3CXサプライチェーン攻撃：得られた教訓

悪意のある攻撃者はまず、X_TRADERというソフトウェアパッケージを侵害した。 トレーディングテクノロジー 本社はイリノイ州シカゴにあります。ソフトウェアにはマルウェアが含まれていました（ ベールシグナル バックドアが注入されました。インストーラーは有効なコード署名証明書でデジタル署名されていました。悪意のある攻撃者がビルドに侵入した可能性があります。 pipeline 2021年までに、パッケージ化および署名される前にソフトウェアを改変した。これが連鎖的なサプライチェーン攻撃の最初の段階だった。2022年3月までに、 報告 業務の文脈において DreamJob こと BLINDINGCAN (NAIST) と アップルジェウス対象は、米国の報道機関、IT、暗号通貨、フィンテック業界の組織です。

このソフトウェアは2020年に廃止されましたが、2022年時点ではダウンロード可能でした。3CXの従業員がそれを個人のコンピュータにインストールしました。悪意のある人物は、侵害されたコンピュータから従業員の企業認証情報を盗みました。興味深いことに、 ベールシグナル トレーディング・テクノロジーズのウェブサイトのURLをコマンド＆コントロールに使用した（これは検出を回避するためによく使われる戦術である）。

最初の侵害から2日後、攻撃者は企業のVPNを使用して3CXの内部システムにアクセスしました。彼らは、善悪両方に使用できる公開ツールであるFRPリバースプロキシを使用して横方向に移動しました。彼らは獲得した足がかりで何をすべきかを知っていたので、WindowsとmacOSのビルドシステムを侵害しました。それぞれの環境で異なるツールを使用しました。たとえば、SigFlipツールを使用して、RC4で暗号化されたシェルコードを署名付録に挿入しました。 d3dcompiler_47.dll。

Windows および macOS 用の 3CX デスクトップ アプリのソフトウェア アップデートが感染していました。これは、この (最初の?) マルチステップ サプライ チェーン攻撃の 2 番目の段階です。Windows 用のソフトウェア アップデートは、3CX コード署名証明書で正しく署名されていますが、2 つの悪意のあるファイルをドロップします。 ffmpeg.dll (NAIST) と d3dcompiler_47.dll （同等のもの） .dylib macOS 用のライブラリ）は、無害な 3CXデスクトップアプリ 実行可能ファイル（サイドDLLローディング技術経由）。2番目のDLLに暗号化されたシェルコードは、別のDLLをロードし、そこからダウンロードします。 アイコンストレージ 暗号化されたコマンド＆コントロール（C2）サーバーを含む.icoファイルがGitHubリポジトリにあります。

この攻撃のために20以上のドメインが用意されていたことから、ソフトウェアサプライチェーン攻撃がいかに綿密に計画されていたかがわかる。

被害者のPCからC2ドメインへの接続は、2023年3月6日に開始され、3月29日に終了した。

(1) コードリポジトリ内のソースコードは変更されず、代わりにビルド中にマルウェアのペイロードが注入されたことにご注意ください。(2) 正規の ffmpeg （3）DLLが悪意のあるものに置き換えられ、サイドDLLローディングによってロードされ、人気のあるVoIPアプリが多段階マルウェアによって武器に変えられました。

事件への対応方法

3月29日、3CXは第三者から、悪意のある攻撃者が「自社製品の脆弱性を悪用している」との報告を受けたようだ。マルウェア対策プラットフォームは（部分的に）その役割を果たした。

2023年3月30日、3CXは CISおお、ピエール・ジュールダンは出版した セキュリティーアラート 顧客およびパートナーに対し、Electronアプリ（デスクトップクライアント）がマルウェアを含むアップデート後に出荷されたことを通知する。投稿には、影響を受けるバージョン（Windows版とMac版）、初期対策に関する簡単な説明、およびマルウェアに感染したデスクトップクライアントではなくWebクライアントを引き続き使用することを推奨する内容が記載されている。

個人的な意見ですが、最初の連絡はやや簡潔ではありましたが、要点を押さえていました。多くの顧客に影響を与える可能性のある深刻なセキュリティ問題が存在することをベンダーが認識するのは容易ではありません。同社は問題を認識し、すぐに潜在的な原因を指摘しました。

「特筆すべき点として、これは高度な持続的脅威（APT）による標的型攻撃であり、おそらく国家による支援も含まれていたと思われます。この攻撃は複雑なサプライチェーン攻撃を実行し、マルウェアの次の段階をダウンロードするユーザーを選定していました。」

同社は、製品を動作させ続けるための代替案を提示した。 プログレッシブウェブアプリケーション またはデスクトップアプリの代わりにPWAを使用する 電子 フレームワーク。

