Brave The Storm: Surfing The Wake Of Salt Typhoon

はじめに

2024年は、個人的にも、仕事上でも、そして世界的にも、めまぐるしい年だった。私たちは、米国がメダル獲得数でトップに立ったパリ夏季オリンピックの光景に驚嘆した。3月にはスウェーデンがNATOに加盟し、1989年以来の強烈な地磁気嵐のなか、私たちはインターネットのバックボーンが生き残れるかどうか息をのんだ。欧州連合（EU）は人工知能に関する画期的な規制を導入し、医学界ではmRNAを利用した初の肺がんワクチンが発表され、より健康的な未来への希望がもたらされた。

このような出来事の中、2024年には注目すべき、そして懸念すべき事件、漏洩、侵害も数多く発生した。トランプ・ヴァンス陣営やハリス・ウォルツ陣営の幹部を狙った国家攻撃、中華人民共和国がスポンサーとなった脅威行為者による米国財務省への侵入、Change Healthcare Ransomware攻撃やSnowflake Data Breachなどの事件が発生した。

注目すべきは、悪用や侵害の複雑さではなく、過去20年間における継続的な傾向とパターンである。

2024年のインシデント、攻撃、侵害、違反を絞り込むことは困難でした。しかし、一市民として、専門家として、そしてNetWitnessの最高製品責任者としての私の視点から、特別に考慮すべき、際立ったものがありました。

2024年のインシデント、攻撃、侵害、違反を絞り込むことは困難でした。しかし、一市民として、専門家として、そしてNetWitnessの最高製品責任者としての私の視点から、特別に考慮すべき、際立ったものがありました。

帰属は常に困難であり、一筋縄ではいかない。 ヒューマンインテリジェンス (HUMINT）である。しかし、それは十分な時間、決意、スキルセット、技術、データとインフラへのアクセスさえあれば不可能ということではない。そして、高度で洗練された脅威行為者や敵対者が活動している（そして、豊富な資源を持つ国家によって支援されている）場合、作戦やキャンペーン中、そしてその後にそれぞれの行動方針を追求する敵対者の意図や意図を理解するためには、敵対者を認識し、特徴づけ、最終的に（原子レベルまたはグループ／ユニットレベルで）適格とすることができることの重要性がより一層重要になる。理想的には、脅威行為者や敵対者について深く具体的に理解することで、彼らやその種の脅威に対する調査、対応、防御をリアルタイムで、そして将来にわたって行うことができるようになる。

2024年、私たちは国家として、そして業界として、こう考えた。多作キャンペーン米国の大手通信会社数社に対して実施されたものである。^{i ii iii}.このキャンペーンは、ソルト・タイフーン（Salt Typhoon）というマイクロソフトが命名した脅威行為者または敵対グループによって、特定の標的に対して実施されました（この敵対グループは、アース・エストリーズ（Earth Estries）としても知られています）。^アイビーゴーストエンペラー^{v vi vii}フェイマススズメ^viiiおよび他のサイバーセキュリティ研究組織によるUNC2286）。このグループと提携している他の多くのグループは以下の通りである。中華人民共和国（PRC）政府主催^ix 中国の国家安全部（MSS）、秘密警察、対外情報部が運営している。このようなスポンサーの合体は目新しいものではないが、脅威行為者集団のアジェンダに多くの疑問を投げかけ、彼らの標的選定、攻撃、作戦、そして最終的なキャンペーンが、現在彼らがもたらしている脅威やリスクを超えて、いかに困難なものであるかを明らかにするユニークなものであることに留意すべきである。中国がコンピューター・サイエンスの2つの異なる重要な分野で進めている進歩を考えてみよう。次世代の人工知能^{XI XII XIII XIV XV XVI} そして、おそらくもっと気になるのは将来のリスクから見た量子コンピューティング^{XVII XVIII XIX XX XXI XXII}.

