Last Updated on 2024-07-17 23:53 by admin
APT17という中国に関連する脅威アクターが、9002 RATと呼ばれる既知のマルウェアの変種を使用して、イタリアの企業と政府機関を標的にしていることが観察された。この攻撃は2024年6月24日と7月2日に行われ、イタリアのサイバーセキュリティ企業TG Softが最近の分析で公表した。最初のキャンペーンはOfficeドキュメントを使用し、二番目のキャンペーンはリンクを含んでいた。どちらのキャンペーンも、イタリア政府のようなドメインのリンクからSkype for Businessパッケージをインストールするよう被害者に促し、9002 RATの変種を伝達した。
APT17は、2013年にGoogleが所有するMandiant（当時はFireEye）によって、MicrosoftのInternet Explorerのゼロデイ脆弱性を利用したDeputyDogおよびEphemeral Hydraというサイバースパイ活動の一環として初めて文書化された。また、Aurora Panda, Bronze Keystone, Dogfish, Elderwood, Helium, Hidden Lynx, TEMP.Avengersなどの名前でも知られ、Webwormという別の脅威アクターとのツールの重複があることが指摘されている。9002 RATは、2009年にGoogleなどの大企業を標的にしたOperation Auroraで使用されたサイバー兵器として、また2013年のSunshopキャンペーンで複数のウェブサイトに悪意のあるリダイレクトを注入した攻撃で使用されたことで悪名を馳せた。
最新の攻撃チェーンでは、受信者をだましてリンクをクリックさせ、Skype for BusinessのMSIインストーラー（”SkypeMeeting.msi”）をダウンロードするよう促すスピアフィッシングの誘惑が使用されている。MSIパッケージの起動は、Visual Basic Script（VBS）を介してJavaアーカイブ（JAR）ファイルの実行をトリガーし、同時にWindowsシステムに正規のチャットソフトウェアをインストールする。Javaアプリケーションは、9002 RATを起動するためのシェルコードを復号化して実行する。9002 RATはモジュラー型のトロイの木馬で、ネットワークトラフィックの監視、スクリーンショットのキャプチャ、ファイルの列挙、プロセスの管理、リモートサーバーから受信した追加のコマンドを実行してネットワーク探索を容易にするなどの機能を備えている。TG Softによると、このマルウェアはディスクレスの変種を含む常に更新されており、サイバーアクターによって必要に応じて様々なモジュールが活性化されることで、検出の可能性を低減させている。
【ニュース解説】
APT17という中国に関連する脅威アクターが、イタリアの企業や政府機関を標的にしていることが最近の分析で明らかになりました。この攻撃は、特に2024年6月24日と7月2日に行われ、9002 RATと呼ばれるマルウェアの変種を使用しています。このマルウェアは、被害者にイタリア政府のようなドメインからSkype for Businessパッケージをダウンロードするよう誘導し、その過程でマルウェアをインストールさせる手法を取っています。
APT17は、サイバースパイ活動の一環として、MicrosoftのInternet Explorerのゼロデイ脆弱性を利用したことで初めて文書化されました。このグループは、Operation AuroraやSunshopキャンペーンなど、過去にも大規模なサイバー攻撃を行ってきたことで知られています。9002 RATは、これらの攻撃で使用されたことで悪名高いマルウェアであり、ネットワークトラフィックの監視やスクリーンショットのキャプチャなど、多岐にわたる機能を持っています。
この攻撃の手法は、スピアフィッシングを通じて被害者をだましてリンクをクリックさせ、マルウェアを含むパッケージをダウンロードさせるというものです。このプロセスは、正規のソフトウェアを装いつつ、背後でマルウェアをインストールし、攻撃者による制御を可能にします。9002 RATは、その柔軟性と潜在的な機能により、攻撃者が被害者のシステム内で広範囲にわたる活動を行うことを可能にします。
このような攻撃は、企業や政府機関にとって深刻なセキュリティリスクをもたらします。特に、機密情報の窃取やシステムの不正操作など、様々な悪影響が考えられます。また、この攻撃は、サイバーセキュリティの重要性を改めて浮き彫りにし、組織が防御策を強化することの必要性を示しています。
長期的な視点では、APT17のような脅威アクターによる攻撃は、国際的なサイバーセキュリティの枠組みを強化し、国際協力を促進するきっかけとなる可能性があります。また、マルウェアの進化に対応するためには、最新の脅威情報の共有や、攻撃手法の分析、防御技術の開発が不可欠です。サイバーセキュリティは、常に変化する脅威に対応するために、進化し続ける分野であることを、この事件は改めて示しています。
from China-linked APT17 Targets Italian Companies with 9002 RAT Malware.
