中国の脅威グループ、サイバー攻撃にVisual Studio Code悪用
マイナビニュース / 2024年9月10日 17時28分
Palo Alto Networksは9月6日(米国時間)、「Chinese APT Abuses VSCode to Target Government in Asia」において、中国の国家支援を受けているとみられる持続的標的型攻撃(APT: Advanced Persistent Threat)グループの「Stately Taurus(別名:Mustang Panda)」が、東南アジアの政府機関を標的にVisual Studio Codeを悪用したスパイ活動を実施していると伝えた。
○Visual Studio Codeの悪用
今回確認されたサイバー攻撃ではVisual Studio Codeのポータブルバージョン「code.exe」、または環境にインストールされているバージョンを悪用する。攻撃者は標的の環境上で「code.exe tunnel」を実行することでGitHubのログインリンクを取得する。ログインには認証が必要だが、攻撃者自身のアカウントでログインできることから防御層としては機能しない。
ログインすると攻撃者は標的へのリバースシェルを取得することになり、任意のコマンドやスクリプトの実行、ファイルの作成などが可能になる。Palo Alto Networksの調査によると、Stately Taurusは標的の環境へのリバースシェルを取得後にマルウェアを展開し、機密データを窃取したという。また、タスクスケジューラーにスクリプト「startcode.bat」を登録し、永続性も確保したとされる。
この攻撃手法は、2023年9月にMediumに掲載された記事「Visual Studio Code: embedded reverse shell and how to block, create Sentinel Detection, and add Environment Prevention — well more like ideas and concepts to prevent abuse and exploit | by Truvis Thornton | Medium」において詳細が解説されている。しかしながら、実際の悪用が確認されたのは今回が初めてとみられている。
○影響と対策
この攻撃手法はセキュリティソリューションの検出を回避する目的で使用される。攻撃者はVisual Studio Codeを悪用する前に環境に侵入しており、その状態でも一部の機密データを窃取できると考えられる。しかしながら、検出されると永続性を確保できない。スパイ活動では長期間潜伏して機密データを窃取する傾向がみられ、検出を回避する努力が行われる。
Visual Studio Codeのような署名されたMicrosoftアプリケーションは、配布、実行、通信など一連の活動をセキュリティソリューションから正常と判断される。また、開発環境という特殊性から起動される子プロセスも検出を回避できる可能性がある。これらのことから、Visual Studio Codeはリバースシェルとして機能する理想的な攻撃ツールと評価できる。
Palo Alto Networksは同様の攻撃を回避するため、サーバ、エッジデバイス、ネットワークすべてを保護可能な高度なセキュリティ環境の構築を推奨している。また、調査の過程にて判明したセキュリティ侵害インジケーター(IoC: Indicator of Compromise)を公開しており、必要に応じて活用することが望まれている。
(後藤大地)
外部リンク
この記事に関連するニュース
-
パロアルトの次世代ファイアウォールに偽装したマルウェア確認
マイナビニュース / 2024年9月2日 8時12分
-
Macのメッセージングアプリユーザーを狙うバックドア登場、意図が不明
マイナビニュース / 2024年8月30日 7時29分
-
Linux狙う新しいマルウェア発見、高いステルス性能と永続機能が特徴
マイナビニュース / 2024年8月27日 9時31分
-
AWSユーザーは注意、誤って公開した環境設定ファイル(.env)が原因でサイバー攻撃
マイナビニュース / 2024年8月20日 8時44分
-
Googleなど信頼できるサイト悪用したフィッシングが増加、注意を
マイナビニュース / 2024年8月13日 8時17分
ランキング
-
1イセトーから6万件情報流出したクボタクレジット「当面の委託は継続」 再発防止策は
ITmedia NEWS / 2024年9月10日 15時11分
-
2大画面テレビ使うとパソコン作業が楽々に!仕事効率の向上&目の疲れ軽減 有線・無線で接続する方法
よろず~ニュース / 2024年9月10日 14時0分
-
3イケアのまな板「コスパいい」なぜかオーディオ愛好家に好評 「発想が柔軟」目的外使用にはリスクも
iza(イザ!) / 2024年9月9日 17時50分
-
4「壱成くん若返った!」いしだ壱成のインスタ、近影にファン驚き 「見る度に若くなってる」
ねとらぼ / 2024年9月10日 17時1分
-
5「iPhone 16/16 Pro」は何が進化した? iPhone 15シリーズとスペックを比較する
ITmedia Mobile / 2024年9月10日 9時22分
記事ミッション中・・・
記事にリアクションする
![](/pc/img/mission/mission_close_icon.png)
記事ミッション中・・・
記事にリアクションする
![](/pc/img/mission/point-loading.png)
エラーが発生しました
ページを再読み込みして
ください
![](/pc/img/mission/mission_close_icon.png)