今週、CTIでは、現在、世界規模で多言語によるキャンペーンを展開している、 のビジネスメール詐欺（BEC） の脅威グループ2つについて取り上げます。 次に、北朝鮮の「 APT37’s 」（別名「ScarCruft」または「RedEyes」）による最新のキャンペーンについて詳しく解説します。このサイバー諜報活動において、この脅威アクターは、ステガノグラフィと脆弱性悪用を巧みに組み合わせた手法を用いて、新たな回避型マルウェア「M2RAT 」を配布しています。 そして最後に、オープンソースソフトウェアのリポジトリを標的とした最新の攻撃について詳しく解説します。これは、 1月27日 から 2023年1月29日 にかけて、5つの悪意のあるパッケージが公開されたキャンペーンであり、そのすべてに情報窃取型マルウェア「 W4SP Stealer」が含まれていました。
1. BECグループは、世界中の企業を標的とした、多言語による経営幹部なりすまし攻撃を展開しています
現在、2つのビジネスメール詐欺（BEC）グループが、自動翻訳ツールを活用して、多言語で同時に支払い詐欺や給与横領攻撃を仕掛けています。
BECは、依然として最も急速に拡大しており、経済的被害が甚大なサイバー脅威の一つです。 The FBI estimates (opens in a new tab) that BEC scams have resulted in more than $43 billion in losses since 2016 — the same year that BEC attacks first ranked (opens in a new tab) at the top of the FBI’s list of the costliest cybercrimes in the US. それ以来、ずっとその場所を占めています。
研究者らが、標的型かつ多言語による攻撃を確認しました
Abnormal Intelligence社の研究者らは、グローバル企業を標的とした （BEC）攻撃において、経営幹部になりすます手口を用いている2つのグループを特定したと報じられています。 （新しいタブで開きます） 同社は、これらのグループを、支払詐欺を行う「Midnight Hedgehog」と、給与横領攻撃を専門とする「Mandarin Capybara」として追跡しています。
これら2つのグループは、デンマーク語、オランダ語、エストニア語、フランス語、ドイツ語、ハンガリー語、イタリア語、ノルウェー語、ポーランド語、ポルトガル語、スペイン語、スウェーデン語など、実に 13 もの異なる言語でBECキャンペーンを展開しています。
確認されたTTP
かつて、世界中の被害者を標的とした大規模かつ多言語によるサイバー攻撃は、トップクラスの脅威アクターの専売特許でした。 これらは、多額の予算と相当なリソースを駆使できる、高度な技術と洗練された手口を持つサイバー犯罪組織でした。 実際、外国語で説得力のあるメールを複数作成するには、こうしたグループが言語専門家を雇ったり、その言語のネイティブスピーカーを社員として抱えたりする必要があったことがよくありました。
しかし、近年の技術の進歩により、このプロセスの導入ははるかに容易になり、費用も抑えられるようになりました。 その結果、手腕の未熟なサイバー犯罪者が、このような大規模な作戦に手を染めることを妨げていた障壁は、着実に弱まってきています。
効果的かつ低コストなマーケティング技術の利用が可能になったことと、高精度な翻訳アプリの普及が相まって、事実上の「戦力増幅要因」として機能し、サイバー脅威の攻撃者がその活動を急速に拡大させ、世界規模で経済的損害をもたらす攻撃を展開することを可能にしています。 さらに、 の機械学習 の登場や、文脈やリアリティを向上させる目的で翻訳ツールにこうした技術が組み込まれたことで、攻撃者が ChatGPT （新しいタブで開きます） といった AI ベースのプラットフォームを悪用しやすくなりました。
選手たち
Abnormal Intelligenceのレポートは、それぞれ独自の専門分野を持つ2つの多言語対応BECグループの活動に焦点を当てています。
ミッドナイト・ヘッジホッグ（専門分野：世界的な決済詐欺）
「Midnight Hedgehog」は、金銭を目的としたソーシャルエンジニアリング詐欺において一般的となった手口を主に用いており、経営幹部になりすます手口 (新しいタブで開きます) を通じて、受信者を騙して架空のサービスに対する支払いをさせようとします。通常、企業のCEOを装って行われます。
ミッドナイト・ヘッジホッグの俳優たちは、演じる役柄が担う職務や責任について、徹底的に調査しているようです。 彼らは、標的とCEOとの関係性を詳細に把握し、本物のアカウントを模倣した、極めて説得力のあるなりすましメールアカウントを作成します。
こうした攻撃は通常、会社の取引を開始する責任を担う財務担当者やその他の幹部社員、あるいは組織を代表して財務上の決定や支払いの手配を行う権限を持つ、下位の社員や経験の浅い社員を標的としています。
「ミッドナイト・ヘッジホッグ」の活動は、少なくとも 2021年1月の頃までさかのぼると伝えられています。 攻撃は、Gmail、Yandex、Earthlink、Web.deなど、多数の無料ウェブメールプロバイダーがホストするアカウントから発信されています。 このグループが作成したドメインは、NameCheapまたはGoDaddyに登録されています。 「アブノーマル・インテリジェンス」のデータによると、このグループのメンバーの所在地は、英国、米国、カナダ、ナイジェリアなど、さまざまな国に及んでいることが示されています。
