今週のまとめでは、Taniumのサイバー脅威インテリジェンス（CTI）チームが、GIFTEDCROOKマルウェアの最近の変遷について分析しています。 続いて、チームはESETの新しいレポートに基づき、 2025 年の上半期における主要なサイバー脅威について検証します。 最後に、北朝鮮の脅威アクターである「ジャスパー・スليート」が、リモート勤務のIT従事者を利用して企業環境に侵入している実態について調査します。
マルウェア「GIFTEDCROOK」は、ブラウザ情報窃取型から情報収集ツールへと進化しています
Arctic Wolf（）によると、サイバー諜報グループ「UAC-0226」は、マルウェア「GIFTEDCROOK」を大幅に強化し、その機能を単なるブラウザ向け情報窃取ツールから、より広範な情報収集が可能なツールへと転換させたとのことです。 この動きは、イスタンブールで行われたウクライナとロシアの和平交渉をはじめとする、最近の地政学的な出来事と時期を同じくしています。
今年初め、 のCERT-UAは、ブラウザデータを盗むことを目的として設計され、ウクライナを標的とした攻撃キャンペーンで使用されていた「GIFTEDCROOK v1」に関する情報を、 で報告しました。 2025年5月では、ウクライナとロシアの間で交渉が始まって間もなく、GIFTEDCROOK v1.2 が配備されました。
GIFTEDCROOKの仕組み
このマルウェアは、通常、スピアフィッシング攻撃を通じて拡散されます。 これらのメールはホスティングプロバイダーから送信されたもので、送信者ポリシーフレームワーク（SPF）が「?」に設定されています。「すべて」—これにより、標的が電子メールのなりすましを防ぐ能力が弱まります。
Arctic Wolfは、フィッシングメールにPDFファイルが添付されており、その中のリンクをクリックすると最終的に というNetSupport RATマルウェアがダウンロードされるという、2つ目の攻撃キャンペーンも確認しました。。
GIFTEDCROOKのバージョン概要
- v1.0: ブラウザのデータを抽出するように設計された、基本的な情報窃取型マルウェアです。
- v1.2: 文字列の暗号化機能に加え、拡張子の種類に基づいてファイルを特定・窃取する機能が導入されました。 この処理は、過去 15 日以内に変更された、最大5MB 個のファイルを対象としています。
- v1.3： は、以前のGIFTEDCROOKマルウェアのバージョンを基盤としており、ブラウザデータの窃取とファイルへの標的型攻撃を組み合わせています。 このマルウェアは、スリープ回避手法を用いてサンドボックスを迂回し、過去 45 日以内に変更されたファイルを標的とし、Telegramを介してデータを外部へ流出させます。 Edge、Chrome、Firefoxなどのブラウザに対応しており、 7MB未満のファイルを対象としています。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
GIFTEDCROOKが、単純な情報窃取ツールから高度な情報収集ツールへと進化してきたことは、UAC-0226の脅威アクターが高度な技術力と適応力の両方を備えていることを示唆しています。
Arctic Wolfが繰り返し指摘しているように、このキャンペーンは最近の地政学的出来事と軌を一にしています。 攻撃者は、影響を最大化し、戦略的な情報収集を推進するために、この戦略を頻繁に用います。 とはいえ、UAC-0226とGIFTEDCROOKは今後も進化し続ける可能性が高いでしょう。
新たな報告書によると、 H1 2025の期間中に高度な脅威が急増したことが明らかになりました
ESET recently released a threat report for the first half of 2025 that highlights the significant increase in advanced cyber threats across desktop and mobile platforms. 以下は、変化し続ける脅威の状況を理解する上で重要なポイントです：
ClickFixの人気が急上昇しています
かつては「事実上存在しなかった」とされるClickFixは、 のフィッシング攻撃に次ぐ、2番目に一般的な攻撃経路へと急速に成長しました。
現在、この手法はさまざまな情報窃取型マルウェアの配布に利用されており、サイバー犯罪者や国家を背景とする脅威アクターの両方によって悪用されています。 Windowsユーザーが依然として主な標的となっていますが、macOSやLinuxのユーザーも影響を受けています。
ClickFixにおけるCTI関連の記事
このような脅威に直面するのは、今回が初めてではありません。 過去のCTIまとめ記事で、その変遷をぜひご確認ください。常に先を行くためには、最新情報を把握しておくことが大切ですから：
- 2025年6月25日 に掲載： マルチベクター型フィッシング攻撃における ClickFix の役割に関する最新の知見
- 2025年4月30日 に掲載： 北朝鮮、イラン、ロシアの攻撃者が、ソーシャルエンジニアリングを通じてマルウェアを配布するために「ClickFix」をどのように利用したかを詳しく解説しています。
- 2025年3月12日 に掲載： SharePoint および Microsoft Graph API を利用して、改変された Havoc Demon エージェントを展開するフィッシング攻撃について解説しています。
- 2024年6月26日 に掲載： Vidar Stealer を配布する大規模なフィッシングキャンペーンにおける ClickFix の初期活用事例を紹介（ TA571’s 件の活動を含む）
