HEAT 攻撃:メールセキュリティツールの回避

人々はこれまで以上に在宅勤務を行っており、パンデミックが収束した後もその傾向は長く続くでしょう。これによると マーサー研究、回答企業の70％が、オフィスとリモートワークのハイブリッドモデルを採用すると答えています。これらの企業がそうしているのには正当な理由があります。従業員の 60% 近くがこのフレックスジョブに回答しています。 調査 リモートワークが続けられないなら、絶対に新しい職場を探しに行くと言っていました。

これは企業のサイバーセキュリティにとって何を意味するのでしょうか？つまり、攻撃者はリモートスタッフが集中して作業する傾向がある場所、つまりウェブブラウザに集中することになります。Web ブラウザは、Web サイトを閲覧するためのシンプルなインターフェイスから、作業者が共同作業やビジネスクリティカルなアプリケーションへのアクセスに利用する高度な生産性向上ツールへと進化しましたが、Web セキュリティはほとんど変わりません。ほとんどの攻撃が電子メールまたはフロッピーディスクやUSBサムドライブなどの物理メディアを介して配信されていた時代向けに設計された、Secure Web Gateway（SWG）、ファイアウォール、サンドボックスなど、多くの組織が信頼している検出ベースのネットワークおよびエンドポイントセキュリティツールは、急速に時代遅れになりつつあります。

サイバー攻撃者は、このセキュリティ上の弱点を悪用して、次のような高度回避型適応型脅威（HEAT）技術を利用した認証情報フィッシング攻撃（全サイバー攻撃の 90% 以上が関与しています）を行っています。 レガシー URL レピュテーション回避 (LURE)、従来のセキュリティ技術を避けるためです。フィッシング攻撃では、攻撃者は悪意のある URL リンク分析エンジンを回避するためにできる限りのことをします。悪意のある URL リンク分析エンジンは、ユーザーが目にする前にリンクを分析するために、従来はメールに実装されていました。攻撃者の戦略は成功を収めています。 Menlo Labsの研究チームは、2021年後半にHEAT攻撃が224パーセント増加したことを観察しました。 多くの場合、これらの攻撃はランサムウェアの配信につながりました。

フィッシング攻撃には、大まかに言って、ユーザーを騙して評判の良い人物や企業とやり取りしていると思わせる詐欺的な通信が含まれます。これまで、フィッシング攻撃は電子メールを介して行われてきました。これらのメールは通常、何らかの一般的なソーシャルエンジニアリング手法を利用して、被害者がブランドやなりすましの相手に対して持っている信頼を悪用して、ユーザーを騙して悪意のあるリンクをクリックさせようとします。スピアフィッシング攻撃では、攻撃者は標的となる被害者を調査し、彼らの好み、欲望、そして生活におけるその他の側面を知ります。これらの側面は、標的を誘い込んだり、満足させたりするために使用できます。

現在、脅威アクターはこのアプローチをメールフィッシングの領域以外で採用することが増えています。HEAT攻撃では、ソーシャルメディアやプロフェッショナルWebネットワーク、コラボレーションアプリケーション、SMS、共有文書、共有フォルダなど、電子メール以外の通信チャネルを介して悪意のあるリンクがユーザーに狙われたり、スピアリングされたりします。これらの悪意のあるリンクは、企業のセキュリティを迂回して企業のエンドポイントにマルウェアを配信するために、個人の認証情報の代わりに企業の認証情報を盗むために使用されることが増えています。

エスカレーションと戦術のゲーム

攻撃者にとっての課題は、企業がメールセキュリティを強化し続け、これらのチャネルからマルウェアや悪意のあるリンクを積極的にスキャンすることです。さらに、ビジネスに精通したユーザーやスタッフ（セキュリティ意識向上トレーニングのおかげで自分が標的であることを知っている）は、安全性が完全に確信が持てない場合は、メールをクリックすることに対してより慎重になります。はい、人々は未だに滑っています。そして、多くの従業員はいまだにどのリンクをクリックするかについて慎重になっておらず、トラブルに巻き込まれています。しかし、注意深くなる人が増えています。特に、より洗練され、十分なトレーニングを受け、意識の高いユーザーが増えています。