急速に台頭しつつあるこの2つの分野は、ネットワーク、通信、プライバシー、そして個人と国家の安全・安心の未来やあり方に対して、大きな脅威を投げかけている。次回の記事では、特に量子コンピューティングとサイバーセキュリティの出現に関連する懸念を取り上げる予定である。いずれにせよ、国家によるサイバー攻撃、作戦、キャンペーンに関連する傾向として、中国が経済的、産業的、技術的、そして国家的優位の追求を進めるために、個人、組織、政府を標的にして搾取するという、歴史的に健全な行動パターンを踏襲し続けている。

ソルト・タイフーンの関連性と既知のTTP

誰に聞いても、ソルト・タイフーンはよく組織化され、資金援助を受けているグループであり、異なる地域や産業分野に焦点を当てたチームを擁している（それほど驚くことではないが、この敵対的グループの影響力の大きさを考えれば、注目に値する）。^{xxiii xxiv}の脅威研究者によればトレンドマイクログループは...電気通信、テクノロジー、コンサルティング、化学、運輸業界を含む様々なセクター、および多くの国の政府機関やNGOをターゲットに、20以上の組織と妥協してきた」。 ^xxv.

にもかかわらず、我々はトレンドマイクロ社の友人や同僚に感謝とお礼を言わなければならない。トレンドマイクロ社は、（電気通信業界を含む）幅広い業界で20件の被害が確認されたことを指摘した先行調査に基づき、被害者学についてさらに詳しく述べている。これらの業種には以下が含まれる。^xxvi:

テクノロジー
コンサルティング
ケミカル
運輸業
政府機関
非営利団体（NGO）

そして、トレンド・チームによると、ソルト・タイフーンの犠牲者は以下の国々で見られるという。 ^二十七:

アフガニスタン
ブラジル
エスワティニ
インド
インドネシア
マレーシア
パキスタン
パキスタン
フィリピン
南アフリカ
南アフリカ
台湾
タイ
米国
ベトナム

しかし、ソルト・タイフーンは米国政府のインフラ内で最初に検知された可能性が高く、それがDHSのCISAが法執行機関に通知するきっかけとなり、捜査が開始されたことに留意すべきである。 ^{xxviii xxix}.また、トレンドマイクロでは、被害件数や被害範囲について自信を持っていますが、被害者数だけでなく、影響を受けた通信事業者の総数についても議論があります。その詳細については、こちらのデータをご覧ください。リンク.さらに、トランプ＝バンス、ハリス＝ウォルツ両陣営の幹部を含む、政府・政治に携わる民間人（民間人であると同時に公的なものであると主張する人もいるが）が標的にされた。今日、この搾取の全重要性はわからないが、このグループとその関連団体が今後進める取り組みにおいて重要であり、多発する可能性があることは推測できる。

ソルト・タイフーンは（多くの脅威行為者がそうであるように）、ここでは紹介しきれないほど多くのツールやテクニックを活用している。これらのツールの多くは、脅威のリサーチやインテリジェンス、そしてサイバーセキュリティ業界全体でよく知られているが、そうでないものもある。そのため、私は、個人と組織が脅威行為者とその製品についてより良い準備と情報を得るのを助けるために、それらをここで共有することが有益であると考えた。その中には、様々な形態の悪意あるコード、悪用を目的とした脆弱性（公開されているものとゼロデイものの両方）、様々な用途にまたがるツールなどが含まれている：

マルウェア

ゴーストスパイダー（バックドア）
Masol RAT (Linux バックドア)
デモデックス（ルートキット）
SnappyBee（モジュラーバックドア）
SparrowDoor（ローダーとバックドア）
ジングドア（バックドア）
Derusbi（DLLベースのバックドア）
Motnug（シェルコードローダー）
クロスウォーク（裏口）

