本財

地域欧州、中東、アフリカ（EMEA）、APAC、LATAM

2018年に初めて登場したAmadeyは、現在も脅威の現場で活動を続けているモジュール型マルウェアです。反復的な変更を通じて、最近の通信の進歩に関連性を保っている。Amadeyは、C2にデータを流出させる前に、インテリジェンスを収集し、被害者のマシンをポーリングすることができます。また、他のマルウェアを一斉に拡散するボットネットワークとして使用されることも多く、情報窃取者や悪意のあるクリプトマインダーの配備を促進することも頻繁にあります。

この報告期間中、アマデイはEMEA、APAC、LATAM地域における製造および商業サービス、また特にLATAM諸国における資本財サービスをターゲットとした。

タイプダウンローダー

ターゲット製造業、商業サービス業

地域APAC, LATAM, 北米

PrivateLoaderは、マルウェアを配布するための有料インストールサービスとして動作する、マルウェアの広範な促進者です。多くの場合、「クラックされた」ソフトウェアをホストする偽のウェブサイトを介して配布されるPrivateLoaderは、RiseProのような広範な情報窃取者を含む、さまざまな悪意のあるペイロードをダウンロードすることができます。PrivateLoaderは、SEOポイズニングとして知られるテクニックを使用し、偽ウェブサイトの存在感を高めます。このテクニックは、検索結果の上位が最も信頼できると思わせることでユーザーを騙し、検索結果をよく見ていない場合に非常に効果的です。この報告期間中、PrivateLoaderは北米の製造業、中南米とアジア太平洋地域の商業サービスを標的としていた。

タイプリモートアクセス型トロイの木馬

ターゲット製造業、食品小売業、商業サービス業

地域APAC, LATAM, 北米

Agent Teslaは、2014年以来、Microsoft Windows OSベースのシステムを使っているユーザーを積極的にターゲットにしている、情報窃盗に特化した著名なリモートアクセス型トロイの木馬（RAT）です。アンダーグラウンドのフォーラムを通じて販売され、MaaSとして提供されるこの商用マルウェアは、機密データや認証情報を盗み出し、キー入力を記録し、被害者の画面のスクリーンショットをキャプチャすることで知られています。このマルウェアはしばしばフィッシング・キャンペーンに利用され、トロイの木馬化されたクラック・ソフトウェアとしてホスト／配布されています。

このサイクルでは、APAC、LATAM、北米の国々で、製造業、食品小売業、商業サービス業など、多くのセクターがテスラ代理店の標的となった。

タイプインフォスティーラー

ターゲット食品小売業

地域APAC

FormBookとその進化系であるXLoaderは、複雑な情報窃取と、追加マルウェアのための多用途なダウンローダーの両方として動作する洗練されたマルウェア・ファミリーです。これらのマルウェアファミリーは、その誕生以来、アンチVMテクニック、プロセスインジェクション、カスタム暗号化ルーチンによってサイバー防御を回避し、回避するために、弾力性を持ち、常に進化し続けています。

MaaSとして販売されることが多いXLoaderは、ブラウザや電子メールクライアント、その他さまざまなアプリケーションからデータを盗むことができる。今四半期、XLoaderに関連する多くのサイバー事件がAPAC諸国の食品小売業者を標的にした。

タイプダウンローダー

ターゲット商業サービス、食品小売業、製造業

地域APAC、EMEA、北米

CloudEyEとしても知られるGuLoaderは、他のマルウェアの配信メカニズムとして多くの攻撃で使用されている著名なダウンローダーである。2020年以降、、繰り返し変更を行い、より洗練され、追加のアンチ解析テクニックを統合しています。GuLoaderは通常、他のマルウェア、すなわちFormBook、Agent Tesla、Remcosのような情報窃盗犯と連携します。

今四半期、GuLoaderは北米の製造業、APACの食品小売業、EMEAとAPACの商業サービスをターゲットとした。

タイプインフォスティーラー

ターゲット商業サービス、資本財

地域APAC

RiseProは、アンダーグラウンド・フォーラムでしばしばMaaSとして販売されている多機能情報窃盗犯である。RiseProは当初、2022年後半に観測された。その後、2023年後半から2024年前半にかけて、BlackBerry 、RiseProの活動が急激に増加していることに気づきました。RiseProは、多くの場合、悪意のあるリンクや電子メールの添付ファイルを通じて、さまざまな方法で被害者のデバイスにドロップされます。また、マルウェア配布サービスとして頻繁に使用されるPPIマルウェアであるPrivateLoaderを介して展開されることもあります。デバイス上に侵入すると、RiseProはC2サーバーと通信し、そこでデータを盗んだり、追加のマルウェアを落としたり、被害者のデバイスから情報を抜き取ったりするコマンドを受け取ります。

