金庫の武器化：PHANTOMPULSE RATがいかにしてObsidianプラグインを初期アクセスのために利用するか

セキュリティ研究者は、金融および暗号資産セクターを標的とした巧妙なソーシャルエンジニアリング・キャンペーン（REF6598）を明らかにしました。この攻撃は、人気のノート作成アプリケーション Obsidian を、ソフトウェア自体の脆弱性としてではなく、新しいリモートアクセス・トロジャン（RAT）である PHANTOMPULSE を配信するための手段として利用しています。

このキャンペーンは、生産性ツールとサイバーセキュリティの間の重大な交差点、つまり、高い拡張性を備えたツールにおいて、共有設定ファイルやサードパーティ製拡張機能を信頼することの危険性を浮き彫りにしています。

攻撃チェーン：LinkedInからRATまで

この攻撃は、技術的なエクスプロイトよりも人間の心理に大きく依存する多段階の取り組みです。プロセスは特定の進行に従います：

  1. 初期接触： 攻撃者はLinkedInやTelegram上でベンチャーキャピタリストを装い、暗号資産や金融分野のターゲットとの信頼関係を構築します。
  2. 誘惑： 被害者は、クラウドでホストされた共有のObsidian vaultを開くよう招待されます。
  3. トリガー： vaultが一度開かれると、被害者は「Installed community plugins」の同期を有効にするよう促されます。これは、ユーザーがObsidianの組み込みの安全警告を回避して手動で行うアクションです。
  4. 実行： これらのプラグインを有効にすると、正当なプラグイン（具体的には 'Shell Commands' と 'Hider'）の悪意のあるバージョンがアクティブになります。これらのプラグインは、WindowsではPowerShell、macOSではAppleScriptというスクリプトを実行し、PHANTOMPULL と呼ばれるローダーをドロップします。
  5. ペイロードの展開： ローダーは PHANTOMPULSE RATを直接メモリ内で復号して起動し、従来のファイルベースのアンチウイルス検知を回避します。

技術的革新：ブロックチェーンベースのC2

PHANTOMPULSEの最も驚くべき側面の一つは、そのコマンド・アンド・コントロール（C2）メカニズムです。簡単にブラックリストに登録できる静的なIPアドレスやドメインに接続するのではなく、このマルウェアはEthereumブロックチェーンを照会します。

ハードコードされたウォレットアドレスからの最新のトランザクションを監視することで、RATはトランザクションデータ内に埋め込まれたC2サーバーのIPアドレスを取得します。この分散型アプローチにより、インフラストラクチャはテイクダウンに対して非常に高い耐性を持ち、セキュリティチームが従来のDNSやIPフィルタリングを使用して追跡することを困難にします。

セキュリティ論争：ソーシャルエンジニアリング vs. アーキテクチャ

このキャンペーンの発見は、ソフトウェア開発者とユーザーの責任に関する、技術コミュニティ内での大きな論争を引き起こしました。

「ソーシャルエンジニアリング」の主張

一部の者は、攻撃にはユーザーが複数の警告を能動的に無視する必要があるため、Obsidianは責任がないと主張しています。Hacker Newsのコメント欄でのあるコメントのように、「Obsidianには適切な保護策が講じられています... 被害者はそれらを無視するように説得されているのです。これは単なる成功したソーシャルエンジニアリング・イベントです。」

「アーキテクチャの欠陥」の主張

逆に、批判的な人々は、現在のプラグイン・アーキテクチャが根本的に安全ではないと主張しています。プラグインは広範な権限を持ってアプリケーションと同じスペースで動作するため、単一の悪意のあるプラグインがシステム全体を侵害することが可能です。

「プラグイン・アーキテクチャを、アプリケーションと同じスペースでユーザーコードを実行することに基づいて構築することは、根本的に間違っていると思います。適切な方法は、プラグイン・スクリプトをインタープリタで評価することです... そこでは、関数を通じて機能を提供し、スクリプト・ランタイムに公開される状態を公開します。」

この意見は、iOSやAndroidに見られるようなきめ細かな権限システムが存在しないことが、エンタープライズ環境においてアプリケーションを負債（リスク）にすることを示唆する他の人々によっても支持されています。

緩和策と防御戦略

同様の攻撃を防ぐために、組織やユーザーは以下の防御層を実装すべきです：

ユーザー向け

  • すべてのプラグインを精査： 公式のマーケットプレイスからのみプラグインをインストールし、信頼できないソースからのvaultを開く際にプラグインの同期を有効にすることを避けてください。
  • 最小権限の原則： 潜在的な侵害の範囲を制限するために、Obsidianを管理者権限ではなく標準ユーザーとして実行してください。
  • 見知らぬ人からの共有vaultを避ける： 未知のエンティティからの共有Obsidian vaultは、単なるテキストファイルではなく、実行可能なコードとして扱ってください。

セキュリティチーム向け

  • プロセス・モニタリング： Obsidian.exe（またはmacOSの同等物）が powershell.exe、cmd.exe、または osascript のような子プロセスを生成する場合にアラートを出すEDRルールを実装してください。これはノート作成アプリとしては非常に異常な挙動です。

  • ネットワーク・アナリシス： ブラウザ以外のプロセスから、Ethereumブロックチェーン・ノードやゲートウェイへの予期しないアウトバウンド接続を監視してください。

  • サンドボックス化： 高リスク環境では、Obsidianをサンドボックス（Linux上の bwrap など）内で実行し、ファイルシステムやネットワークへのアクセスを制限してください。

結論

PHANTOMPULSEキャンペーンは、拡張可能なソフトウェアの「スイス・アーミー・ナイフ」のような性質が諸刃の剣であることを、痛烈な教訓として思い出させてくれます。ObsidianのCEOは、プラグインのセキュリティに関する主要なアップデートが間近であることを示唆していますが、現在の現実は、プラグイン・エコシステムの力は、しばしばセキュリティ・ペリメター（境界）の縮小という代償を伴うものであるということです。

Sources