悪用される脆弱性

CVE-2023-46805 (Ivanti Connect Secure VPN)
CVE-2024-21887 (Ivanti Connect Secure VPN)
CVE-2023-48788 (Fortinet FortiClient EMS)
CVE-2022-3236 (Sophos Firewall)
CVE-2021-26855 (Microsoft Exchange - ProxyLogon)
CVE-2021-26857 (Microsoft Exchange - ProxyLogon)
CVE-2021-26858 (Microsoft Exchange - ProxyLogon)
CVE-2021-27065 (Microsoft Exchange - ProxyLogon)

その他のツールとテクニック

DLLのサイドローディング
オフザランドの生活戦術（WMIC.exeやPsExecなどの正規ツールを使用）
PowerShellダウングレード攻撃
NBTscan（ネットワークスキャンツール）
PsExec、PsList、ProcDump（シスインターナルツール）

影響と結果

ソルト・タイフーンが主導・実行した作戦やキャンペーンの影響は、まだ十分に理解されていない。これは、米国、その政府、そして業界全体にとって、史上最悪の情報漏洩なのだろうか？それはまだわからない。私が認識し、受け入れ、理解する必要があると思うのは、次のようなことだ。 どの程度悪いのかはわからない。 ソルト・タイフーンがもたらした結果、私たちは今こうしている。私たちは、その影響の大きさと重要性を知っている。はしかし、どの程度なのかはまだわからない。ソルト・タイフーン・グループによって行われた侵害の歴史を理解することで、特に電気通信業界に関してここまで述べてきたことが、どれほど厄介で深刻な問題であるかを少なからず理解することができる。例えば、悪用と侵害の性質である。

Salt Typhoonは、Fortinetが製造した技術やCisco Systemsなどの企業が製造したコア・インターネットワーキング技術など、通信組織で一般的に見られるコア・ネットワーク・コンポーネントを悪用し、侵害した。これらのデバイスには、ルーター、スイッチ、ファイアウォールが含まれる。^{xxx xxxi}.これらの侵害により、ソルト・タイフーン内で活動する脅威行為者は、配備された通信ネットワークや組織にかつてないレベルでアクセスできるようになり、長期的かつ大規模なデータ収集、監視、流出を行うための豊かで肥沃な生態系が形成されました。標的となったシステムの多くは、CALEA（法執行のための通信支援法）の要請に使用されていた。 ^{xxxiii xxxiii}ソルト・タイフーン・グループ内で活動する脅威行為者は、電話通話のメタデータ、テキスト・メッセージ、そして場合によっては著名人の音声記録にアクセスすることができた。この持続的で自由なアクセスによって、ソルト・タイフーン・グループ内で活動する脅威行為者は、監視、収集、報告、前進、持続、そして報告書の流出という、自分たちの任務を遂行しながら待機することができた。この活動は一夜にして起こったものではなく、何年にもわたって行われた長期的な戦略の結果である。大方の証言によれば、脅威の主体は2022年以来、問題の被害者を標的とし、悪用する積極的な作戦状態にあった。

これらの侵害がもたらす影響と正味の効果はまだ完全には明らかになっていないが、いくつかのもっともらしい結果が検討されている。その結果、ソルト・タイフーン・グループの影響を受けた、危険にさらされ、あるいは危険にさらされた通信インフラの膨大な部分が、単に取り払われ、新しい機器と交換されるという大規模な事業が行われることになる。^xxxiv.

正直なところ、このような結果に伴う総費用は計り知れない。しかし、GAOの中でこのようなことが真剣に検討されているのであれば、このような措置の必要性は正当であり、また譲れないものであるはずだ。このことは、サイバーセキュリティ業界で働いているか否かにかかわらず、私たち全員にとって悲痛かつ憂慮すべきことである。