マンダリン・カピバラ（専門分野：グローバル給与振込乗っ取り攻撃）
「マンダリン・カピバラ」は、企業の幹部になりすます攻撃において、多言語を駆使しています。 しかし、主な違いは、マンダリン・カピバラが支払詐欺ではなく、給与の流用を行っているという点です。 これには、人事部門の担当者を標的とし、その担当者に、経営幹部が管理する口座に関連付けられている振込先情報を変更するよう説得し、攻撃者が管理する口座の振込先情報に切り替えることが含まれます。
この2つのグループのもう1つの違いは、マンダリン・カピバラのターゲット選定パターンに見られます。 「ミッドナイト・ヘッジホッグ」は、英語以外のメッセージを用いてヨーロッパの企業のみを標的としていることが確認されていますが、それとは異なり、「マンダリン・カピバラ」の被害企業は地理的に広範囲に散在しており、世界中の企業に影響を及ぼしています。
マンダリン・カピバラからの最初のメールについてですが、その内容は、BECシンジケートが日常的に使用している多くの給与振込先変更のテンプレートとほとんど変わりません。 攻撃者は通常、給与振込先口座の変更が可能かどうかを尋ねてきます。変更は、次回の給与支払日までに反映されることになります。
興味深いことに、「Abnormal Intelligence」は、このグループが1つの言語でBECキャンペーンを展開した後、間もなくして同じメールアカウントから（別の言語でとはいえ）、別の組織を標的とした第2のキャンペーンを開始した事例をいくつか確認したと報告しています。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
「BEC攻撃は、過去7年間連続で、金銭的被害の規模においてサイバー犯罪の中で最も甚大な被害をもたらすものとして首位を占め続けています。」 そのため、CTIでは、この種のサイバー犯罪者の手口について解明できる点は何であれ、貴重な情報であると考えています。特に、革新性を重視し、斬新な戦術・手法・手順（TTPs）を採用しようとする意欲を明らかに示している、こうしたグループに関してはなおさらです。
「残念ながら、BEC攻撃からご自身や御社を単独で守ることができるベンダーや技術的な解決策は存在しません。」 しかし、上記のような事例は、堅実で、役割に応じた、的を絞った、かつ定期的に実施されるソーシャルエンジニアリングに関する教育や啓発研修の重要性がますます高まっていることを浮き彫りにしています。」
2。 RedEyesのハッカーたちは、新しいマルウェアを使ってWindowsやスマートフォンからデータを盗んでいます
A recent report (opens in a new tab)by AhnLab Security Emergency Response Center (ASEC) dives into APT37’s latest campaign. APT37, also known as RedEyes, uses a new evasive M2RAT malware and steganography in its cyberespionage campaign.
APT37 is 北朝鮮政府が支援するグループ「 」（新しいタブで開きます） は、少なくとも 2012年以降、サイバー諜報活動を展開してきました。 このグループはこれまで、韓国、日本、ベトナム、ロシア、ネパール、中国、インド、ルーマニア、クウェート、および中東のその他の地域で被害者を標的にしてきました。 このグループは、特定の個人から、パソコンの個人情報や携帯電話のデータを盗み出すことで知られています。
キャンペーンの概要
この攻撃では、 APT37 は古いEPSの脆弱性（CVE-2017-8291 （新しいタブで開きます））とステガノグラフィーを組み合わせて、悪意のあるコードを拡散させています。
この攻撃で悪用された脆弱性は、かなり古いものであり、その後パッチが適用されています。 この攻撃者は、その人物が古いバージョンを使用しており、そのため脆弱性があることを承知の上で、攻撃を試みたものとみられます。 このキャンペーンで確認された新たなマルウェアは、攻撃で利用された共有メモリセクションの名前に基づき、「 M2RAT （Map2RAT）」と命名されました。
M2RAT の主な機能は、キーロギング、データ漏洩、プロセスの実行および終了、そして画面キャプチャです。 このバックドアは、キーロギングデータやスクリーンショットの記録を被害者のシステムに保存せず、システム上に痕跡を残さないよう、それらを攻撃者の C2 サーバーに送信します。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
「このキャンペーンで活用された M2RAT には、いくつかの興味深い特徴があります。 特に注目すべきは、 C2との交換を最小限に抑えるためにメモリセクションが使用されている点です。 この機能により、セキュリティ研究者の分析はさらに困難になり、マルウェアが使用するコマンドの全容を把握するためには、そのメモリ領域を追加で分析せざるを得なくなります。このマルウェアの APT37’s 通りの使用例は、そのキャンペーンが容易に検出されないよう、マルウェアを用いてツールセットを継続的に更新する能力を明確に示しています。
3。 悪意のあるPyPIパッケージに含まれる「 W4SP Stealer」マルウェアが開発者を標的にしています