タイプインフォスティーラー

ターゲット製造業、食品小売業、商業サービス業、資本財

地域アジア太平洋、中東、ラタム

Vidarは2018年から存在する情報窃盗犯で、Arkeiとして知られる情報窃盗犯の分派かもしれない。Vidarは非常に活発に活動しており、アンダーグラウンドのフォーラムを通じてMaaSとして販売されることも多い。このマルウェアは非常に柔軟で、フィッシング文書やマルバタイジング（マルウェアを拡散する広告）、他のマルウェアを介した二次配布など、さまざまな方法で被害者のデバイスに落とすことができる。この報告期間中、Vidarは、EMEAの製造業、APACの食品小売業、LATAMの資本財、LATAMとAPACの商業サービスなど、多くの商業エンタープライズ業界を標的とした。

当社の内部調査や調査結果で指摘された脅威行為者以外にも、今期はいくつかのグループがさまざまなサイバー攻撃を仕掛けている。これらのグループは、多くの場合、不正な活動を実行するためにさまざまなツールやマルウェアを使用しています。ここでは、今四半期に当社の脅威リサーチ・インテリジェンスチームが確認した、最も影響力のある攻撃者と注目すべきツールを紹介します。

BlackSuitは、2023年4月に表面化した民間のランサムウェア作戦である。このグループは、被害者データの流出と暗号化の両方を含む、多面的な恐喝戦略を採用しています。また、コンプライアンスを遵守しない被害者から盗んだ機密データを公開するダークウェブのデータ漏洩サイトも運営しています。BlackSuitは、医療、教育、情報技術（IT）、政府、小売、製造など、さまざまな業界のあらゆる規模の組織を標的としています。

BlackSuitの攻撃手法には、フィッシングメール、悪意のあるトレントファイル、VPNやファイアウォールの脆弱性の悪用などがあります。このグループは、Cobalt Strike、WinRAR、PuTTY、Rclone、Advanced IP Scanner、Mimikatz、PsExec、Rubeus、GMERなどの正規ツールと悪意のあるツールを組み合わせて、横の動きやクレデンシャルのダンプに活用しています。ランサムウェアのペイロードは、Windows®とLinux®の両方のオペレーティング・システム、場合によってはVMware ESXiサーバーをターゲットに設計されています。

米国保健福祉省は、BlackSuitとRoyalランサムウェアの類似性を強調し、BlackSuitがRoyalの作成者である悪名高いContiグループに由来する可能性を示唆している。BlackSuitが使用する暗号化メカニズムやコマンドラインパラメータは、Royalに見られるものと酷似しており、コードベースが共有されていることを示しています。

今期の目標は以下の通り：

• 日本のメディア・コングロマリットである株式会社KADOKAWAは、同グループがQihoo 360アンチウイルス・ソフトウェアの正規コンポーネントを装っていた。
• その他にも、アイオワ州シーダーフォールズ町、アメリカの多国籍ソフトウェア会社、カンザス市カンザス警察、世界的製薬会社オクタファーマ・プラズマ社などが標的とされている。

BlackBasta（別名Black Basta）はランサムウェアの運営者であり、2022年初頭に表面化したRansomware-as-a-Service（RaaS）犯罪企業である。CISAとFBIの共同報告書によると、BlackBastaの関連会社は、北米、ヨーロッパ、オーストラリアで、医療機関を含む500以上の民間企業や重要なインフラ事業体を標的にしています。

BlackBastaは、フィッシングや既知の脆弱性の悪用など、典型的な初期アクセス方法を採用しています。アクセス権を獲得した後、敵対者はターゲット・ネットワークをマッピングするための偵察を行い、Mimikatzを使用して認証情報をダンプします。取得した認証情報を使用して、ランサムウェアのオペレーターは特権をエスカレートさせ、ネットワークを侵害するために横方向に移動します。暗号化の前に、BlackBastaの脅威行為者は防御を無効化し、機密情報を流出させ、シャドウボリュームコピーを削除して、最終的な攻撃まで姿を隠します。このグループは、重要なデータや重要なサーバーを暗号化し、機密情報を公開リークサイトで公開すると脅すという、二重の恐喝戦術を用いることで知られています。

