今週のまとめでは、TaniumのCTIチームが、北朝鮮のIT担当者がリアルタイムのディープフェイクを利用して組織に侵入していると報じられている件について検証しています。 続いて、チームは「ToyMaker」として知られる初期アクセスブローカー（IAB）について調査を行います。 最後に、いくつかの国家支援グループが、ClickFix というソーシャルエンジニアリングの手法 （新しいタブで開きます） を活用してマルウェアを配布している状況について、概要をまとめます。
攻撃者は、アクセス権を取得するためにリアルタイムのディープフェイクを利用しています
パロアルト・グループの新しいレポート『 』（新しいタブで開きます） によると、北朝鮮のIT技術者は、リアルタイムのディープフェイク技術を用いて、リモートワークの求人 を通じて組織に潜入しているとみられています （新しいタブで開きます）。
最近、就職の面接でリアルタイムのディープフェイクを利用する求職者が増えていることについて、いくつかの報道がなされています。 （新しいタブで開きます）。 特に北朝鮮の脅威アクターは、「身元操作の手法に対して一貫して強い関心を示してきました」。
わずか2年前、パロアルト社は、北朝鮮の攻撃者が流出した個人情報を悪用して、架空の身元情報を作成していた実態を報告しました。 これらの北朝鮮のIT専門家たちは、戦術・手法・手順（TTP）を絶えず進化させ続けており、現在ではリアルタイムのディープフェイク技術もその一環として活用しています。 これにより、1人のIT担当者が複数のディープフェイク・ペルソナを用いて1つの職種の面接を受けることが可能となり、身元が特定されるのを防ぐことができます。
ディープフェイクによる偽の身元を作るのは、どれほど簡単なのでしょうか？
パロアルトのある研究者は、これまで画像加工の経験がなく、ディープフェイクに関する知識も限られていたにもかかわらず、就職の面接用に架空の身元を作成することにしました。 チームは、5年前のパソコンを使用して、わずか 70 分でプロファイルを作成しました。これにより、あらゆるスキルレベルの攻撃者であっても、同様のことを行うのがいかに容易であるかが浮き彫りになりました。
そのために、この人物は「thispersonnotexist[.]org」というサイトで生成された単体の画像を使用しました。 このサイトでは、「生成された顔の画像を個人用および商用目的で使用できるほか、ディープフェイク用の無料ツールも提供しています。」
これらの画像を用いて、彼らはいくつかの身元を特定することができました。 この方が、それぞれのペルソナを明確に区別するためには、服装と背景画像を変えるだけで十分です。
彼らは再び試みました。今回は、より多くの時間をかけ、より高性能なGPUを使用し、まったく同じ処理をさらに高い解像度で行ったところ、さらに説得力のある結果が得られました。
[関連記事：このネット詐欺に危うく引っかかりそうになりました――なぜ技術の専門家でさえ騙されてしまうのか] (新しいタブで開きます)
リアルタイム動画のディープフェイクを見分ける方法
パロアルト社は、ディープフェイクシステムにおけるいくつかの欠点を指摘しました。これらは、防御側が偽の人物を特定するために活用できるもので、具体的には以下の通りです：
- 頭の急激な動き
- 顔の見え方が悪くなるのは、手やその他の物体がその前を横切るときです
- 照明の急激な変化
- 口の動きや発話の遅れ
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
パロアルトの研究者たちは、入手しやすいツールと安価なハードウェアのみを用いてリアルタイムのディープフェイクを作成しようと試み、悪意のある者がいかに簡単に信憑性のある偽の身元を作り出せるかを実証しました。 ここで重要な点は、偽の身元を作るのが驚くほど簡単だということです。
この脅威が絶えず進化していることに加え、 AI (新しいタブで開きます) およびディープフェイク技術の着実な進歩により、攻撃の検知は極めて困難になっています。 パロアルト社が指摘しているように、この進化し続ける脅威を特定し、防御するためには、人事部門とセキュリティ部門の緊密な連携が不可欠です。
パロアルト・ （新しいタブで開きます） が作成した動画を視聴し、これらのディープフェイクがいかに説得力があるかを十分に理解することが重要です。
