VoidProxyの公開：巧妙で防御回避型のPhishing-as-a-Serviceフレームワーク

概要

Okta 脅威インテリジェンスは、Microsoft 365およびGoogle Workspaceアカウントを標的とする、巧妙で高度な、活発に展開されているフィッシング-as-a-Service（PhaaS）プラットフォームを発見しました。これはVoidProxyまたはO-TA-083として追跡しています。

VoidProxy PhaaSからのアクティビティは、少なくとも2025年1月から確認されており、新しいドメインとアカウントの乗っ取りの試みが日々観測されています。このプラットフォームは、複数の業界セクターの組織を標的とするために使用されています。

VoidProxyは、Adversary-in-the-Middle（AitM）の手法を悪用して認証フローをリアルタイムで傍受し、認証情報と多要素認証（MFA）コードをキャプチャし、セッションCookieを盗み取ることで、MFA保護を回避します。

この機能により、SMSコードや認証アプリからのワンタイムパスワード（OTP）などの一般的なMFA方式は効果がなくなります。しかし、Oktaはフィッシング耐性のある認証要素の選択肢を提供しており、その中にはOkta FastPassが含まれます。Okta FastPassは、私たちが確認した攻撃において、VoidProxyによるすべてのアカウント乗っ取りの試みを阻止しました。

VoidProxy の主な目的は、企業の アカウントを漏洩または侵害して、ビジネスE メール詐欺 (BEC)、金融詐欺、データ窃取、被害者ネットワーク内のラテラルムーブメントなどの悪意のある活動を助長することです。

PhaaSモデルであるVoidProxyは、広範な攻撃者がAitMフィッシング攻撃を実行するための技術的な障壁を下げ、潜在的な影響を大幅に増大させます。このプラットフォームは、成熟し、拡張性があり、回避策を講じる脅威であり、従来のメールセキュリティおよび認証制御を困難にするものです。

本アドバイザリーの情報は、組織がこの脅威によってもたらされるリスクを理解し、軽減できるように提供されています。

脅威分析

攻撃の構造: VoidProxy のキルチェーン

VoidProxy攻撃の手法は、セキュリティ制御を体系的に回避し、エンドユーザーを欺くように設計された多段階のキルチェーンに従います。各段階は慎重に調整されており、分散インフラストラクチャを活用してアカウント乗っ取りという目的を達成します。

ステージ1：配信

VoidProxy攻撃の最初の侵入経路は、Microsoft 365やGoogle Workspaceなどの主要なクラウドサービスのユーザーを標的としたフィッシングメールです。

標準的なセキュリティ制御を回避するために、攻撃者は正当な評判の高いEメールサービスプロバイダー（ESP）を使用します。Constant Contact、Active Campaign（Postmarkapp）、NotifyVisitorsなどのサービスを使用して、悪意のあるルアーを送信していることを確認しました。これは意図的な選択です。このようなサービスの信頼できるIP範囲から送信されるEメールは、Eメールゲートウェイによってスパムまたは悪意のあるものとしてフラグが立てられる可能性が低いためです。

これらのE メールに組み込まれているリンクは、多くの場合、 TinyURL のような正当な URL 短縮サービスを使用して、フィッシングページの実際のアドレスを隠蔽します。これは、ユーザーと自動スキャナーの両方から真の宛先を隠蔽するのに役立ち、ユーザーがリンクをクリックして最終的な宛先に到達する可能性を高めます。

VoidProxyのインフラストラクチャ

VoidProxyは、それぞれに固有の特性を持つ、明確な段階で構成される多層アプローチを採用しています。

VoidProxyの運用インフラストラクチャは、使い捨ての、高頻度で入れ替わるフロントエンドと、サーバーレスアーキテクチャでホストされている、より永続的で回復力のあるバックエンドの組み合わせで構成されています。

ドメインとサブドメインのパターン

VoidProxyのオペレーターは、インフラストラクチャの展開に関して一貫したパターンを遵守しています。

• フィッシングドメイン： 主なランディングページは、.icuなどの低コストで低評価のTLDで登録されたドメインでホストされています。.sbs、.cfd、xyztop、および.home。この戦略は、運用コストを最小限に抑え、攻撃者がドメインを使い捨て資産として扱い、特定されてブラックリストに登録されるとすぐに放棄できるようにします。フィッシングサイトはCloudflareの背後に配置されており、フィッシングサイトのサーバーの実際のIPアドレスを効果的に隠蔽し、セキュリティチームが悪意のあるホストを追跡して停止させることをより困難にしています。
• サブドメインのプレフィックス：複数のVoidProxy URLの分析により、アカウント、ログイン、ポータル、securedauthxx、newnewdomなどの特定のサブドメインプレフィックスが繰り返し使用されていることが明らかになりました。これらのプレフィックスは、特定のアイデンティティプロバイダーで使用されるパターンをターゲットにするために、キットのデプロイメントスクリプトによって自動的に生成される可能性が高いと評価しています。