ソルト・タイフーンの活動から何を読み取るか？

サーフズ・アップ：教訓と収穫

2024年に発生したソルト・タイフーンの侵害は、国民国家行為者によってもたらされる進化し続ける持続的な脅威、つまり、ニュース・サイクルの中で何が取って代わろうとも、決して沈静化も停止もしない脅威をはっきりと思い起こさせるものである。このグループの中で活動する国家が支援する行為者に関連する活動は、強固で、十分に定義され、管理されたサイバーセキュリティ対策（先見的な戦略-前例のない攻撃、代償となる管理、積極的な防御、思慮深い組織の自己点検）の必要性と、情報、インフラ、人間を同様に含む、機密性の高い、または価値の高い標的を保護するための継続的な警戒の重要性をさらに強調している。

重要なポイント

国家の脅威は永続的で巧妙である： ソルト・タイフーンの攻撃は、国民国家行為者、特に中華人民共和国をはじめとする同種の国家、ならず者国家、プロキシがスポンサーとなっている行為者の高度な能力を浮き彫りにしている。このような集団は、十分な資金を持ち、高度に組織化され、複雑で多面的な攻撃を実行する能力がある。新しい現象ではないが、一般的なものであり、まだ十分に認識され、認識され、国や商業レベルで適切なレベルの対応策を講じるには至っていない。
包括的なセキュリティ対策の重要性： 組織は、高度な脅威検知、侵入防止システム、定期的なセキュリティ監査など、包括的なセキュリティ対策を実施し、その態勢が十分に保護され、安全が確保され、「重要な資産」を構成する資産全体や部分（人、データ、資産など）にもたらされるリスクを測定・評価するために理解されていることを保証しなければならない。ソルト・タイフーンによる洗練されたツールやテクニックの使用は、潜在的な脅威の先を行くことの必要性を示している。防御技術の面では多くの進歩が定期的になされているが、戦いはしばしば敵に有利に振れる。
脆弱性管理は重要である： Salt Typhoonは、公表されている脆弱性とゼロデイ脆弱性の両方を悪用したため、タイムリーなパッチ管理と脆弱性評価の重要性が強調された。組織は、悪用されるリスクを軽減するために、脆弱性の特定と是正を優先しなければならない。
サプライチェーンとサードパーティのリスク： 今回の侵害はまた、サードパーティやサプライチェーンの攻撃に関連するリスクも浮き彫りにしている。組織は、間接的な侵害を防ぐために、パートナーやサプライヤーが厳格なセキュリティ基準を遵守するようにしなければならない。これらの対策は、SBOM、ソフトウェア・パッケージ、ツール、アプライアンスだけでなく、IPアドレス（v4およびv6）やDNSなど、脅威行為者によって定期的に悪用・悪用されるインターネット・インフラについても、脆弱性や悪用・侵害の可能性を定期的かつ詳細に評価する必要がある。
データ保護とプライバシー 著名人の通話メタデータ、テキストメッセージ、音声記録へのアクセスは、強固なデータ保護とプライバシー対策の必要性を強調している。その結果はまだ完全に理解されておらず、実現もしていない。その結果、危険にさらされた資産（その資産の所有者を含む）は、危険にさらされたままかもしれない。組織は、漏洩や流出時に機密情報を保護するために、強力な暗号化、アクセス制御、監視を導入する必要があります。
継続的な学習と適応： インターネットの脅威の状況は常に進化しており、（善かれ悪しかれ）それを現実のものとし、またそれを可能にし続けている基盤技術の新しく斬新な革新と利用に適応している。脅威行為者は、その活動を阻止するために考案された技術革新と、脅威行為者のアジェンダを推進するために個人が標的にされ、悪用され、危険にさらされる可能性を減らすために考案された人間の行動に対する調整の両方に適応し、調整しながら、姿を変え続けている。戦術家や戦略家が、戦争とその戦術を教えるために、あるいは攻撃戦略を強化するために、社会政治的な歴史書や教義を研究したり、それについて論評したりするのと同じように、組織は今、おそらくかつてないほど、過去の事件、侵害、漏洩から継続的に学ぼうとしなければならない。ソルト・タイフーンのようなグループが行ったような侵害を研究することは、新たな脅威と効果的な対策に関する貴重な洞察を提供するものであり、矮小化されたり、完全に無視されたりすべきではない。