ToyMaker IABは、二重恐喝を行う犯罪グループと連携しています
Cisco Talosは、ToyMakerという名前の初期アクセスブローカー（IAB）に関する詳細を、 （新しいタブで開きます） で公開しました。 この金銭目的の攻撃者は、脆弱なシステムを標的とし、「LAGTOY」と呼ばれる独自のバックドアを仕込み、認証情報を盗み出そうとします。
シスコ・タロスは、ToyMakerがこのアクセス権をCactusという二重恐喝型ランサムウェア集団に引き渡していることを確認しました。
ToyMakerはどのように機能するのでしょうか？
最初の侵入から1週間以内に、ToyMakerは偵察活動を行い、その後、認証情報の窃取とバックドアの展開を行いました。 その後、活動は一時沈静化しましたが、その後、CactusがToyMakerが盗んだ認証情報を使って登場しました。
ToyMakerは、組織に侵入して偵察活動を開始するために、既知の脆弱性を悪用することがよくあります。 発見のための基本的なコマンドをいくつか実行した後、攻撃者はSSHリスナーを起動します。 その後、エンドポイントは別の感染ホストからの接続を受け付け、OpenSSHのSFTPサーバーモジュールである「sftp-server.exe」という名前のバイナリを作成します。 この実行ファイルは、その後、Magnet RAM Captureの実行ファイルをダウンロードすることができます。
Magnet RAM Capture は、ホストからメモリダンプを取得するためによく使用される無料のフォレンジックツールです。 ToyMakerは、これを利用して認証情報を抽出することができます。 その後、攻撃者は独自にカスタマイズしたリバースシェルインプラント「LAGTOY」を使用して、システム上で永続性を確立します。
[関連記事：今こそ知っておくべきサイバーセキュリティ用語 15 （あなたとCEO向け）] （新しいタブで開きます）
LAGTOYバックドアとは何ですか？
LAGTOYは、ToyMakerが使用するシンプルなインプラントであり、「HOLERUN」としても追跡されています。
このバックドアは定期的に C2に接続し、感染したデバイス上で実行すべきコマンドを探しています。 このプログラムにはデバッグ防止チェック機能が組み込まれており、「WmiPrvSV」という名前でサービスとして実行されるように設計されています。 このマルウェアのIPアドレス C2 とポート番号は、いずれもハードコードされています。 LAGTOYは、その実行に時間ベースのロジックを採用しており、これはこのファミリーに特有のものと考えられています。
カクタスとトイメーカー
ToyMakerからアクセス権限を取得した後、Cactusはネットワークスキャンを開始し、エンドポイントを列挙し、痕跡を消去し始めました。 ToyMakerが入手した認証情報により、Cactusは複数のシステムにアクセスし、ファイルを外部へ持ち出すことができました。
この攻撃者は、アクセスに複数のリモート管理ツールを使用し、OpenSSHを介してリバースシェルを作成し、SSH秘密鍵ファイルへのアクセス権を削除し、新しいユーザーアカウントを作成し、セキュリティツールを無効化するコマンドを実行し、Metasploitで注入されたバイナリを使用しました。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
IABの攻撃者は、複雑な攻撃チェーンを実行しないため、見過ごされてしまうことがあります。 シスコ・タロスの分析と経緯の検証により、IABが他の攻撃者による計画の実行を容易にすることで、脅威の状況において重要な役割を果たしていることが明らかになりました。
この事例は、脆弱性へのパッチ適用 （新しいタブで開きます） や、侵害された認証情報の定期的な変更といった、 の予防措置がいかに重要であるかを改めて認識させるものです。
国家が支援するハッカーたちは、「ClickFix」というソーシャルエンジニアリングの手口を利用しています
Proofpointの （新しいタブで開きます）によると、現在、いくつかの国家支援グループが、マルウェアを配布するために「ClickFix」というソーシャルエンジニアリングの手法を利用しているとのことです。 この手法は、これらの攻撃者にとって、「既存の感染チェーンにおけるインストール段階と実行段階を置き換える」ものです。