Cloudflare Workersを使用したセキュリティフィルタリング

上記のように、PhaaSプラットフォームは分散型アーキテクチャを使用しています。Cloudflare Workers (*.workers.dev)初期のゲートキーパーとして機能し、フィッシングコンテンツを提供し、Cloudflare CAPTCHA課題を提示するなど、予備的なチェックを実行します。

VoidProxy PhaaSの運用モデルに関する興味深い洞察は、Cloudflare Workerのエンドポイントの命名規則から得られます。複数のケースを分析した結果、一貫したパターンが浮かび上がりました。すべてのCloudflare Workerのエンドポイントは、同じ命名構成を使用して作成されていました。攻撃者は、サブドメインでaidenveliz、kelvingomez、sammybruceのようなもっともらしい英語の名前を使用しています。

<alphanumeric><firstnamelastname>..workers.dev.

このパターンは、PhaaS顧客（キットをレンタルする攻撃者）向けの自動化または半自動化されたプロビジョニングシステムを強く示唆しています。キットを購入した各攻撃者に対して一意のCloudflareアカウントを手動で作成および管理するのは、非効率的であり、拡張が困難です。代わりに、VoidProxyオペレーターがマスターアカウントまたはAPIキーを使用して、このインフラストラクチャをプログラム的に生成している可能性があります。ランダムに生成された<firstnamelastname>コンポーネントは、特定の顧客または大規模なキャンペーンの一意の名前空間として機能する可能性があります。次に、<alphanumeric>プレフィックスは、その攻撃者によってデプロイされた特定のフィッシングページインスタンスの一意の識別子として機能します。このアーキテクチャは、キットの購入者間に分離の層を提供し、研究者がすべてのVoidProxyアクティビティを単一の制御エンティティにリンクすることをより困難にします。

コアプロキシと C2 インフラストラクチャ

AiTM リバースプロキシと攻撃者の管理パネルの両方である VoidProxy の運用の核心は、動的な DNS ワイルドカードサービス sslip.io および nip.io 経由でアクセスされるサーバーでホストされています。これらのサービスは、埋め込み IP アドレスを持つホスト名をそれらの IP に直接解決するように設計されています。 IP は、開発を目的とした機能ですが、現在は悪意のある目的で使用されています。

このインフラストラクチャは、以下として機能します：

1. AitMプロキシエンジン：これは、実際の中間者攻撃を実行するサーバーであり、セッションCookieを盗むために、被害者と正当なサービス間でトラフィックを中継します。
2. 攻撃者の管理パネル：これらのURLは、PhaaSの顧客がキャンペーンを構成し、被害者をリアルタイムで監視し、盗まれたデータにアクセスするために使用するウェブパネルもホストしています。

「voidproxy」プレフィックスの使用は、このC2インフラストラクチャの自己識別マーカーです。このアーキテクチャは、フィッシングURLドメインでの最初のルアーのロードをコアロジック（*.sslip.io）から分離し、運用効率とレジリエンスのために設計された、洗練された多層アプローチを示しています。

アカウント乗っ取り活動で使用されるインフラストラクチャ

Okta Threat Intelligenceは、VoidProxyフィッシングキャンペーンの成功に続いて、いくつかのアカウント乗っ取りの試みを確認しました。

フィッシング耐性のないMFA方式（OTPやプッシュリクエストなど）に依存しているユーザーに対して、アカウント乗っ取りが成功しました。VoidProxyのAitM機能により、攻撃者はこれらのワンタイムコードとプッシュ通知をリアルタイムで傍受および中継し、MFA課題を効果的に回避できます。

対照的に、Okta FastPassはすべてのアカウント乗っ取りの試みを阻止することに成功しました。FastPassは認証を正当なドメインとデバイスにバインドするため、AitMプロキシが有効なセッション情報を傍受して再生することは不可能です。

これは、VoidProxyのような高度なPaaSプラットフォームからの脅威を効果的に軽減するために、フィッシング耐性のあるMFAを導入することが非常に重要であることを示しています。

ユーザー認証情報の侵害に成功すると、攻撃者が次の ASN で主にホストされている IP から認証を試みているのが確認されました。

• AS36352 - HostPapa
• AS149440 - Evoxt エンタープライズ
• AS210558 - 1337 Services GmbH
• AS401120 - cheapy.host LLC
• AS23470 - ReliableSite.Net LLC