今報告期間の目標は以下の通り：

• 米国の著名な医療機関。BlackBastaは同医療機関の患者データと業務システムを暗号化し、患者ケアとデータプライバシーを侵害しました。
• 米国のメーカー、キートロニック社。BlackBastaに起因するサイバー攻撃により、同社は業務に支障をきたし、必要不可欠なビジネス・アプリケーションへのアクセスが制限された。さらに、ランサムウェアによって盗まれたデータが流出し、同社はデータ漏洩の被害に遭いました。

これらの攻撃は、BlackBastaが様々なセクターの高価値のターゲットに焦点を当て続け、混乱と恐喝の可能性を最大化するために洗練されたランサムウェアの戦術を採用していることを浮き彫りにしている。

ロシアとの関係が疑われるサイバー犯罪グループLockBitは、その名を冠したマルウェアを通じてRaaSプロバイダーとして特化している。同グループのオペレーターは、ランサムウェアを熱心に維持・強化し、交渉を監督し、侵害が成功するとその展開を指揮する。LockBitは二重の恐喝戦略を採用しており、被害者のアクセスを制限するためにローカルデータを暗号化するだけでなく、機密情報を流出させ、身代金を支払わない限りデータが公開されると脅している。

国際的なサイバー犯罪対策部隊であるオペレーション・クロノスは、2月にロックビットを大きく妨害した。しかし、このグループは依然として非常に活発で、今四半期はEMEAの組織を最も積極的に標的としていました。標的は以下の通り：

• 局地的な重要インフラEMEAでは、ロックビットは主にイギリス、ドイツ、フランスのSMBをターゲットにしている。同グループは主に、教育、医療、公共部門に関連する小規模な重要インフラをターゲットとしています。
• フランスのHôpital de Cannes - Simone Veil。LockBit攻撃は深刻な業務妨害につながり、病院はすべてのコンピュータをオフラインにし、緊急ではない処置や予約のスケジュールを変更せざるを得なくなりました。
• 人口40万人のカンザス州最大の都市ウィチタ。この重大なランサムウェア攻撃により、同市はコンピュータ・システムのオフライン化を余儀なくされ、広範囲に混乱が広がった。ロックビットは身代金の期限をウェブサイトに公開し、要求に応じるよう市の行政への圧力を強めた。

ShinyHuntersは2020年に初めて出現した脅威グループで、複数の業界にわたるデータ侵害で知られている。彼らの攻撃には、インドネシアのeコマース企業Tokopediaや、GitHub、Pizza Hut Australiaに対するものが含まれると報告されている。ShinyHuntersは、盗んだデータをフォーラムで売りに出し、時には無料で流出させることもある。皮肉なことに、このグループはGitHubのリポジトリにあるコードから脆弱性を見つけることが多い。安全でないクラウドバケットを探し回り、盗んだ認証情報を悪用し、フィッシング攻撃を利用して侵入を容易にする。

この報告期間におけるその他の疑惑の対象は以下の通り：

• バンコ・サンタンデールS.A.は、ラテンアメリカ、米国、英国、スペインの顧客にサービスを提供するスペインの銀行である。ShinyHuntersは、この情報漏えいのデータを約200万ドルで売りに出し、3000万人の顧客と従業員に影響を与えました。
• 多国籍エンターテイメントチケット販売流通企業。同社の顧客は、同社が利用するAIデータクラウド「Snowflake」のアカウントを経由してデータを盗まれた。このアカウントには多要素認証がなかったため、脅威グループによるアクセスが可能となった。ShinyHuntersはこのデータを50万米ドルで売ると申し出た。

Akiraランサムウェアは2023年3月に初めて観測され、様々な分野にまたがる広範囲な攻撃により瞬く間に有名になりました。このグループの活動は、注目を集めた一連の攻撃と、ランサムウェアの状況における永続的な存在感によって特徴づけられている。Akiraは特に、データを暗号化するだけでなく、身代金を支払わなければ盗んだデータを流出させると脅す、二重の恐喝戦術を用いることで知られている。この手法は、被害者に要求を飲ませるのに効果的であることが証明されている。