「弊社のPWAアプリのご利用を強くお勧めします。PWAアプリは完全にウェブベースで、Electronアプリの機能の95%を網羅しています。インストールやアップデートが不要で、Chromeのウェブセキュリティが自動的に適用されるのが大きな利点です。」

アプリが2つある理由は、Electronアプリの開発を始めた当時はPWA技術がまだ利用できなかったからです。今ではPWAは成熟し、非常にうまく機能しています。

ウェブアプリも感染している可能性があり、PWAは定義上、ローカルリソースへの（制限付き）アクセス権限を持つサービスワーカー（JavaScriptコード）でコードを実行する場合があります。投稿では、その時点でPWAは感染していないと主張していました。投稿への277件以上のコメントの多くで、言及されたPWAの代替手段やPBXサーバーソフトウェア自体が侵害されたかどうかを尋ねる人がいたのも無理はありません。

即日、 3CXは調査のためマンディアントを任命した。, 詳しい説明付き。基本的には、アップデートをインストールします。

オンプレミスにインストールされた Win/Mac デスクトップ アプリ、影響を受けるバージョンの Electron アプリをアンインストールし、PWA の代替手段に切り替えます。マルウェアが影響を受けるシステムにアクセスしたり、マルウェアを永続化したり、横方向に移動したりする可能性があるため、これだけでは十分ではない場合があります。マルウェアを完全に削除するのはそれほど簡単ではありません。緊急性を考えると、インシデントに対処する最善の方法が常に見つかるとは限らないことは理解できます…事前にシナリオを想定し、適切な修復措置を特定しておかない限りは。

その 次の投稿, 同社のCEOは、デスクトップアプリのセキュリティのみのアップデートを発表することで顧客を安心させようとしている。パスワードハッシュなどの基本的な保護技術が実装された（「遅すぎるよりはましだ。決して成功しないのは長すぎる。」チョーサー）。 ディキシット （1386年に。）具体的な対策を講じることは、善意や計画よりも優れている…しかし、以前はパスワードはどのように保存されていたのだろうか？

いずれにせよ、Googleは既存の3CXコード署名証明書を無効にし、アンチウイルスベンダーもその証明書で署名されたソフトウェアをブロックしました。デスクトップアプリのアップデート用のMSIインストーラーは、新しいコード署名証明書を使用して再生成する必要があり、これには数時間かかりました。これは予想できたことです！

3CXは予防措置として新しいビルドサーバーを導入した。これは妥当な判断だ。分析を行わなければ、マルウェアがどのように侵入したのかは不明だったからだ。

同じ4月1日、CEOは投稿した セキュリティインシデントに関する最新情報投稿には、同社が行っていたこと（徹底的な調査の実施、クライアント側ソフトウェアのソースコード全体の検証）が記されている。セキュリティ対策は土曜日でも待てない。

事件の分析が行われ、攻撃者のインフラが判明した時点で、APTが使用していたGitHubリポジトリとC2サーバーのドメインが削除され、マルウェアは効果的に停止された。

4月11thに、 CISOは投稿しました インシデント分析の初期結果. UNC4736は北朝鮮関連のAPT攻撃として最初に報告された。

4月20日金曜日、マンディアントは 事件の初期分析YARAとSnortの検出ルールが公開されました。

同日、3CXのCEOは示唆的な名前の新しい投稿をした。 「言葉ではなく行動を！ – 当社の7ステップセキュリティ行動計画！」副題はなかなか興味深い。「初の試みとなるカスケード方式による3CXの未来の確保 ソフトウェア・イン・ソフトウェア・サプライチェーン攻撃作成された安全保障憲章の手順は以下のとおりです。

• ネットワークセキュリティの多層構造を強化する。

• 刷新はセキュリティを強化する。

• 製品のセキュリティレビューを継続的に実施しています。

• 製品のセキュリティ機能を強化する。

• 継続的な侵入テストを実施しています。

• 危機管理および警報対応計画の改善。

• ネットワーク運用とセキュリティのための新部門を設立する.

アナリストたちは、この称賛に値するプログラムに注目するだろう。

余波：業界の反応

事件が公表されてからわずか数週間しか経っていないが、業界は既に反応を示している。

CVE-2023-29059 割り当てられました。本日現在、CVSSv3リスクスコアは7.8（高）です。3CX製品には16件のCVEしか記載されておらず、同様の実装レベルのベンダーと比較すると良好に見えます。しかし、このインシデントは いつもの脆弱性 確かに。これはアクティブ持続的脅威（APT）によるアクティブな標的型攻撃です。 CISOで最も有名な人物。

