NECサイバーセキュリティ戦略本部セキュリティ技術センターの角丸です。昨今のサイバー脅威に関する記事 [1] [2]にあるように、様々な攻撃キャンペーンで新型コロナウィルス（COVID-19）がおとり文書やテーマとして利用されているという報告があります。そこで、私たちのチームで日々収集している脅威情報の中からCOVID-19をキーワードとして抽出し、MITREがベータ版として提供しているサブテクニックが加わったバージョンのATT&CKを用いて、COVID-19に関するサイバー攻撃の手口を整理してみましたのでご紹介します。

MITRE ATT&CK® Frameworkとは

MITRE ATT&CK®は、サイバー攻撃の手口を体系化した知識ベースで、米国の政府系非営利団体であるMITREが開発しています[3]。
ここ数年、ATT&CKを活用するシーンが見られるようになってきており、セキュリティベンダーから発行される脅威レポートでも、ATT&CKの情報を目にするようになりました[4]。そのATT&CKですが、2019年10月リリースの現行バージョンに対し、攻撃の手口がより細分化されたサブテクニックが加わった体系化が検討されており、ベータ版が事前公開されています[5]。

注意事項

MITRE ATT&CK®、およびATT&CK®は、MITRE社のトレードマークです。執筆時点でのオフィシャルバージョンは2019年10月にリリースされたATT&CKであり、本記事では事前公開されているサブテクニックを含んだATT&CKベータ版を用いています。

COVID-19関連の脅威情報の抽出

私たちのチームで日々収集している脅威情報の中から、コロナウィルス（COVID-19）をキーワードとして抽出、さらに攻撃の手口が異なりそうな観点で選択し、下記6つの脅威レポート・記事・投稿を対象としました。

1. Based on Office 365 ATP data, Trickbot is the most prolific malware operation using COVID-19 themed lures（2020-04-18）[6]
2. Findings on coronavirus & online security threats（2020/04/22） [7]
3. Vietnamese Threat Actors APT32 Targeting Wuhan Government and Chinese Ministry of Emergency Management in Latest Example of COVID-19 Related Espionage [4]
4. Corona Locker - Max Kersten（2020/04/21）[8]
5. Gamaredon APT Group Use Covid-19 Lure in Campaigns（2020/4/17） [9]
6. PoetRAT: Python RAT uses COVID-19 lures to target Azerbaijan public and private sectors（2020/4/16）[10]

MITRE ATT&CKマッピング

参照元の脅威情報にATT&CKとのマッピングが含まれている場合（ [4], [9]）は、それを基にサブテクニックのマッピングを行い、マッピングが含まれていない場合（ [6],[7], [8], [10]）は、提供される脅威情報を基に攻撃の手口を抽出した上でマッピングを行いました。

現行版のマッピングをATT&CKベータ版に変換するには、MITREから提供されているCSVファイル [12]、もしくはJSONファイル [13]を活用すると便利です。どちらも対応が記載されていますが、テクニック名の変更が追えるなどCSVファイルの方が情報量は多くなっています。

ベータ版へ直接マッピングするには、ベータ版のATT&CK Navigator [11]を活用します。ATT&CK Navigatorを使うことで、攻撃の手口をATT&CKマトリクスで可視化しながら作業ができます。また、作成した攻撃の手口はJSONファイルへ出力することができるため、その後の活用にも有用です。
なお、現行版のATT&CK Navigator [16]と見比べてみると、現行版とベータ版との違いが分かりやすいです。

サブテクニックが追加されるのに伴い、テクニックのカテゴリー分けが一部見直されています。変わらないテクニック、名前が変更となったテクニック、サブテクニックとして新たに定義されたもの、などがあります。これらの変換の際の手順や注意点などは、MITREから情報[14]が提供されていますので、そちらを参考にするのがよいでしょう。

それでは、6つの脅威情報に対して攻撃の手口をサブテクニックとしてマッピングした結果を記載します。

1. Based on Office 365 ATP data, Trickbot is the most prolific malware operation using COVID-19 themed lures [6]

2. Findings on coronavirus & online security threats [7]

3. Vietnamese Threat Actors APT32 Targeting Wuhan Government and Chinese Ministry of Emergency Management in Latest Example of COVID-19 Related Espionage [4]

4. Corona Locker - Max Kersten [8]

5. Gamaredon APT Group Use Covid-19 Lure in Campaigns [9]

6. PoetRAT: Python RAT uses COVID-19 lures to target Azerbaijan public and private sector [10]

おまけ

MITREが開発中のツールTRAM [15]を使うと今回行った脅威情報からのマッピングを省力化することができます。精度を高めるには人手での分析を必要としますが、すべて人手でマッピングするよりはずっと効率化が図れると思います。ベータ版のATT&CKにはまだ対応していないようですが、現行版でいったんATT&CKへのマッピングを作成し、その後、上記で挙げたCSVファイル、もしくはJSONファイルを活用してベータ版へ変換することは複雑ではないでしょう。

まとめ

本記事では、新型コロナウィルス（COVID-19）がおとり文書やテーマとして利用されている脅威情報に対して、MITREがベータ版として提供しているサブテクニックが加わったバージョンのATT&CKを用いて、攻撃の手口をマッピングした結果をご紹介しました。
ベータ版がオフィシャルになるのはもう少し先になることが見込まれますが、実際に観測された情報に基づきブラッシュアップされているとのことで、使いやすさは向上しているように感じました。ぜひ皆さんも活用してみてはいかがでしょうか。

参考資料

[1] https://blog.malwarebytes.com/threat-analysis/2020/04/apts-and-covid-19-how-advanced-persistent-threats-use-the-coronavirus-as-a-lure/

[2] https://www.bleepingcomputer.com/news/security/researchers-30-000-percent-increase-in-pandemic-related-threats/

[3] https://attack.mitre.org/

[4] https://www.fireeye.com/blog/threat-research/2020/04/apt32-targeting-chinese-government-in-covid-19-related-espionage.html

[5] https://attack.mitre.org/resources/updates/updates-march-2020/index.html

[6] https://twitter.com/MsftSecIntel/status/1251181180281450498

[7] https://www.blog.google/technology/safety-security/threat-analysis-group/findings-covid-19-and-online-security-threats/

[8] https://maxkersten.nl/binary-analysis-course/malware-analysis/corona-locker/

[9] https://blog.trendmicro.com/trendlabs-security-intelligence/gamaredon-apt-group-use-covid-19-lure-in-campaigns/

[10] https://blog.talosintelligence.com/2020/04/poetrat-covid-19-lures.html

[11] https://mitre-attack.github.io/attack-navigator/

[12] https://attack.mitre.org/docs/subtechniques/subtechniques-csv.zip

[13] https://attack.mitre.org/docs/subtechniques/subtechniques-crosswalk.json

[14] https://medium.com/mitre-attack/attack-subs-what-you-need-to-know-99bce414ae0b

[15] https://github.com/mitre-attack/tram

[16] https://mitre-attack.github.io/attack-navigator/

執筆者プロフィール

角丸　貴洋（かくまる　たかひろ）
セキュリティ技術センター　インテリジェンスチーム

インテリジェンスチームリード、技術戦略の立案・推進、グローバル連携の推進を担う。CISSP、GIAC(GCTI)を保持。FIRST, SANS THIR Summitなどで講演。
アイスホッケーをこよなく愛し、理論派指導者としてTTP(徹底的にパクる)をモットーに研究に没頭する日々を送る。