Akiraは、当初Windowsシステムに焦点を当てていたが、その後Linuxの亜種を含むように活動を拡大している。このグループは、フィッシング・キャンペーンや既知の脆弱性の悪用など、一般的な初期アクセス手法を採用しています。Akiraはまた、クレデンシャルアクセスにはMimikatzやLaZagne、リモート実行にはPsExec、リモートアクセスにはAnyDeskやRadminといった一般に入手可能なツールを利用しています。

AkiraはRaaSとして動作し、当初はC++で開発され、暗号化されたファイルには.akira拡張子を使用する。.powerrangesという拡張子を使用するRustベースの亜種も確認されている。Akiraの最近の活動は、ヘルスケア、金融サービス、製造、テクノロジー分野を標的としています。これらの攻撃は、同グループの適応能力の高さと、幅広い業界に対する継続的な脅威を浮き彫りにしています。

Rclone、Rubeus、GMER、WinSCP、Cobalt Strikeのようなツールは、データ管理、侵入テスト、システム保守に欠かせない。また、その柔軟性とアクセシビリティにより、脅威行為者に悪用されやすい便利なツールでもある。

Cobalt Strikeは、ネットワーク環境内の脅威アクターの永続的な存在を再現するために綿密に設計された、洗練された敵対シミュレーションフレームワークとして機能します。Cobalt Strikeは、エージェント（Beacon）とサーバー（Team Server）という2つの重要なコンポーネントを中心に構成され、シームレスな相互作用を組織する。Cobalt Strikeチームサーバーは、インターネット上でホストされる長期的なC2サーバーとして機能し、被害者マシン上に配置されたBeaconペイロードとの常時通信を維持します。

Cobalt Strikeは、主に侵入テスト担当者やレッドチーマーがネットワークのセキュリティ態勢を評価するためのツールとして利用されているが、残念ながら悪意のある脅威行為者にも悪用されている。意図された目的とは裏腹に、そのコードがオンライン上に流出する事例が発生し、多様な敵対者による迅速な武器化につながっています。この二重の性質は、その悪用に関連するリスクを軽減し、潜在的な悪用からネットワークを保護するための警戒と強固なサイバーセキュリティ対策の重要性を浮き彫りにしている。

BlackBerry Research and Intelligence Teamは、最もよく観察された5つのMITREテクニックを分析した：

ハイジャック実行フロー（T1574） は、システムの正常な実行フローを傍受して操作し、代わりに悪意あるコードを実行できるようにするために、敵が採用する巧妙な技法です。この手法は前四半期に非常に多く見られ、永続性を達成し、不正なアクションを実行するのに有効であるため、その人気の高さを示しています。

この手法には、DLLの検索順序の乗っ取り、DLLのサイドローディング、正当なプロセスへの悪意のあるコードの注入など、複数の活用ルートがある。実行フローをハイジャックすることで、攻撃者は標準的なセキュリティ警告をトリガーすることなく、システムをコントロールすることができます。このため、セキュリティ・ツールは、脅威者による今後の活動を検知し、防止することが難しくなります。例えば、悪意のある DLL を、正規の DLL よりも先に検索される場所に配置することで、攻撃者は、正規のアプリケーションが DLL をロードしたときに、自分のコードが確実に実行されるようにすることができます。

敵対者にとってこの手法の大きな利点の一つは、セキュリティ対策を回避できることである。悪意のあるコードは信頼されたプロセスのコンテキストで実行されるため、プロセスの動作分析に依存する従来のセキュリティ・メカニズムを回避することができる。この能力は、特権の昇格からデータの流出まで、幅広い悪意のある活動を実行するために使用できるため、ハイジャック実行フローを特に危険なものにしています。

T1574 を防御するために、組織は、アプリケーションのホワイトリスト化、厳格なパッチ管理、システ ムとネットワーク活動の継続的な監視などの包括的なセキュリティ対策を実施する必要がある。ソフトウェアを定期的に更新し、許可されたアプリケーションのみが実行できるようにすることで、実行フローハイジャックのリスクを大幅に低減することができます。

また、ユーザ意識向上トレーニングは、従業員が潜在的な実行フローハイジャックの兆候を認識する上で重要な役割を果たし、強固なセキュリティ体制の構築に貢献する。最後に、この手法に関連する異常な動作パターンを識別できる高度な脅威検知ソリューションを採用することは、タイムリーな検知と対応に不可欠です。T1574 の使用例には、次のようなものがあります：

