AWS、Azure、Office 365の認証情報を狙うAndroxGh0stボットネットについて、米当局が注意喚起

「Analyst’s Choice」では、弊社インテリジェンスアナリストが先月報じられたニュースの中から注目の記事をピックアップし、そこで取り上げられた脆弱性やマルウェアなどの脅威情報に対する洞察・ソリューションをコメントしています。

今月の1つ目のトピックは「AWS、Azure、Office 365の認証情報を狙うAndroxGh0stボットネットについて、米当局が注意喚起」です。これについて、影響範囲、アナリストの見解、緩和のための戦略を紹介していきます。

AWS、Azure、Office 365の認証情報を狙うAndroxGh0stボットネットについて、米当局が注意喚起  

• 米CISAおよびFBIは、脅威アクターらがマルウェアAndroxGh0stを展開し、標的ネットワーク内で被害者を特定・悪用するためのボットネットを作成していることについて注意喚起しました。

• AndroxGh0stはPythonベースのマルウェアで、既知のセキュリティ欠陥に脆弱なサーバーを侵害してLaravelの環境ファイルへアクセスし、Amazon Web Services（AWS）やMicrosoft Office 365、SendGrid、Twilioといった有名なアプリケーションの認証情報を盗み出す性能を備えています。

• このマルウェアはSMTPの悪用を可能にするための機能を複数有しており、これにはスキャンの実施、公開された認証情報やAPIの悪用、さらにはWebシェルの展開までもが含まれます。AWSに関していうと、AndroxGh0stはスキャンによりAWSキーを探し出してこれをパースするほか、ブルートフォース攻撃用にキーを生成する能力をも備えています。

情報源：

https://thehackernews.com/2024/01/feds-warn-of-androxgh0st-botnet.html

https://www.fortiguard.com/threat-signal-report/5066/androxgh0st-malware-actively-used-in-the-wild

https://www.cisa.gov/news-events/cybersecurity-advisories/aa24-016a

アナリストのコメント

影響範囲

AndroxGh0stマルウェアが主に標的とするのは、既知のセキュリティ欠陥に対して脆弱なサーバーです。特に、WebアプリケーションフレームワークLaravel内の、機密性の高い情報を含んだ「.env」ファイルが狙われます。なお、ここでの機密性の高い情報とは例えば、Amazon Web Services（AWS）やMicrosoft Office 365、SendGrid、Twilioといった有名なアプリケーションの認証情報などです。したがって、こうしたサービスやフレームワークを使用するあらゆる組織・個人が、攻撃を受ける潜在的リスクを有していると言えます。

緩和戦略

AndroxGh0stマルウェアのもたらす脅威を緩和するため、組織には以下のような対策を実施することが推奨されています。

1. すべてのOS、ソフトウェア、ファームウェアを最新状態に保つ。特に、Apacheサーバーを脆弱なバージョン（2.4.49または2.4.5012）のままにしておかない。
2. すべてのURIに関するデフォルト設定が、（アクセス可能にしておくことが必要な場合を除いて）すべてのリクエストを拒否するものになっていることを確認する。
3. ライブのLaravelアプリケーションが「デバッグ」またはテストモードになっていることがないようにする。
4. インターネットに接続されたシステムにおける、悪用が既に確認されている脆弱性へのパッチ適用を優先的に行う。
5. インターネットに公開されているのが必要なサーバーやサービスのみであるかどうかをレビューし、意図せぬ公開があれば是正する。
6. 「.env」ファイル内に認証情報が含まれているプラットフォームやサービスをレビューし、不正アクセスや不正利用の痕跡がないかを確認する。
7. 以上の対策により、AndroxGh0stへの感染が引き起こすサイバーセキュリティインシデントの発生確率や影響を抑えることができる。

AndroxGh0stに関するIoCのリストは、「情報源」に記載したCISAのWebサイトへのリンクからご覧いただけます。

見解

AndroxGh0stボットネットは、PHPのテスティングフレームワーク「PHPUnit」の脆弱性CVE-2017-9841を悪用しているのが観測されています。この脆弱性は、攻撃者によるWebサイト上でのリモートコード実行を可能にするものです。同ボットネットはまた、バージョン2.4.49または2.4.50のApacheサーバーに影響を与える脆弱性CVE-2021-41773も悪用します。さらに、Laravelアプリケーションのキーが公開されていてアクセス可能な状態である場合、攻撃者はこれを利用してPHPコードを暗号化しようとすることが考えられます。そしてこのコードはその後、XSRF-TOKEN変数の値としてWebサイトに引き渡されることになります。これは、WebアプリケーションフレームワークLaravelの複数バージョンにおける脆弱性CVE-2018-15133を悪用しようとする試みです。悪用が成功すれば、攻撃者は当該Webサイトへリモートでファイルをアップロードできるようになります。