オープンソースソフトウェアのサプライチェーンが直面している数多くの脅威を示す、また別の事例として、Fortinet （新しいタブで開きます） のセキュリティの研究者らが、「マルウェア作成者 ‘Core1337’によるPyPIパッケージ（Python Package Index）における複数の新たなゼロデイ攻撃」を発見しました。同作成者は、以下のパッケージを公開していました： ‘3m-promo-gen-api’、 『Ai-Solver-gen』、『hypixel-coins』、 ‘httpxrequesterv2’、および『httpxrequester』」を公開したマルウェア作成者「101」による、PyPIパッケージ（Python Package Index）内の「複数の新たなゼロデイ攻撃」を発見しました。
これらの攻撃は、1月 27-29日の間の短い期間に公表されました。 これらの悪意のあるパッケージには、それぞれ W4SP Stealer （新しいタブで開きます） が含まれており、これらは情報を盗み出すマルウェアです。
攻撃の詳細
Pythonプログラミング言語で作成されたパッケージを収めることを目的としたソフトウェアリポジトリ「PyPI」において、5つの悪意のあるパッケージが発見されました。 これは、開発者がさまざまなプロジェクトの要件を満たす既存のパッケージを見つけられるようにし、時間と労力を節約することを目的としています。
これらのパッケージは発見後に削除されましたが、その前に何百人もの開発者が、悪用可能なソフトウェアをダウンロードしてしまいました。 フォーティネットの研究者によると、各パッケージには1つのバージョンと空の説明が記載されており、すべてに同様の悪意のあるコードが含まれていました。
フォーティネットの分析により、これらのパッケージがインストールされると、ブラウザやクッキー、仮想通貨ウォレットに保存されているパスワードを盗み出そうとするものであることが判明しました。 BleepingComputerは、悪意のあるパッケージに含まれる情報窃取型マルウェアの種類が「 W4SP Stealer」であることを確認しました。これは、オープンソースソフトウェアのリポジトリ（、特にPyPI （新しいタブで開きます））に悪意のあるソフトウェアパッケージを注入するキャンペーンで頻繁に利用されてきた情報窃取型マルウェアの一種です。
W4SP スティラー
BleepingComputerによると、このマルウェアはChrome、Opera、Edgeなどのブラウザからデータを盗み出します。 その後、Discord、Discord Canary、Discord PTB、およびLightCordクライアントから認証クッキーを抽出しようとします。 その後、このマルウェアは、Atomic WalletおよびExodusの仮想通貨ウォレット、ならびにゲーム『The Nations Glory』のクッキーを盗み出そうとします。
また、このマルウェアは、攻撃者がアカウントを盗むのに役立つ可能性のあるその他の機密性の高いユーザー情報を取得するために、特定のウェブサイトのリストを標的にしています。
対象となるサイトには、以下が含まれますが、これらに限定されるものではありません：
- Coinbase.com
- Gmail.com
- YouTube.com
- Instagram.com
- PayPal.com
- Telegram.com
- Hotmail.com
- Outlook.com
- Aliexpress.com
- ExpressVPN.com
- eBay.com
- Playstation.com
- Xbox.com
- Netflix.com
- Uber.com
侵害されたホストから十分なデータが収集されると、マルウェアは盗み出した情報をDiscordのウェブフックを介してアップロードし、攻撃者のサーバーに投稿します。
BleepingComputerによると、「Discordのウェブフックを利用すると、ユーザーはファイルを含むメッセージをDiscordサーバーに送信することができ、これを利用してファイルやDiscordトークン、その他の情報を盗み出す悪用が頻繁に行われています。」
これだけでも十分深刻ですが、フォーティネットの研究者たちは、 W4SP 内に特定のキーワードを含むファイルをチェックする機能が存在することにも気づきました。そのようなファイルが見つかった場合、このマルウェアは「transfer.sh」というファイル転送サービスを通じて、それらを盗み出そうとします。 こうしたキーワードは、主に金融サービスに関連するものです。具体的には、銀行のパスワード、PayPalの情報、仮想通貨関連のデータ、および の多要素認証（MFA）ファイルなどです。
これらのキーワードの中にはフランス語のものも含まれており、これは、この攻撃の背後にいる脅威アクターの出身地域を示唆している可能性があります。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
「この攻撃には、ある程度の効率性が認められます。」 あるマルウェアの作成者は、名称はそれぞれ異なるものの、攻撃を実行するように設計された類似のコードを含む複数のパッケージを、ほとんどの場合、単一のPythonスクリプトとDiscordのWebhookを利用して、無事に公開することに成功しました。 「これは、PyPIのようなオープンソースソフトウェアのリポジトリが、決して悪用から免れているわけではなく、十分なセキュリティが確保されるまでにはまだ長い道のりがあるということを、改めて認識させるものとなるはずです。」
さらに詳しくお読みになりたい方は、当社の最新の「」サイバー脅威インテリジェンスまとめをご覧ください。