中国系APT UNC5221、M365に新マルウェアPlenet展開　平均18ヶ月潜伏でCA回避

「中国系APTがMicrosoft 365に長期潜伏って、うちのクラウド環境も狙われてるんでしゅか？」
「18ヶ月も気付かれない侵入って、どうやって見抜けばいいんでしゅ……」

チップス

うちのM365、何もアラートが出てないからって安心していいのか分からなくなってきたでしゅ……。

ボス

ふふふ、アラートがないことが安全の証ではない、これは肝に銘じるべきだな。事例を見ていこう。

本記事では中国系APT「UNC5221」がM365環境に展開した新マルウェアの手口と、企業が取るべき検知ポイントを解説します。

最後まで読めば、自社のM365監査ログで何を見るべきか、優先順位がつけられます。

UNC5221の攻撃キャンペーンと標的像

攻撃グループのプロファイルと、被害が広がった経路を整理します。

エッジ機器のゼロデイから侵入、18ヶ月潜伏

UNC5221は2023年以降、米国組織のエッジ機器のゼロデイ脆弱性を悪用してきた高度な攻撃者集団です。
今回のキャンペーンでは、Egnyte Storage SyncやMSP（マネージドサービスプロバイダ）の基盤を経由して企業ネットワークに侵入していました。
検出までの平均潜伏期間は18ヶ月以上で、長期にわたって認証情報や機密情報を持ち出していたとみられます。
標的セクターは法律事務所・SaaSプロバイダ・BPO・テック企業に及び、日本の同業界も射程内です。

攻撃キャンペーンの主な特徴は以下のとおりです。

詳細はBleepingComputerの報道で公開されています。

日本企業にも当てはまる構造的リスク

日本でも法律事務所や中堅SaaSベンダーは、機密度の高い情報を扱う一方でEDRやCASBの整備が遅れがちです。
MSP経由で複数顧客に同時侵入する手口は、サプライチェーン攻撃そのものです。
取引先のセキュリティレベルが、自社のリスクに直結する構造を持つ業界は要警戒です。

チップス

MSPを通じて一気に複数社が被害に、ってのが一番怖いでしゅ……

ボス

そうだ。だから取引先のEDR導入状況も、契約レビューで毎年確認するくらいの姿勢でいい。

マルウェアの中身とM365検知ポイント

PlenetとAgentPSDの役割と、M365での痕跡の探し方をまとめます。

PlenetとAgentPSDの分業構造

主役のPlenetは.NET製バックドアで、対話型シェル・遠隔コマンド実行・ファイル操作を備えます。
WebSocketで複数のC2サーバへ同時接続する多重化機能を持ち、一部のC2が落ちても通信を継続できる作りです。
補助のAgentPSDはPython製リバースシェルで、Plenet用とは別系統のC2インフラを使う「冗長化」役を担います。
EDRが入っていないSynology NASやLinuxサーバに置かれるケースが多く、検知から逃げる設計が徹底されています。

マルウェアの特徴を整理しました。

M365でいま確認すべき監査項目

UNC5221は盗んだ認証情報でM365のConditional Access（条件付きアクセス）を回避します。
監査ログでは、海外IPからのサインイン成功、デバイス未登録のままTeamsやSharePointへアクセス、そしてグラフAPIによる大量メール取得などを優先して確認してください。
EDRが入っていないNASやLinuxホストは、ネットワーク側で外部C2宛通信を観測する設計にしておくと足跡を捕まえやすくなります。

チップス

条件付きアクセスを設定済みでも、突破される前提でログを見るんでしゅね！

ボス

そうだ。CAは万能ではない。突破された後の動きを掴む目を、別途持っておくのが現実的だ。

まとめ

UNC5221のキャンペーンは、エッジ機器・MSP・盗用認証情報の3点セットで、M365に長期潜伏する典型例です。
EDRなしのNASやLinuxホストが「死角」となっていたことが、18ヶ月の潜伏を許した最大要因でした。
M365監査ログのチェック、条件付きアクセス突破前提の検知、そしてNAS/Linuxの通信可視化、ここを今週中に着手してください。
静かに侵入される攻撃ほど、能動的に探しにいかないと見つかりません。

ボス

アラートを待つな、自分から探しに行け。これがAPT時代の防御の作法だ。

チップス

今週中にM365監査ログ、見直してみるでしゅ！