脅威インテリジェンスとリスク削減の融合

リサーチレポート

Catch Me If You Can：新たな研究により、レンタル型プロキシネットワーク「CanOworms」の実態が明らかに

ブロックリスト、ジオロケーション、ASN レピュテーションはすべて、IP がその背後にいる人物を教えてくれるという 1 つの前提を共有しています。CanOworms はその前提を覆すために構築されています。STRIKE は、共有 Squid/SOCKS/OpenVPN/IPsec リレー フリートとして動作する 633 の確認済みメンバー サーバーを特定しました。これはコマンド アンド コントロール パネルではなく、その前面にある使い捨てのフロントです。Remcos や Quasar のオペレーターから疑わしい APT41 や APT43/APT37 インフラストラクチャまで、数十のテナントがこれらの同じリレーを使用しています。オペレーターは意図的に特定されていません。多くのテナント、1 つのリレー セット。学習内容: メッシュがどのように発見されたか。JARM および JA4X のフィンガープリントによって裏付けられた共有自己署名 TLS 証明書 (O=kickass) により、12 の高密度 /24 ブロック、6 つ以上のホスティング プロバイダー、および 12 か国以上にまたがる 748 の候補 IP のうち 633 の確認済みノードが明らかになりました。チェコ共和国の 5 つの制御プレーン ホストが、中央集権型の「スター」トポロジーでフリートを管理しており、1 つのノードだけで約 256 個の他のノードに接続し、フリート全体で約 35 秒のハートビートが単一のコレクターに送り返されます。これは、防御側が監視できる圧力ポイントです。誰がそれをレンタルしているか、誰がレンタルしていないか。「PrivacyFirst」（MAXKO doo、AS214366）という再販業者が書類の記録に現れますが、そのアドレス空間のごく一部だけが実際にメッシュ証明書を保持しています。これは、再販業者の ID がオペレーターの ID ではなく、テナントの ID でもない理由を示すケース スタディです。攻撃トラフィックが到達する場所。疑わしい認証情報スプレー トラフィックは、南アフリカ、インド、米国、ブラジル、バングラデシュに集中している MikroTik ルーター、TR-069 CPE、Hikvision カメラに向かってフリートから出ています。これは、スパイの標的の地理ではなく、商品犯罪の地理です。IP ベースの防御がここで失敗する理由と、代わりに何をフィンガープリントするか。このレポートでは、永続的な検出とは、ブロックリストが追いつけないほど速く破棄され置き換えられるIPアドレスを追跡するのではなく、インフラストラクチャがどのように構築されたか（証明書のサムプリント、JARM、JA4X、サービススタックの署名）を追跡することを意味する理由を説明しています。完全なIOCとMITRE ATT&CKマッピング。付録Aでは、検出ツールにすぐに組み込める完全なフィンガープリントセットを公開し、ATT&CKリソース開発およびC2技術（T1583.003、T1090.002、T1571）にマッピングしています。「Catch Me If You Can」をダウンロードして、フィンガープリント手法、コントロールプレーン分析、完全なIOC付録を含むCanOwormsの完全な調査を入手してください。