ロシアの国家支援型攻撃者がRDPおよびVPNプロトコルの脆弱性を標的にし、企業ネットワークを侵害
TL;DR
ロシアの国家支援型攻撃者がRDPおよびVPNプロトコルの脆弱性を標的にし、企業ネットワークを侵害
ロシアの国家支援型ハッキンググループとその背後にいるサイバー犯罪パートナーは、非常に効率的な手法を確立しています。彼らは正面突破を試みるだけでなく、裏口の鍵をこじ開ける手法をとっています。公開されたリモートデスクトッププロトコル（RDP）サービスや脆弱なVPNゲートウェイを標的にすることで、政府機関、重要インフラ、そして企業ネットワーク内に永続的な足場を築いています。これは、昔ながらのブルートフォース攻撃と、サプライチェーンへの妨害工作、巧妙なフィッシングを組み合わせた多角的な脅威です。その結果、長期的なスパイ活動や、システムを内部から破壊するためのマルウェアの静かな展開が行われています。
米国、オーストラリア、カナダ、ニュージーランド、英国のサイバーセキュリティ監視機関は、共同のサイバーセキュリティ勧告を通じて警鐘を鳴らしています。現在、私たちは合理化された産業規模の攻撃エコシステムに直面しています。「初期アクセスブローカー（Initial Access Brokers）」がRDPやVPNの認証情報を収集し、ダークウェブのフォーラムでランサムウェア集団や国家支援の諜報機関に対して最高値で競売にかけているのです。
初期アクセスのメカニズム
なぜわざわざ難しい方法をとる必要があるでしょうか？RDPやVPNインフラの悪用は、攻撃者にとって最も抵抗の少ない道となっています。彼らは10万以上のユニークなIPアドレスを誇る大規模なボットネットを展開し、公開されているRDPサービスに対してタイミング攻撃やログイン列挙攻撃を実行しています。認証情報のスタッフィング（使い回し）を自動化することで、再利用されたパスワードや脆弱なパスワードが見つかるまで、企業環境を体系的に調査します。
しかし、彼らの手法は単純なブルートフォース攻撃をはるかに超えて進化しています。
- 武器化されたRDP設定: スピアフィッシングキャンペーンにより、悪意のあるRDP設定ファイルが配布されています。ユーザーがクリックすると、一般的なウイルス対策ソフトやエンドポイント検出アラームを回避してリモートアクセス権が奪われます。これは非常にステルス性が高く、効果的です。
- VPNアプライアンスの悪用: 企業がVPNハードウェアにパッチを適用していない場合、それは鍵を差し込んだまま車を放置しているようなものです。攻撃者は既知の脆弱性を常にスキャンし、認証をバイパスしたり、任意のコードを実行したりしています。
- サプライチェーンへの侵入: 堅牢なターゲットを直接攻撃する代わりに、そのソフトウェアサプライヤーやマネージドサービスプロバイダー（MSP）を攻撃すればよいのです。ベンダーを侵害することで、攻撃者は「信頼された」裏口から最終ターゲットに侵入し、主要なセキュリティ境界を完全に回避します。
高度なフィッシングとソーシャルエンジニアリング
攻撃の手口は変化しています。かつての「数打ちゃ当たる」式の認証情報収集から脱却し、従来のパスワードセキュリティを無効化する高度なソーシャルエンジニアリングが主流となっています。現在、Microsoft 365のOAuthワークフローの悪用が急増しています。ユーザーを騙して悪意のあるアプリケーションに権限を付与させることで、パスワードを変更されてもアクセスを維持することが可能です。さらに、メールフィルターを回避するためにメッセージングアプリを通じて悪意のあるQRコードを配布する「クイッシング（Quishing）」も台頭しています。
これらは孤立した事件ではありません。これらの戦術はしばしば組み合わされます。フィッシングベースのOAuth侵害で得た足場を利用してセキュリティ設定を無効化したり、新しい管理者アカウントを作成したりし、それをVPNアクセスやRDP接続への橋渡しとして利用します。これは攻撃者による「多層防御」戦略です。一つの穴を塞いでも、彼らはすでに別の穴を掘っているのです。
インフラおよび商業セクターへの影響
その被害は甚大です。大規模なデータ流出、知的財産の盗難、そしてランサムウェアの展開が頻発しています。欧州やウクライナのインフラを標的としたキャンペーンは、その意図が「破壊」にあることを明確に示しています。最近のサイバーセキュリティレポートによると、これらの侵入は、LockBit 3.0やX2といった、重要システムを暗号化して身代金を要求するランサムウェアファミリーを展開するための前段階であることが多いとされています。
| 攻撃ベクトル | 主な目的 | 一般的な結果 |
|---|---|---|
| RDPブルートフォース | 初期アクセス | 認証情報の収集 / ランサムウェア |
| VPN脆弱性の悪用 | ネットワーク侵入 | 長期的なスパイ活動 |
| スピアフィッシング / OAuth悪用 | 認証情報のバイパス | 管理者アカウントの乗っ取り |
| サプライチェーン侵害 | 下流へのアクセス | 大規模なデータ流出 |
防御の強化と緩和策
セキュリティ専門家であれば、リモートアクセスを二次的な懸念事項として扱うのはやめるべき時です。国家サイバーセキュリティ調整センターは、既知の脆弱性にパッチを適用し、多要素認証（MFA）を強制することが依然として最善の防御策であると明言しています。
どこから始めるべきでしょうか？
- 積極的なパッチ適用: VPNアプライアンスやリモートアクセスソフトウェアにアップデートがある場合は、即座に適用してください。既知の脆弱性は、攻撃者が最初に狙うポイントです。
- フィッシング耐性のあるMFA: プッシュ通知やSMSコードだけでバイパスできるMFAを使用している場合は、アップグレードが必要です。ハードウェアキーやFIDO2準拠のソリューションへの移行を検討してください。
- 公開RDPの廃止: RDPをパブリックインターネットに公開する理由はほとんどありません。リモートアクセスが必要な場合は、セキュアなゲートウェイや、厳格で詳細なアクセス制御を備えたVPNの背後に配置してください。
- 認証情報の衛生管理: パスワードの使い回しをやめましょう。認証情報のスタッフィングの兆候を監視し、内部認証サービスが適切に保護されていることを確認してください。
- 可視化がすべて: 見えないものは防げません。特にリモートアクセスサービスのログを強化してください。異常なログイン時間、不審な地理的位置、ログイン失敗の急増に注意を払ってください。
現代の脅威環境において、ロシアの国家支援型攻撃者は今後も消えることはありません。彼らは豊富なリソースを持ち、執拗であり、常に手法を改善しています。リモートアクセスの境界のセキュリティを強化し、サプライチェーンの整合性を検証することで、攻撃者にとって「狙いにくいターゲット」になることができます。警戒は一度限りのプロジェクトではなく、境界線がどこにでもあるデジタル世界でビジネスを行うためのコストです。常に警戒を怠らず、頻繁にパッチを適用し、最悪の事態を想定してください。それが先手を打つ唯一の方法です。