人々はソーシャルメディアの連絡先をより信頼する傾向があるため、攻撃者はそこに引き寄せられています。そのため、連邦取引委員会は次のような警告を発しました。 ソーシャルメディアで始まった詐欺は2020年初頭に急増しました。また、ユーザーは、仕事関連のコンテンツを読んだり見たりできるだけでなく、業界の会議や仕事などに関する情報を求めているため、これらのプラットフォームに積極的に関わっています。ユーザーが積極的にクリックするにつれて、クリックしてはいけないものをクリックする傾向が高まります。

で取り上げたように 暑すぎて手に負えない:なぜ現代の仕事が熱攻撃を引き起こしたのか 最近の攻撃キャンペーンでは、攻撃者がLinkedInのメッセージング機能を備えたスピアフィッシングを利用していました。これらの攻撃者は、攻撃者がターゲットのコンピューターやデバイスを完全に制御できるようにするマルウェアでエンドポイントを侵害することを目的とした悪意のあるリンクである偽の雇用機会をユーザーに誘導しました。攻撃者は、ユーザーが信頼するブランドのなりすまし Web サイトを利用するケースが増えています。

これらの攻撃はWebブラウザを襲い、従来のメールセキュリティ防御をすべて回避します 企業にはそれが備わっているのです

従来の悪質なリンク分析を回避する

これは、脅威アクターが組織に対してHEAT攻撃を利用するもう1つの方法です。攻撃者は、メールを保護するために一般的に導入されている悪質なリンク分析エンジンを回避しています。このエンジンは、すべてのリンクを分析してから人間に渡すことでメールを保護します。リンク分析エンジンを迂回するように設計された HEAT 攻撃では、ユーザーはソーシャルメディアサイトやメッセージングプラットフォームなど、コミュニケーションの他の分野の標的にされます。 Discordなどのコミュニケーションプラットフォーム またはスラック、SMSなど。これらのリンクをクリックすると、一般的なメールフィッシング攻撃で使用されるリンクと同じになり、ログイン認証情報を盗んだり、マルウェアを配布したりするように設計されています。

攻撃者は、LinkedInの情報やユーザーがFacebookやTwitterに投稿した情報を利用して、標的となる被害者とつながり、時間の経過とともに関係を築くために使用できる特別な知識を入手することもできます。攻撃は迅速で個人攻撃が可能で、一見するとユーザーとのつながりが強くなるため、効果的です。

脅威アクターは、攻撃を仕掛けるなどして、HEAT攻撃を戦略的に組み合わせることもできます HTML の密輸について で詳しく説明した攻撃 記事 攻撃者がファイルベースの検査を回避する方法についてです。このような HEAT 戦術を組み合わせることで、デジタルマローダーは従来のセキュリティ管理や次のようなテクノロジーをうまく回避できる確率を高めます。 SWG および電子メール監視エンジン。

電子メールが（今のところ）主要な攻撃ベクトルであることに変わりはありませんが、悪意のあるリンク分析などの従来の防御を回避することを目的としたこれらの HEAT 攻撃は増加しています。回避型攻撃を防ぐための可視性に欠けるセキュリティチームは、増え続けるこれらの脅威を見逃し続けるでしょう。HEAT 攻撃に対抗するために、ブラウザーの可視性を高め、動的なセキュリティ制御を実現するテクノロジーを検討することで、セキュリティチームは疑わしい行動や悪意のある Web サイトの意図をリアルタイムで検出して防御できるようになります。これらの重要な要素に対処することで、組織は既存のセキュリティソリューションをすり抜けてしまう HEAT 攻撃の増加を防ぐことができます。