懸念される、あるいは標的にされる可能性のある組織への提言：

脅威インテリジェンス能力の強化： 組織のプログラム、スタッフ、またはそれぞれのサイバーセキュリティチームにおける組織的な欠陥に対処するために、社内または外部の専門家による専門知識に加えて、脅威インテリジェンスを認識し、活用できるテクノロジーに投資する。脅威インテリジェンスを同業他社と共有することは、集団的な防御の構築にも役立つ。
エコーチェンバー（反響室）の誘惑を避け、組織の業界に関連する情報共有分析センター（ISAC）などの組織との関係に投資する： ISACは、重要インフラに対するサイバーおよび関連する脅威に関する情報を、政府を含む複数の分野、業界、部門にわたって収集するための集中的なリソースを提供する組織である。

ISACは、重要インフラのセキュリティと回復力を強化するために、民間部門と公的部門の情報共有を促進する。ソルト・タイフーンやその仲間たちのようなグループと戦い、防御する上で、その価値はいくら強調しても足りない。以下はISACの主な機能のリストである。もしあなたの組織がまだ参加していないのであれば、参加を検討する時期が来たら、これらを考慮に入れてください：

ISACの主な機能：

情報収集とキュレーション： ISACは、サイバー脅威、脆弱性、インシデントに関するデータを、官民を問わず様々な情報源から収集している。
評価と分析： ISACは、収集した情報を分析し、インターネット脅威情勢で観察される傾向、パターン、潜在的脅威を特定する。そうすることで、ISACはメンバーにサービスを提供し、脅威の主体だけでなく、既知の脅威や新たな脅威に協力的かつ先制的に対処する機会を提供する。
普及／配布と共有： ISACは会員に実用的な脅威情報を発信し、会員がリスクを軽減し、セキュリティ態勢を改善できるよう支援する。
コラボレーションのフィードバックと自己増殖サイクル： メンバー間の協力とコミュニケーションを促進し、集団的防衛のアプローチを促進する。

ISACは業種に特化し、金融、医療、エネルギー、運輸などさまざまな分野に対応しており、その存在感はますます高まっている。例えば、金融サービスISAC（FS-ISAC）、医療ISAC（H-ISAC）、州・地方・部族・準州政府向けのマルチステートISAC（MS-ISAC）などがある。

さらなるガイダンスと考察

定期的なセキュリティ訓練の実施： 従業員に対して継続的なサイバーセキュリティ・トレーニングを実施し、現代の脅威、脅威行為者、脅威行為者に共通する攻撃の種類、さらに標的化、悪用、侵害に関連する脅威行為者の行動パターンに関する認識を高める。情報に精通した従業員は、重要な防衛線であり、月曜の朝であろうと、やる気のある脅威行為者の試みを阻止することで、他の人が評価するよりもうまくいきます。
インシデント対応計画の強化： 2025年におけるインシデントへの健全かつ迅速で有意義な対応を保証するために、十分に構造化されたインシデント対応計画の重要性を強調することは、馬鹿げているように聞こえるかもしれない。しかし、ここでもう一度強調しておきたい。しかし、もしこれらの計画が、事前に計画された全知識およびゼロ知識の演習を使用して評価されないのであれば、ブルーチームを評価し、限界まで追い込む一方で、レッドチームに限界を押し広げる機会を与えるように設計されているのであれば、それは印刷された紙と同じ価値しかない。これらの計画の強みは、それを検証する組織の能力にある！
高度なセキュリティ技術に投資する： 特注の脅威インテリジェンスを活用し、AI（クラシカル、ジェネレイティブ、MLなど）により補完された次世代ネットワーク防御・対応などの高度なセキュリティ・テクノロジーを活用し、より高い精度、忠実性、一貫性でリアルタイムに脅威を検知・対応する。十分に高度なサイバーセキュリティ・テクノロジーによって、組織は異常なものも明白なものも同様に検出する機会を得ることができ、その結果、データの流出を含む脅威行為者に関連する行動パターンに加えて、インシデントや侵害をより深く理解することができるようになり、その結果、ユーザーと組織は、より良い装備と権限を得ることができるようになります。
業界パートナーと協力する： 私は、業界パートナー、政府機関、サイバーセキュリティ組織との情報共有や協力に取り組むことの重要性をいくら強調してもしすぎることはない。それは必ずしも容易なことではないかもしれないが、このような形で情報を共有し、協力するための組織内およびその実践的なアプローチにおいて、思慮深いガイドラインとプロトコルが遵守されているのであれば、そのメリットはいかなるコストや努力にも勝るものである。集団的な努力は、全体的なセキュリティ態勢を強化し、高度な攻撃に対する回復力を高めることができる。