• DLL 検索順序のハイジャック：よくある例は、Windows の DLL 検索順序の悪用です。攻撃者が悪意のあるmsvcrt.dllをアプリケーションの作業ディレクトリに置くと、システムディレクトリにある正規のバージョンではなく、アプリケーションによって読み込まれる可能性があります。
• DLLのサイドローディング2018年、APTグループOceanLotusは、正規のMicrosoft Word実行ファイルにDLLサイドローディングを使用して悪意のあるDLLをロードし、永続性を確立してさらなるペイロードを実行しました。
• COMハイジャック：攻撃者は、正規のアプリケーションが頻繁に問い合わせを行う特定のレジストリ・キーの下に、悪意のあるCOMオブジェクトを登録します。アプリケーションがCOMオブジェクトを呼び出すと、意図したCOMオブジェクトの代わりに悪意のあるコードが実行されます。
• Windows の AppInit_DLL：AppInit_DLLsのようなレジストリ・キーを変更することで、攻撃者は悪意のあるDLLが該当するすべてのプロセスにロードされるようにし、これらのプロセスを制御できるようにします。
• 正規プロセスへのインジェクション：この手法では、ペイロードが正規のプロセスにインジェクションされ、セキュリティソフトウェアによる検出を回避します。

Boot or Logon Autostart Execution (T1547) の手法では、攻撃者はまず、システムの起動時またはユーザーのログイン時にマルウェアが自動的に実行されるようにします。その後、攻撃者は、レジストリ キー、スタートアップ フォルダ、スケジュールされたタスク、またはサービス登録などのメカニズムを使用して、持続性を維持したり、侵害されたシステム上で昇格した特権を獲得したりします。これらのメカニズムは、オペレーティング・システム上の正当なソフトウェア機能やシステム管理タスクを容易にするように設計されています。しかし、敵対者はこれらの機能を悪用して悪意のあるコードを埋め込み、通常のシステム操作に紛れ込ませることができます。これらの重要なオペレーティング・システムのメカニズムを理解し、安全性を確保することは、不正な永続化と特権の昇格から保護するために不可欠です。

以下は、永続性を確立するために頻繁に使用されるレジストリキーの場所の例である：

これは、オペレーティング・システムの起動時に自動的に実行されるプ ログラムを設定するために使用されるWindowsレジストリである。

永続性を確立するために使用されるスタートアップフォルダーの例は以下の通りである：

このパスは、ユーザーがログオンしたときに自動的に起動するプログラムへの ショートカットが置かれるスタートアップフォルダーにつながる。

以下は、サービス作成を永続化に活用する方法の例である：

'sc create Updater binPath= "C:˶Windowsmalicious[.]exe" start= auto' - このコマンドはサービスユーティリティを利用して、システム起動時に自動的に開始するように構成された「Updater」という名前のサービスを作成します。

永続性を確立し、昇格した特権を得るもう一つの例は、ウィンドウズのタスクスケジューラを通したものである：

schtasks /create /tn "Updater" /tr "C:˶Windowsmalicious[.]exe" /sc onlogon /ru SYSTEM' - このコマンドは、ユーザーがログオンするたびに指定された場所で実行ファイルmalicious.exeを実行する「Updater」という名前のスケジュールタスクを作成します。

MITREのImpair Defenses (T1562)は、Defence Evasion (TA0005)という戦術の下で、この報告期間中に敵が使用した最も一般的な上位5つのテクニックの1つとして認識されました。このテクニックは、被害者の環境の要素を変化させ、防御メカニズムを妨げたり無効にしたりする。敵対者は、ファイアウォールやアンチウイルス（AV）ソフトウェアのような予防的防御を損なうだけでなく、防御者が活動を監査し、悪意のある行動を特定するために使用する検出機能も妨害します。

脅威行為者が被害者の防御をうまく妨害すると、検知されずに攻撃する自由が得られます。これにより、悪意のあるバイナリを注入し、キーロガー、ワーム、トロイの木馬、悪意のあるウェブシェルなど、MITREの他のテクニックを悪用することが可能になります。これらはすべて、マシン上でランサムウェアを実行させることにつながる。

このような攻撃からシステムを守るためには、MITREのテクニックT1562に対する防御策を採用することが極めて重要です。この技法は攻撃の初期に使用されることが多いため、できるだけ早期に発見し、対策することが重要です。