VoidProxy管理者パネル

フィッシングキットの分析により、PaaSの顧客がキャンペーンを管理および監視できる、フル機能を備えた管理パネルが明らかになりました。このパネルは、攻撃を組織化し、盗まれたデータを収集するための包括的なインターフェイスを提供します。

VoidProxyと地下組織のアイデンティティの関連付け

キャンペーンの分析後、Okta脅威インテリジェンスは、この新しいPaaSプラットフォームを特定の攻撃者にリンクできるアクティビティについて、地下のエコシステムを調査しました。

調査の結果、「BIGFATCHAT™」チャネル（詐欺師を匿うことで知られるチャネル）に投稿された2024年8月付けのTelegramメッセージが発見されました。このメッセージでは、VOIDという名前のユーザーが「すべての2FAをバイパス」するサービスを提供していました。

脅威対策

私たちがしていること：
私たちは、この脅威を軽減するために、次の活動に積極的に取り組んでいます：

• このキャンペーンに関連する新しく登録されたフィッシングドメインとインフラストラクチャを継続的に監視します。
• 特定された悪意のあるサイトのテイクダウンリクエストを開始するために、関連するレジストラおよびホスティングプロバイダーに悪用レポートを積極的に提出します。
• 関連性の高い脅威インジケーターの継続的なストリームを Okta AI を使用した Okta Identity Threat Protection に供給します。
• 組織がOkta環境のセキュリティを強化し、侵害された可能性のあるアカウントに関連する不審なアクティビティを調査するための支援とガイダンスを提供します。

Protective Controls

お客様への推奨事項

• Okta FastPass、FIDO2 webauthn、スマートカードなどの強力な認証システムにユーザーを登録し、ポリシーでフィッシング耐性を強化します。Okta Verifyプッシュ通知に対して例外が設けられている場合は、すべてのサインイン試行またはリスクの高いサインイン試行に対して、番号課題を強制することを推奨します。
• Okta認証ポリシーを使用して、顧客が設定可能な条件に基づいてユーザーアカウントへのアクセスを制限することもできます。管理者は、Endpoint Managementツールによって管理され、エンドポイントセキュリティツールによって保護されているデバイスへの機密性の高いアプリケーションへのアクセスを制限することをお勧めします。機密性の低いアプリケーションへのアクセスには、基本的な衛生状態の指標を示す登録済みデバイス（Okta FastPassを使用）を要求します。
• まれにしか使用されないネットワークからのリクエストを拒否するか、より保証レベルが高いを要求します。Okta Network Zonesを使用すると、アクセスは場所、ASN（自律システム番号）、IP、およびIPタイプ（既知の匿名化プロキシを識別できる）によって制御できます。
• Okta Behavior and Risk evaluationsを使用して、以前に確立されたユーザーアクティビティのパターンから逸脱したアプリケーションへのアクセス要求を特定できます。このコンテキストを使用して、要求をステップアップまたは拒否するようにポリシーを設定できます。
• 疑わしいE メール、フィッシングサイト、および攻撃者が使用する一般的なソーシャルエンジニアリングの手法を特定するようにユーザーをトレーニングします。エンドユーザー通知と疑わしいアクティビティのレポート機能を構成して、ユーザーが潜在的な問題を簡単に報告できるようにします。
• ITサポート担当者に連絡するリモートユーザーのアイデンティティを検証するための標準化されたプロセスを文書化、普及、および遵守します（逆も同様）。
• 管理者アクセスに対して「ゼロ・スタンディング・プリビレッジ（Zero Standing Privileges）」のアプローチを取ってください。管理者にカスタム管理者ロールを割り当てて、日常業務に必要な最小限の権限を与え、より特権的なロールへのJIT（ジャストインタイム）アクセスには二重認証を要求します。
• すべての管理アプリにIPセッションバインディングを適用して、盗まれた管理セッションのリプレイを防止します。
• 管理ユーザーが機密性の高い操作を実行しようとするたびに再認証を強制するために、Protected Actionsを有効にします。

フィッシングインフラストラクチャの監視と対応：

• アプリケーション・ログ（Oktaログ、Webプロキシ、E メール・システム、DNSサーバー、ファイアウォール）で、そのような疑わしいドメインとの通信の証拠がないか確認する。
• ドメインを定期的に監視して、コンテンツが変更されているかどうか確認してください。
• ドメインでホストされているコンテンツが著作権または法的マークに違反している場合は、証拠を提供し、ドメインレジストラやWebホスティングプロバイダーに削除リクエストを発行することを検討してください。