閉会の辞

ソルト・タイフーンの情報漏えいは、サイバーセキュリティにおける現在進行形の課題--その多くは気が遠くなるほど身近なものであり、多くの点で、10年以上前と何ら変わりはない--を強く思い起こさせるものだ。しかし、万物は変化する。この状況が今後も続くと信じて傍観するのは、よく言っても馬鹿げているし、悪く言えば無責任である。継続的な改善、用心深さ、そしてセキュリティへの積極的なアプローチは、私たちのデジタル世界を守るために不可欠なのだ。

ウィリアム・シェイクスピアは、戯曲『ヘンリー五世』の中で、主人公のヘンリー五世に、軍隊を鼓舞する力強い演説をさせた（魂がこれまで以上に鼓舞を必要とする瞬間に、魂を揺さぶるような演説だったと言えるかもしれない）。ヘンリー5世は、百年戦争の最中、ハルフルール市への攻撃を開始する前に、仲間や軍隊に向かってこう言ったのは有名である。

この一文は、心、勇気、決意、そして勇気をもって困難や未知に立ち向かうよう人々に呼びかけ、行動を促す代名詞となっている。困難、苦難、絶望の時代に、従来の戦場ではない人々を鼓舞するための手段として使われることも多い。今回もそうだ。だから、私は言おう、「親愛なる友よ、今一度、破れかぶれになれ！」と。

情報源

ⁱhttps://www.wsj.com/politics/national-security/dozens-of-countries-hit-in-chinese-telecom-hacking-campaign-top-u-s-official-says-2a3a5cca

ⁱⁱhttps://apnews.com/article/united-states-china-hacking-espionage-c5351ef7c2207785b76c8c62cde6c513

ⁱⁱⁱhttps://www.securityweek.com/chinas-salt-typhoon-hacked-att-verizon-report/

^アイビーhttps://www.trendmicro.com/en_us/research/24/k/earth-estries.html

^vhttps://securelist.com/ghostemperor-from-proxylogon-to-kernel-mode/104407/

^ヴィhttps://www.imda.gov.sg/-/media/imda/files/regulations-and-licensing/regulations/advisories/infocomm-media-cyber-security/ghostemperor-returns-with-updated-demodex-rootkit.pdf

^viihttps://malpedia.caad.fkie.fraunhofer.de/actor/ghostemperor

^viiihttps://www.eset.com/int/about/newsroom/press-releases/research/eset-research-discovers-famoussparrow-apt-group-spying-on-hotels-governments-and-private-companies/

^ixhttps://techcrunch.com/2025/01/10/meet-the-chinese-typhoon-hackers-preparing-for-war/

^xhttps://securiti.ai/china-basic-safety-requirements-for-generative-ai/#:~:text=Special%20attention%20must%20be%20paid%20to%20understanding,creating%20malware%20or%20biological%20and%20chemical%20weapons.&text=Most%20importantly%2C%20any%20information%20blocked%20per%20the,regulations%20must%20not%20be%20used%20as%20corpora