以下は、監視に便利なコマンドラインのリストである：

• sc stop <ServiceName>
• sc config <ServiceName> start=disabled
• net stop <ServiceName>
• taskkill /IM <ToolName> /F
• netsh advfirewall set allprofiles state off
• bcdedit.exe /deletevalue {default} セーフブート
• bcdedit /set {default} recoveryenabled no

BlackBerry のスペシャリストは、Discovery 戦術（TA0007）の下にある Application Window Discovery 戦術（T1010）を、今回の報告期間中にサイバー脅威行為者によって使用された上位の技 術の 1 つとして特定しました。この手法では、開いているWindowsアプリケーションをリストアップし、脅威行為者にターゲットシステムの使用パターンに関する有益な洞察を提供します。この情報は、収集する価値のある特定のデータや、攻撃者が検知を回避するために回避しなければならないセキュリティソフトウェアを特定する上で非常に貴重なものとなります。脅威行為者はこのテクニックを使用して、環境をよりよく理解し、検出されずに可能な限り攻撃的な攻撃を計画します。

開いているWindowsアプリケーションのリストを最初に取得するために、攻撃者は通常、組み込みのシステム機能を悪用する。例えば、必要な情報を収集するために、コマンドやスクリプティング・インタープリターからのコマンドや、ネイティブAPIからの関数を利用するかもしれない。これらのネイティブツールや関数は、疑われる可能性が低く、システムに関する包括的な情報を提供できるため、しばしば使用される。

このような挙動は疑わしいものであり、敵対者に被害者のシステムに関する重要な情報を提供する可能性があることを考えると、敵対者が実行したこれらのコマンドやアクションを検出できるセキュリティ・ソフトウェア構成を持つことが重要である。

以下は、監視に役立つコマンドラインのリストである：

• gps | where {$_.mainwindowtitle}.
• Get-Process｜ WhereオブジェクトMainWindowTitle
• "cscript.exe"、"rundll32.exe"、"explorer.exe"、"wscript.exe"、"PowerShell.exe"、"pwsh.dll"、"winlogon.exe"、"cmd.exe "は、これらのAPIを使用するための親プロセスです："user32.dll!GetWindowTextA"、"user32.dll!GetForegroundWindow"、"user32.dll!GetActiveWindow"、"user32.dll!GetWindowTextW"
• タスクリスト & タスクリスト /v

MITRE ATT&CK フレームワークでは、ディスカバリー戦術（TA0007）の主要なテクニックとしてソフトウェア・ディスカバリー（T1518）を挙げています。この手法は、敵対者が標的とするシステムのソフトウェア環境を把握するために頻繁に使用され、多くのサイバー攻撃において重要なステップとなっています。ソフトウェア・ディスカバリーにより、攻撃者はシステムにインストールされているアプリケーションとバージョンを特定することで、脆弱性を特定することができます。この情報は、攻撃者が古いソフトウェアやパッチが適用されていないソフトウェアを悪用したり、セキュリティ対策を無効にしたり回避したりする方法を計画したり、最大限の効果を得るために攻撃を調整したりするのに役立ちます。

ソフトウェアを発見する一般的な方法には、wmic "product" get name, version, vendorのようなコマンドを使ったWindows Management Instrumentation (WMI)の使用や、Get-ItemPropertyやGet-WmiObjectのようなPowerShellスクリプトがあります。これらの方法によって、攻撃者は詳細なソフトウェア情報を取得し、Windowsレジストリを照会し、実行中のプロセスと関連するアプリケーションを特定することができます。ソフトウェアの発見が成功した場合の影響は大きい。攻撃者は、特定されたソフトウェアの脆弱性を悪用して、特権を昇格させたり、任意のコードを実行したりすることができる。また、セキュリティ防御を無効にしたり、回避したりすることもできるため、発見されずに活動できる可能性が高まります。さらに、敵対者はソフトウェア環境を理解することで、発見されたアプリケーションに特化したマルウェアを展開し、攻撃の有効性とステルス性を高めることができます。

この手口から身を守るために、組織は強固な監視と警告の仕組みを導入すべきである。一般的にソフトウェア発見に関連するコマンドやスクリプトの使用を監視することは不可欠である。行動分析を使用する高度な脅威検知システムを採用することで、通常とは異なる活動を検知することができる。すべてのソフトウェアが最新であり、パッチが適用されていることを確認し、管理ツールの使用を許可された担当者に限定し、コマンド実行の包括的なログを維持することも、重要なステップである。