正規ツールやクラウドサービスを悪用する攻撃は、なぜ見つけにくいのですか？

A. 攻撃の処理が複数に分散されているためです。

法律事務所などを標的にした新たな攻撃キャンペーンでは、複数の段階を経て侵入や実行が行われます。その過程では、正規のPython実行ファイルやMEGA、GitHubなどのサービスが組み合わせて利用されます。

HollowFrameと呼ばれるローダーが不正プログラムを展開し、最終的にMatryoshkaバックドアが実行されます。

GitHub経由で通信する変種も確認されており、通常のクラウドサービスの通信に紛れ込む特徴があります。

このように処理が断片化されているため、単一のログや従来型の検知だけでは全体像を把握しにくいと報告されています。

HollowFrameとMatryoshkaによる新たな多段階攻撃の分析 https://constella-sec.jp/blog/hobokomo-securitynews/tips-1257/