その他、知っておくべき最近のClickFix攻撃：
- 「Silk Typhoon」、「偽の身代金要求書」、そして「ClickFix」 （新しいタブで開きます）
- Vortaxが情報窃取型マルウェアを拡散、Linux向けマルウェアは絵文字を利用してコマンドを実行 (新しいタブで開きます)
Proofpointは、 2024 年後半から2025年初頭にかけて、北朝鮮、イラン、ロシアの国家系アクター数団体がこの手法を使用していることを確認しました。
TA427 、別名キムスキー（北朝鮮）
この北朝鮮の脅威アクター（別名「Kimsuky」）は、1月にProofpointによって観測され、 2025年2月 ではシンクタンク業界の組織を標的にしていることが確認されました。 これらの攻撃では、同グループがこれまで使用したことのない「ClickFix」という手法を用いた感染チェーンが利用されていました。
このグループは、被害者にメールを送り、信頼関係を築くために会話を始めることから攻撃を開始しました。 その後、その俳優は被害者をあるサイトへ誘導し、そこで、被害者の端末をこの詐欺の一環として登録すると思われるPowerShellコマンドをコピー、貼り付け、実行するよう求めました。 Proofpointによると、あるチェーンでは追加のペイロードを受信できなかった一方、別の類似した攻撃事例では、多段階のチェーンを用いて複数のスクリプトを実行し、その結果、 QuasarRAT (新しいタブで開きます) となりました。
TA450 、別名MuddyWater（イラン）
2024年11月において、Proofpointは、 、MuddyWater、 （新しいタブで開きます）、、としても知られるこのアクターが、ClickFixを使用していることを確認しました。
攻撃は、マイクロソフトからのセキュリティ更新プログラムを装ったフィッシングメール (新しいタブで開きます) から始まりました。 その結果、被害者は管理者の権限でPowerShellを実行し、メール内のコマンドをコピー、貼り付け、実行するように仕向けられてしまいました。
TA422 および UNK_RemoteRogue（ロシア）
2024年12月において、Proofpointは、あるロシアの攻撃者が、件名のないメッセージを2つの組織に送信していることを確認しました。この攻撃者は、侵害されたZimbraサーバーをインフラとして悪用している可能性が高いと考えられます。
これらのメールには、Microsoft Officeを装ったリンクが含まれており、受信者にそのサイトへのアクセスを促していました。 また、このサイトではWord文書を偽装し、被害者にその中のコードをコピーして実行するよう指示していました。 このサイトでは、PowerShellの実行方法を解説したYouTubeのリンクを掲載することで、さらに一歩踏み込んだ内容となっています。
[関連記事： TA422 が実際に活用されているもう1つの実例はこちら] (新しいタブで開きます)
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
ClickFixの手法は現在、サイバー犯罪者の間で非常に広く普及していますが、Proofpointが国家主体の攻撃者によるその使用を発見したことは、非常に注目に値します。
今後、さらに多くの国家主体のアクターがこの手法を採用し始めるかどうかは、まだ不明ですが、これらのアクターがこの手法を一度しか使用しなかったという事実は、ある種の試験運用期間であったことを示唆している可能性があります。
また、ClickFixの手口は月日が経つにつれてますます普及しつつあるため、その特徴的な兆候についてユーザーに周知することが重要であるという点にも注目すべきです。
これらの記事について、何かご意見やご感想など、共有したいことはありますか？ 、Taniumのディスカッションフォーラム （新しいタブで開きます）、、 にアクセスして、会話を始めてみてください。
さらに詳しくお読みになりたい方は、当社の最近の「」サイバー脅威インテリジェンスまとめをご覧ください。 （新しいタブで開きます）。