その CWE-506 今回の事件を「埋め込み型悪意のあるコード」と分類しても、このようなソフトウェアサプライチェーン攻撃を防止する方法を理解する上で、あまり役に立ちません。残念ながら、攻撃者はマルウェアを拡散させる手段を数多く持っており、サプライチェーン攻撃は彼らの武器庫における新たな切り札となっています。CWE-506は、ビルドシステムの侵害に基づくものを含め、現在のシナリオを反映するように改善されるべきです。

MandiantがUNC4736と名付けたこのAPTは、北朝鮮政府によって組織された広く知られたラザルスグループ（APT38）や、2017年のWannaCryランサムウェア攻撃の実行犯と類似した戦術と技術を使用している。スターリン主義国家の悪質な行為者と通常の勤務時間との間のこのようなつながりを確立することは難しいが、 CrowdStrike (NAIST) と ESET 調査の結果、使用された戦術、技術、手順（TTP）は、Lazarus APT38が一般的に使用するものと類似していることが判明した。これらの攻撃手法を理解することは、検出、予防、および撲滅にとって不可欠である。

謎に包まれた彼らの目的を知ることは、さらに難しい。

この攻撃は、 CIS米国サイバーセキュリティ庁（A）は、 アドバイザリー ベンダー各社の投稿や、サプライチェーン攻撃に関する複数の分析へのリンクが掲載されています。サイバーセキュリティの実務担当者にとって、これらの記事を読むことは有益です。

今回の事件は、SolarWindsへの攻撃を彷彿とさせる。甚大な影響を鑑み、多くのベンダーが感染したVoIPデスクトップ製品のインストーラーの分析に奔走した。しかし、これは最終段階に過ぎない。影響を受けた2つの組織のビルドシステムのセキュリティにどのような欠陥があったのか、そして攻撃者がビルドシステムに影響を与え、ビルド中にマルウェアを挿入するためにどのような手順を踏んだのかを理解するには、さらなる詳細な情報が必要である。そうでなければ、このような事件は何度も繰り返されるだろう。

そして今、私たちは教訓を得た！

チームスポーツをしている時に、試合後にチームメイトからプレーのあらゆる欠点を細かく説明されるのは、どんなに冷静な精神状態でも打ち砕かれるものだ。だがここスペインでは、誰もがサッカーのナショナルチームの監督気取り！だから、ペップ・グアルディオラ、ジョゼ・モウリーニョ、アレックス・ファーガソン、そしてアリゴ・サッキを一人何役もこなしてやろうじゃないか。

まるでビルドシステムが激しい砲撃を受けているかのように行動してください。従業員が職場のPCに許可されていないソフトウェアをインストールするのを完全に防ぐことはできないかもしれません。おそらく、エンジニアリングチームにはより厳格なポリシーが必要になるでしょう。しかし、構築と展開には十分注意してください。 pipeline顧客にソフトウェアを提供する場合、ソフトウェア製品自体のセキュリティと同様に、ソフトウェアの構築方法におけるセキュリティも重要視されるべきです。

事態への備えセキュリティインシデントの最も可能性の高いシナリオを予測することは困難であり、おそらく無益でしょう。除細動器の使い方を学ぶべきでしょうか？いいえ、カード詐欺の傾向がない限り必要ありません。iac 逮捕。しかし、まさか！鍵、アクセストークン、公開鍵ペア、証明書の失効と更新を含め、ゼロから「構築を再構築」する準備をしてください。

ビルドシステムには特定の特性が備わっている必要がある: 一時的な環境での構築、そして隔離された/パラメータレス/密閉された、さらには再現可能な構築への現在の傾向は、 防ぐ 3CXサプライチェーン攻撃のような攻撃は、構築と展開における他のシステムへの追加要件と相まって、 pipeline。 見る Google SLSA のビルド要件 参考のため。

適切なコミュニケーションが鍵となる透明性は必須です。問題を軽視したり、隠蔽したりすることは、組織にとって最悪の行為です。セキュリティインシデントは、他の資産よりも評判に大きな打撃を与えることが多く、侵害後のコミュニケーション不足は壊滅的な結果を招く可能性があります。

問題をチャンスに変える良いインシデントは、綿密な製品計画には盛り込まれなかったセキュリティ制御の改善を促す可能性があります。適切なパスワードハッシュやセキュリティ構成/強化に関するドキュメントといった基本的な事項でさえ、短期的にスケジュールされる可能性があります。しかし、サプライチェーン攻撃の場合、ビルドシステムの強化、ビルドとデプロイのすべてのステップでの認証と整合性チェックの追加が重要になります。 pipelineは不可欠です。攻撃者がビルドシステムにこのような変更を簡単に仕込めるはずはありません。

備えを怠らないでください。さもなければ、3CXソフトウェアのサプライチェーン攻撃のような、組織存続に関わる脅威に直面する可能性があります。