Last Updated on 2024-07-04 04:41 by admin

ロシアに関連する脅威アクターであるAPT28は、ヨーロッパ、南コーカサス、中央アジア、北米、南米の政府機関や非政府組織（NGO）を模倣した文書を使った複数のフィッシングキャンペーンに関与していることが明らかになった。IBM X-Forceによる最近の報告書によると、このグループは財務、重要インフラ、エグゼクティブエンゲージメント、サイバーセキュリティ、海洋セキュリティ、医療、ビジネス、防衛産業生産に関連する内部文書や公開文書、およびアクターが生成した可能性のある文書を含む様々な文書を餌として使用している。APT28は、ITG05、Blue Athena、BlueDelta、Fancy Bear、Fighting Ursa、Forest Blizzard（以前のStrontium）、FROZENLAKE、Iron Twilight、Pawn Storm、Sednit、Sofacy、TA422、UAC-028としても知られている。

このグループは、イスラエル-ハマス戦争に関連するデコイを使用してカスタムバックドア「HeadLace」を配布していたことが3か月以上前に確認されて以来、ウクライナ政府機関やポーランドの組織を標的にしたフィッシングメッセージを通じて、MASEPIE、OCEANMAP、STEELHOOKなどの特別なインプラントや情報窃取ツールを展開している。また、Microsoft Outlookのセキュリティ欠陥（CVE-2023-23397、CVSSスコア：9.8）を悪用してNT LAN Manager（NTLM）v2ハッシュを盗み出し、他の弱点を利用してNTLMv2ハッシュをリレー攻撃に使用する可能性がある。

2023年11月下旬から2024年2月にかけてIBM X-Forceによって観察された最新のキャンペーンでは、Microsoft Windowsの「search-ms:」URIプロトコルハンドラを利用して、被害者をだましてアクターが管理するWebDAVサーバー上にホストされたマルウェアをダウンロードさせる手法が使用されている。WebDAVサーバーおよびMASEPIE C2サーバーが、先月米国政府によって摘発されたボットネットの一部であるUbiquitiルーター上にホストされている可能性がある証拠がある。フィッシング攻撃は、アルゼンチン、ウクライナ、ジョージア、ベラルーシ、カザフスタン、ポーランド、アルメニア、アゼルバイジャン、米国など複数の国の機関を偽装し、感染チェーンを活性化させるために本物の公開政府および非政府文書の混合を使用している。

ITG05は、継続的な作戦を可能にするために、無料のホスティングプロバイダーfirstcloudit[.]comを利用してペイロードをステージングするという方法論を更新している。APT28の複雑なスキームのクライマックスは、MASEPIE、OCEANMAP、STEELHOOKの実行であり、これらはファイルの窃取、任意のコマンドの実行、ブラウザデータの盗難を目的として設計されている。OCEANMAPは、グループによって以前に使用されていた別のバックドアCredoMapのより高機能なバージョンとして特徴付けられている。研究者たちは、「ITG05は、新しい感染方法を提供し、商用インフラを活用し、マルウェアの能力を絶えず進化させることで、機会の変化に適応し続けている」と結論付けている。

【ニュース解説】

ロシアに関連するサイバー攻撃グループであるAPT28が、ヨーロッパ、南コーカサス、中央アジア、北米、南米の政府機関や非政府組織（NGO）を模倣した文書を使って、広範囲にわたるフィッシングキャンペーンを展開していることが、IBM X-Forceの報告で明らかになりました。このグループは、財務、重要インフラ、エグゼクティブエンゲージメント、サイバーセキュリティ、海洋セキュリティ、医療、ビジネス、防衛産業生産など、多岐にわたる分野に関連する文書を餌として使用しています。

APT28は、特定のセキュリティ欠陥を悪用することで、被害者のコンピュータから情報を盗み出すマルウェアを配布しています。最新のキャンペーンでは、Microsoft Windowsの特定のプロトコルを利用して、被害者にマルウェアをダウンロードさせる手法が確認されています。この攻撃により、ファイルの窃取、任意のコマンドの実行、ブラウザデータの盗難などが可能になります。

このような攻撃は、国家レベルのサイバーセキュリティにとって大きな脅威となります。政府機関や重要インフラが標的になることで、国家の安全保障や経済活動に重大な影響を及ぼす可能性があります。また、この攻撃は、サイバーセキュリティの専門家にとっても、新たな脅威の手法や対策の必要性を示しています。

一方で、APT28の活動は、サイバーセキュリティの分野における研究や技術開発を促進する側面もあります。新たな攻撃手法の発見は、防御技術の向上やセキュリティ対策の強化につながります。しかし、サイバー攻撃の脅威は日々進化しており、個人ユーザーから国家レベルまで、幅広い対策と意識の向上が求められています。

将来的には、APT28のようなグループによる攻撃を検知し、迅速に対応するための技術やシステムの開発がさらに進むことが期待されます。また、国際的な協力による情報共有や対策の強化も、サイバー攻撃に対抗する上で重要な要素となるでしょう。サイバーセキュリティは、今後も継続的な注目と投資が必要な分野であり、その重要性はますます高まっていくことが予想されます。

from APT28 Hacker Group Targeting Europe, Americas, Asia in Widespread Phishing Scheme.

admin

See Full Bio