中国を拠点とする企業「ITG」が支援するサイバー攻撃グループの手口を解説、国際アドバイザリーに日本も共同署名

「Chinese Government-linked Cyber Threat Actors Combine Automated and Hands-on Hacking Tools to Steal Sensitive Data」より

　中国を拠点とする企業「永信至誠科技集団」（ITG：Integrity Technology Group）が支援するグループによるサイバー攻撃に関する国際アドバイザリー「Chinese Government-linked Cyber Threat Actors Combine Automated and Hands-on Hacking Tools to Steal Sensitive Data」（中国政府と関連したサイバー攻撃グループによる複合型侵入手法の分析：自動化ツールと手動攻撃による機密データ窃取）の署名に加わったとして、国家サイバー統括室（NCO）と警察庁は10月9日に情報を公開した。

　同アドバイザリーは、米国が作成したもので、米国と日本のほか英国、豪州、カナダ、スペイン、ニュージーランドの計7カ国が共同署名している。ITGは中国政府と関連があり、中国関連のサイバー攻撃グループが米国ほか海外の複数セクターの組織のネットワークを侵害し、世界規模での機密データ窃取を可能にしていると指摘。ITGおよび関連グループの手段や侵害の指標などを分析するとともに、緩和策や脅威の探知方法を提供する。

　同グループは、大規模なボットネット、VPN、LOTL（Living-Off-The-Land：環境に寄生し、検知を回避しながら正規の機能を悪用して情報窃取や攻撃を行う手口）、コンピューターネットワーク侵害（CNE：Computer Network Exploitation。ネットワークに侵入し、攻撃などは行わず情報窃取を行う手口）といった特徴的な組み合わせを利用している。攻撃あるいは侵入の標的は政府関連サービス・施設や重要製造業、医療・公衆衛生、情報通信などを含む米国の重要インフラ。ほかに、法執行機関、教育機関、宗教団体、東南アジアやアフリカなども挙げられている。

　使用するツールは、オープンソースの各種ポートスキャンツール、各種エクスプロイト（脆弱性を突いた攻撃・侵入）コードをもとにしたコマンドラインユーティリティのほか、脆弱性自動スキャンツール「MicroScan」、Microsoft Exchangeなどを標的にしたパスワード攻撃ツール「Eburst」など。

　攻撃・侵入はこれらのツールにより、既知の脆弱性を突くことで行われており、実際に悪用された脆弱性の中には、2014年に発見されているGNU bashの脆弱性（CVE-2014-6278）、2015年に発見されたProFTPDの脆弱性（CVE-2015-3306）のような、古いものも挙げられている。

　主な緩和策としては、迅速に脆弱性対策パッチを適用すること、不使用のサービスやポートを無効化すること、クロスサイトスクリプティング（XSS）を防止するためユーザー入力をサニタイズ（攻撃コードなどを検知・除去し無害化）すること、できる限り全てのサービスに多要素認証を導入することといったことが挙げられている。

　また、管理ツールや標準コマンドが不審な権限や想定外の用途で実行されていないか監視する、コマンドラインの引数やファイアウォールログを監視するなど、LOTL対策についても言及されている。