複数の脅威行為者が同時に活動する複雑なサイバー攻撃の調査事例と対策

解説

本レポートは、一つの侵入事案を追跡した中で、関連性のない二つの異なる脅威行為者が並行して活動していた、極めて複雑なサイバー攻撃の調査経緯について詳しく解説しています。

当初はランサムウェアによる侵害調査から始まった今回の事例ですが、単一の事象では捉えきれないほど巧妙で多段階的な侵入が明らかになりました。脅威行為者の一つ「Storm-2603」は、オンプレミスのSharePointサーバーを標的とし、既知の脆弱性の悪用やローカルファイルインクルージョンの弱点を探る偵察活動を行っていました。

さらに深刻だったのは、この攻撃に加えて別個の脅威行為者が侵入し、異なる手法（DLLサイドローディングなど）を用いて活動を続けることで、検出が極めて困難になる状況が発生していた点です。また、侵害後の行動として、正規のツール（Velociraptorなど）や合法的なサービス（クラウドフレア、Zoho Assistなど）を利用して内部環境のマッピングや永続性の確保が行われていました。

これらの多岐にわたる活動を追跡するためには、単なるエンドポイントの情報だけでなく、アイデンティティ、クラウド、そして全ての通信ログを一元的に関連付ける高度な観測（テレメトリー相関）が不可欠であったことが示されています。今回の事例は、現代のサイバー攻撃がもはや単一のエピソードにとどまらず、複数の脅威や環境にまたがる複雑化している現状を強く示唆しています。

ポイント

• 本件は、ランサムウェア調査から始まった多段階かつ複合的なサイバー侵入事案に関する事例報告である。
• 同一の環境内で、別個の二つの脅威行為者が異なる手口を用いて並行して活動し、検出を困難にしていた。
• 高度なテレメトリー相関と統合的なセキュリティ体制により、複雑化した脅威の実態が明らかになったことを示している。

情シスへの影響

本事例は特定の脆弱性や緊急の対応パッチに関するものではなく、侵入検知・調査手法に関する事例解説です。しかし、以下の観点からの対策強化が必要です。

1. アクセス制御と認証周りの強化: 正規のツールや正規のアカウント（SYSTEM権限など）が悪用されているため、単なるパッチ適用だけでは不十分です。最小権限の原則を徹底し、特権アクセス管理（PAM）の導入や多要素認証（MFA）によるアカウント利用経路の厳格な制御が必要です。

2. 可視性の向上とログ収集の統合: オンプレミス環境からクラウドサービスに至るまで、アイデンティティ、エンドポイント、ネットワークの全ての通信履歴（テレメトリー）を一元的に収集・相関分析できる体制を構築することが急務です。孤立したログ情報からは全体像が見えないという教訓が最も重要です。

3. 設定および脆弱性の管理: 初期侵入経路となる可能性のある、インターネットに公開されているシステム群（特にSharePointなど）に対する厳格なパッチ適用と、ローカルファイルインクルージョンのような一般的な脆弱性への防御策の強化が必要です。

重要度

★★★★☆

対象者

• セキュリティ担当者
• AD管理者
• ネットワーク管理者
• M365管理者

優先度

計画的に対応