CrowdStrike Blog：Refined Kitten の正体とは？
一般的な別名
国際
海外情報
Refined Kittenは次のような別名でも知られています。
・ APT33
・ Elfin
・ Magnallium
・ Holmium
Refined Kittenの身元
Refined Kittenは国家主導の脅威アクターで、その行為はイラン・イスラム共和国のイスラム革命防衛隊（IRGC）の目的と関係していると見られます。この攻撃者グループは少なくとも2013年頃よりスパイ行為を主な目的として活動を行ってきました。機密情報の収集がRefined Kittenの最大の狙いですが、この攻撃者と破壊的なShamoonマルウェアによる攻撃に関連があることが疑われています。
Refined Kittenは従来、カスタムとオープンソースの両方のリモートアクセスツール（RAT）を利用して、標的の情報を収集してきました。ところが最近はPoshC2やPowerShell Empireといった主流のオープンソースのマルウェアフレームワークへの依存度を高めています。
Refined Kittenの標的
Refined Kittenの攻撃範囲は完全にはわかっていませんが、そのアクティビティは特定の国家と産業に偏る傾向があります。その時々で必要な情報が変わることを反映しているものと思われます。
標的にされている国家
Refined Kittenの標的は通常、サウジアラビア、アラブ首長国連邦、米国の事業体に偏っており、これらの国はすべて、IRGCの長年の関心事に関連があります。
最近では、2019年夏に米国とイランの間で緊張が高まり、米国の金融および政府機関を標的とするアクティビティの増加に拍車がかかったようでした。
標的にされている産業
Refiend Kittenの企ては次の産業で非常に多く見られます。
・ 航空宇宙
・ 軍需
・ エネルギー
・ 石油およびガス
最近はRefined Kittenによる防衛関連事業の求人情報偽装が確認されており、軍需産業に照準を合わせていると思われます。
Refined Kittenの手法
Refiend Kittenはほとんどの場合、マルウェア配布手法としてスピアフィッシングを利用しています。Hypertext Application（HTA）ファイルを含む電子メールが被害者に送られ、仕事をテーマにしたさまざまなコンテンツをホストする、なりすましドメインが表示されるのが典型的です。最近、このなりすましドメインとホストされるコンテンツが防衛関連事業をテーマにし、被害者におとりの求人票への記入を促すというものが登場しています。
こういった最近のアクティビティでは、被害者はまずコマンドアンドコントロール（C2）URLから追加のPowerShellコマンドをダウンロードする操作（CAPTCHAを入力するなど）を行わせ求人票に記入するよう促されます。このような追加のPowerShellコマンドを使用して、オープンソースのPost-Exploitationフレームワークをペイロードとして（PoshCh2、Koadicなど）配布していることが確認されています。
その他の既知の「攻撃者」
Refined Kittenは、CrowdStrike
Intelligenceが追跡している多数の攻撃者グループの一つでしかありません。CrowdStrikeが監視している脅威アクターには、他にも次のようなものがあります。
・ Helix Kitten
・ Fancy Bear
・ Mythic Leopard
・ Goblin Panda
他の電子犯罪（eCrime）、ハクティビスト、国家主導の攻撃者にも関心をお持ちの場合は、CrowdStrikeこちらのブログをご覧ください。脅威インテリジェンスについての詳細はこちらからご覧いただけます。
サイバー脅威の現状の詳細
攻撃者の最新の戦術、技術、手順（TTP）について、さらに見識をお求めの場合は、以下を参照してください。
・ ダウンロード：CrowdStrike2019年版グローバル脅威レポート『Adversary Tradecraft and the Importance of Speed（攻撃者グループが身につけたノウハウとスピードの重要性）』
・ Refined Kittenのような脅威アクターに関する情報をセキュリティ戦略に組み込む方法については、Falcon X脅威インテリジェンスページをご覧ください。
・ CrowdStrike Falcon Preventのすべての機能を試すことができる無料トライアルで、真の次世代AVが現在最も高度な脅威にどのように対処するかを体験いただけます。
＊原文はCrowdStrike Blog サイト掲載 ：https://www.crowdstrike.com/blog/who-is-refined-kitten/
ソース・関連リンク
関連記事
Scan PREMIUM 会員限定記事
