週間脅威インテリジェンス：GitHub Codespaces RCE、AsyncRAT C2、BYOVD攻撃、クラウド侵入の動向

開発者、クラウド、アイデンティティエコシステムを狙う潜在的な脅威の台頭

今週、セキュリティ研究者らは、目立たないものの影響の大きい複数の攻撃ベクトルを特定した。単一の支配的な脅威ではなく、開発者ワークフロー、リモート管理ツール、クラウドアクセス経路、アイデンティティ管理システムといった日常的な運用コンポーネントから侵入が発生するパターンが観察された。これにより、攻撃者がいかに平凡ながらも重要なインフラを悪用しているかが浮き彫りとなった。

最近の脅威リサーチにおける技術的ハイライト

1. GitHub Codespacesにおけるリモートコード実行（RCE）脆弱性

研究者らは、クラウドベースの開発環境であるGitHub Codespacesにリモートコード実行（RCE）を可能にする脆弱性を公表した。この脆弱性が悪用されると、攻撃者は環境設定を操作したり、公開ポートを悪用したりすることで、開発者のワークステーションを侵害できる可能性がある。現在のところ、積極的な悪用は確認されていないが、この発見は統合開発環境（IDE）やクラウドベースのコーディングプラットフォームにおけるリスクを浮き彫りにしている。

2. AsyncRATのコマンド＆コントロール（C2）インフラストラクチャ

脅威インテリジェンスチームは、広く使用されているリモートアクセストロjan（RAT）であるAsyncRATのコマンド＆コントロール（C2）インフラストラクチャをマッピングした。このマルウェアのC2サーバーは、動的DNS、fast-flux技術、暗号化通信を活用して検出を回避していることが判明した。AsyncRATは、フィッシングキャンペーン、サプライチェーン攻撃、および多段階侵入における二次ペイロードとして継続的に展開されている。

3. Bring Your Own Vulnerable Driver（BYOVD）攻撃の悪用

攻撃者は、脆弱な署名済みドライバーを悪用する「Bring Your Own Vulnerable Driver（BYOVD）」攻撃をますます活用している。正規だが脆弱なドライバーをカーネルにロードすることで、脅威アクターは特権を昇格させ、エンドポイント保護を無効化し、持続性を維持する。最近のキャンペーンでは、信頼できるベンダーのドライバーを標的にし、ドライバ署名ポリシーの弱点やエンドポイント検出の盲点を悪用している。

4. 誤設定されたアクセスによるAI・クラウド環境への侵入

アイデンティティおよびアクセス管理（IAM）ポリシーの誤設定により、AIおよびクラウド環境への不正アクセスが発生した複数のインシデントが報告された。攻撃者は、過剰な権限を持つサービスアカウント、弱いAPI認証、監視されていないクラウドストレージバケットを悪用してデータを流出させたり、悪意のあるワークロードを展開したりしている。これらの侵入は、クラウドネイティブ開発およびAIモデル展開パイプラインにおけるシステム的リスクを浮き彫りにしている。

影響分析：なぜこれらのトレンドが重要なのか

日常的な運用コンポーネントを悪用する方向へのシフトは、サイバー脅威の戦術におけるより広範な進化を反映している。高プロファイルのゼロデイや派手なランサムウェアに依存するのではなく、攻撃者はますます以下の手法を用いている：

• ソフトウェアサプライチェーンを侵害するために開発者およびDevOpsツールを標的とする。
• 検出を回避するために正規の管理ツール（例：RAT、ドライバー）を悪用する。
• ハイブリッド環境で横方向に移動するためにアイデンティティおよびクラウドの誤設定を悪用する。

これらの手法は、通常のネットワークトラフィックやワークフローに溶け込むため、検出が困難である。クラウドセキュリティ態勢が未成熟な組織、ドライバ署名ポリシーが弱い組織、または監視されていない開発者環境を持つ組織は、特に脆弱である。

セキュリティチーム向けの推奨事項

• クラウド開発環境（例：GitHub Codespaces、GitLab Workspaces）の監査と強化：最小権限アクセスの適用、ログ記録の有効化、公開ポートの制限を行う。
• BYOVD攻撃の監視：ドライバーブロックリストの実装、ドライバ署名ポリシーの強制、カーネルレベルの監視ツールの展開を行う。
• AsyncRATおよび類似のRATの検出：ネットワークトラフィック分析、行動検出ルール、C2インフラストラクチャのブロックリストを活用する。
• IAMおよびクラウド設定の見直し：過剰な権限を持つアカウントの排除、多要素認証（MFA）の強制、継続的なクラウドセキュリティ態勢管理（CSPM）の有効化を行う。
• 低速かつ潜在的な侵入の検出強化：エンドポイント、クラウドサービス、アイデンティティプロバイダー間でログを相関させ、異常な行動パターンを特定する。

攻撃者が技術を洗練させ続ける中、セキュリティチームは、一見無害に見える運用コンポーネントにおける可視性を優先する必要がある。次の侵入の波は、すでに進行中かもしれない。