MagicWeb ミステリーは、Nobelium 攻撃者の巧妙さを浮き彫りにします

マイクロソフトは、ロシアに関連する Nobelium グループによって開発された Active Directory Federated Services (AD FS) の高度な認証バイパスを突き止めました。 

認証バイパスを可能にするマルウェア (Microsoft は MagicWeb と呼んでいます) により、Nobelium は匿名の顧客の AD FS サーバーにバックドアを埋め込み、特別に細工された証明書を使用して通常の認証プロセスをバイパスすることができました。 マイクロソフトのインシデント レスポンダーは、認証フローに関するデータを収集し、攻撃者が使用した認証証明書を取得してから、バックドア コードをリバース エンジニアリングしました。

XNUMX 人の調査員は、Microsoft の検出および対応チーム (DART) によると、「誰がどのように実行するかということよりも、誰がどのように行うかに重点を置いていませんでした。 Incident Response Cyber​​attack Seriesの出版物に記載されています.

「Nobelium のような国家レベルの攻撃者は、スポンサーから一見無制限の金銭的および技術的サポートを受けているだけでなく、独自の最新のハッキング戦術、技術、および手順 (TTP) にアクセスできます」と同社は述べています。 「ほとんどの悪役とは異なり、Nobelium は彼らが触れるほとんどすべてのマシンで彼らのトレード クラフトを変更します。」

この攻撃は、技術サプライ チェーンをますます標的とする APT グループの巧妙化を浮き彫りにしています。 SolarWindsなど 違反、および ID システム. 

サイバーチェスの「マスタークラス」

MagicWeb は、AD FS システムへの管理アクセスを取得することで、高度な特権を持つ証明書を使用してネットワークを横方向に移動しました。 AD FS は、オンプレミスおよびサード パーティのクラウド システム全体でシングル サインオン (SSO) を実装する方法を提供する ID 管理プラットフォームです。 Nobelium グループは、.NET インフラストラクチャのあいまいな部分である Global Assembly Cache にインストールされたバックドア ダイナミック リンク ライブラリ (DLL) とマルウェアを組み合わせた、と Microsoft は述べています。

マジックウェブ、 Microsoft は 2022 年 XNUMX 月に最初に説明されましたは、AD FS サーバーから証明書を盗むことができる FoggyWeb などの以前のエクスプロイト後のツールに基づいて構築されました。 これらを武器に、攻撃者は組織のインフラストラクチャに深く侵入し、途中でデータを盗み出し、アカウントに侵入し、ユーザーになりすます可能性があります。

Microsoft によると、高度な攻撃ツールと手法を明らかにするために必要な労力のレベルは、攻撃者の上層部が企業に最善の防御策を講じることを要求していることを示しています。

「ほとんどの攻撃者は印象的なチェッカー ゲームをプレイしますが、マスタークラス レベルのチェス ゲームをプレイする高度で持続的な攻撃者を目にすることが増えています」と同社は述べています。 「実際、Nobelium は引き続き非常に活発であり、米国、ヨーロッパ、中央アジアの政府機関、非政府組織 (NGO)、政府間組織 (IGO)、およびシンクタンクを標的とした複数のキャンペーンを並行して実行しています。」

ID システムの権限を制限する

企業は、AD FS システムとすべての ID プロバイダー (IdP) を、ドメイン コントローラーと同じ保護層 (層 0) 内の特権資産として扱う必要があると、Microsoft はインシデント対応アドバイザリで述べています。 このような手段により、これらのホストにアクセスできるユーザーと、それらのホストが他のシステムで実行できる操作が制限されます。 

さらに、サイバー攻撃者の運用コストを引き上げる防御手法は、攻撃の防止に役立つ可能性があると Microsoft は述べています。 企業は、組織全体のすべてのアカウントで多要素認証 (MFA) を使用し、認証データ フローを監視して、潜在的な疑わしいイベントを可視化する必要があります。

• SEO を活用したコンテンツと PR 配信。 今日増幅されます。
• Platoblockchain。 Web3メタバースインテリジェンス。 知識の増幅。 こちらからアクセスしてください。
• 情報源： https://www.darkreading.com/vulnerabilities-threats/magicweb-mystery-highlights-nobelium-attacker-sophistication