もっと見る-
脆弱性と脅威Microsoft Windows の SharedStream ライブラリにおけるメモリ制御不備により権限昇格が可能となる脆弱性（Scan Tech Report）
2020 年 7 月に Windows で管理者権限の奪取が可能となる脆弱性が報告されています。
-
「目的は学習」「人間は常にＡＩに優る」「日光浴は１日３時間以内」「年収」バウンティハンター３５００名アンケート結果
人間はちっぽけな存在ではあるが、情報セキュリティ分野では AI より優れていると考えている。また、あえて現実世界に姿を現わしたり十分な陽光を浴びようとする人は少数だ。
-
Microsoft Windows の Print Spooler サービスにおけるファイル書き込み処理の不備により権限昇格が可能となる脆弱性（Scan Tech Report）
2020 年 5 月に、Microsoft Windows で管理者権限の奪取が可能となる脆弱性が報告されています。
-
ここが変だよ日本のセキュリティ 第41回 「これでパスワードの不安はパッと消えますよ！」（前編）
そう、営業トークに不安を煽られてはいけない。自分で考えるんだ。それは本当に必要な対策か？むしろ大事なことは、基本的な対策でありながら、多くの組織ではできていないここと、パッチ適用とパスワード管理問題だろう。
カテゴリ別新着記事
脆弱性と脅威 記事一覧へ
PHP工房の複数の製品に脆弱性、意図しない操作やログインされる可能性（JVN）
夏期休暇に伴いテレワーク関連リスク注意呼びかけ（NISC）
攻撃活動が再開した「Emotet」の観測状況を公開（IPA）
Microsoft Windows の SharedStream ライブラリにおけるメモリ制御不備により権限昇格が可能となる脆弱性（Scan Tech Report）
沈静化していた「Emotet」、感染につながるメールを確認（JPCERT/CC）
SEOポイズニング増加を注意喚起（セキュアブレイン）
インシデント・事故 記事一覧へ
「Emotetウイルス」感染、社内でやり取りしたメール内容を引用したなりすましメールを確認（加賀麩不室屋）
枕の通販サイトへ不正アクセス、カード情報が流出の可能性（Kitamura Japan）
「Classi」への不正アクセス、データの外部への漏えいを確認（Classi）
再委託先が設定ミス「中小企業等支援策活用サポートセンター」相談者情報が閲覧可能に（京都市）
不正アクセスでユーザー情報が流出、対策としてサーバリプレイスを実施（キッチハイク）
「ショップチャンネル」にパスワードリスト型攻撃、定常的なモニタリングで発覚（ジュピターショップチャンネル）
調査・レポート・白書 記事一覧へ
日経２２５企業のセキュリティリスク調査、グローバルランキングを集計（RAPID7）
攻撃者が請求側企業の担当者になりすますBECを確認--J-CSIP運用状況（IPA）
日本はIDアクセス管理とデータ・セキュリティ対策でグローバルより遅れ（KPMGコンサルティング、日本オラクル）
脆弱性届出、製品別は「ルータ」が最多に--第2四半期レポート（IPA、JPCERT/CC）
若年社会人の半数近くカードの暗証番号等のルール知らず（日本クレジット協会）
最多件数の脆弱性はXSS、製品はQualcomm componentがランクイン--第2四半期JVN登録状況（IPA）
研修・セミナー・カンファレンス 記事一覧へ
増加するランサムウェア攻撃、世界中の事例を紹介（CrowdStrike）
2社のソリューション連携で一貫したスキームが実現、オンラインウェビナーを合同開催（ゼットスケーラー、クラウドストライク）
初級者向けログ分析トレーニング用コンテンツをGitHub上で公開（JPCERT/CC）
初心者向けにサイバーセキュリティ・リレー講座 全８回を実施（経済産業省四国経済産業局）
CIO、CISOを対象に「川口洋座談会ウェビナー第1回」開催（イエラエセキュリティ）
ダークウェブの違法サイト検出、データセット「DDIR」とは？
製品・サービス・業界動向 記事一覧へ
ハードディスク処分、テクニカルセンター内映像をYouTube公開（ブロードリンク）
破産者等の個人情報掲載サイトに停止命令、対応なき場合 罰則求める刑事告発予定（個人情報保護委員会）
NRIセキュアが「iTrust」取扱開始、ペーパーレス化・脱ハンコのビッグウェーブ狙う（サイバートラスト、NRIセキュア）
総務省ガイドラインの各項目チェック＋コンサル、テレワーク環境の情報漏えいリスク可視化サービス（サイバートラスト、DNP）
トレンドマイクロのニューノーマル時代の事業戦略とは
![[鋭意準備中] ScanNetSecurity に夏を告げる紳士を取材しました ～ Black Hat USA 2019 の見どころ 画像](/imgs/std_m/28068.jpg)