「SnakeStealer」が、最も多く検出された情報窃取型マルウェアとなりました
ESETのテレメトリデータによると、SnakeStealerは、検出件数が最も多い情報窃取型マルウェアとなっています。 その台頭は、 における「Agent Tesla」の検出率が57％減少した ことと同時期であり、同マルウェアは以前トップの座を占めていましたが、現在は4位にまで順位を下げています。
妨害活動は、「Lumma Stealer」と「Danabot」を標的としています
ESETは、情報窃取型マルウェアの動向を追跡するだけでなく、 、Lumma Stealer、 、およびDanabotを標的とした妨害作戦にも貢献しました。
「Lumma Stealer」作戦の後、活動は減少しましたが、ESETでは、このマルウェアを再構築しようとする動きが確認されています。 Danabotの検知件数も減少しており、これは排除が成功したことを示しています。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
ここ数週間から数ヶ月にかけて、ClickFixは頻繁にニュースで取り上げられてきましたが、ESETの報告書からは、それがどれほど普及しているかがはっきりとわかります。 517％という増加率は非常に顕著であり、とりわけ、テクノロジーよりも人間の行動を巧みに利用する方向へと、関係者の戦略が転換したことを示している点で注目に値します。
ESETの包括的なレポートでは、脅威の状況がいかに短期間で変化・進化し得るか、またマルチベクター型脅威によってデスクトップからモバイルデバイスに至るまであらゆる領域を網羅しているかについても強調されています。
ジャスパー・スリートは、リモート勤務のIT従事者を利用して組織に潜入しています
マイクロソフトは、「 」と名付けられた、北朝鮮の脅威アクター「Jasper Sleet」による持続的な攻撃キャンペーンを特定しました。このキャンペーンでは、フリーランスのIT技術者を装い、企業環境へのアクセス権を取得しようとしています。 これらの活動は、朝鮮民主主義人民共和国（DPRK）の諜報目的を支援するものであり、 ソーシャルエンジニアリング を活用して、遠隔での雇用を確保しています。
このキャンペーンでは、北朝鮮のIT従事者たちが、遠隔での雇用を確保し、業務を遂行し、報酬を得ようとしています。その報酬は、多くの場合、北朝鮮政権を支えるために使われています。 マイクロソフトによると、これらの求職者は、世界中の幅広い業界にわたる職種に応募しているとのことです。
偽の身元の作成と再利用
ジャスパー・スリートの手口には、履歴書やメールアドレス、ソーシャルメディアのアカウントまで完備した身元を偽造したり、盗んだりすることが含まれます。 関連する書類や経理資料は、具体的な求人情報の要件に合わせて作成されています。
[関連記事：リモート勤務のITスタッフを採用する際は？ [ディープフェイク詐欺にご注意ください]
これらのペルソナは、複数のアプリケーションで再利用されることがあります。 信頼性を高めるため、IT従事者はGitHubのプロフィールなど、これまでの実績を示すデジタルフットプリントも構築することになります。
AIを活用した欺瞞の強化
マイクロソフトは、プロフィール写真や履歴書、メールアドレスの作成など、これらのペルソナを強化するためにAIが利用されていることを確認しました。 ある公開リポジトリには、こうしたAI生成アセットの例が掲載されており、これらは北朝鮮のIT従事者に関連していると考えられていました。 視覚的な偽装に加え、従業員たちは、リモートでの面接やコミュニケーションの際に、AIを活用した音声マスキングツールを使用して身元を隠していました。
ファシリテーターの役割
ジャスパー・スリート社は、IT従事者の就職支援や入社手続きを支援する「ファシリテーター」の募集を開始しました。 これらのファシリテーターは、銀行口座の開設、SIMカードの購入、求人サイトの登録、および機器の配送先住所の手配を支援します。
持続性と回避のためのツール
アクセスを維持し、検知を回避するため、ジャスパー・スリートは仮想プライベートネットワーク（VPN）、仮想プライベートサーバー（VPS）、プロキシサービス、およびリモート監視・管理（RMM）ツールを活用し、組織内の活動に溶け込み、持続的な存在感を確立しています。 マイクロソフトは、JumpConnect、TinyPilot、RustDesk、TeamViewer、AnyViewer、およびAnyDeskの使用を確認しました。
当然のことながら、こうしたIT従事者たちは、身元が特定されるのを避けるため、あらゆる対面での接触を避け、遠隔でのやり取りに徹しようとするでしょう。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
マイクロソフトは、「北朝鮮の遠隔IT労働者プログラムに関連する活動」を表すために、「ジャスパー・スリート」という名称を使用しています。 また、同様の戦術、技術、手順（TTP）を用いて雇用を得たり、関連する作戦を実施したりする、その他の北朝鮮の脅威グループについても追跡しています。
北朝鮮のIT従事者による は、ここ数年懸念材料となっており、その脅威が収まる兆しは全く見られません。 攻撃者は、ハッキングや内部関係者の勧誘を行う必要がないことに、ますます気づき始めています。組織に直接採用されることでも、同様に効果的なのです。
マイクロソフトは、AIによって組織が悪意のある攻撃者を検知することがより困難になり、この脅威が深刻化していると指摘しています。
セキュリティ担当者が関連する活動を特定し、適切に対応できるよう支援するため、マイクロソフトは 、調査および監視アクション、Defenderアラート、ハンティングクエリなど、いくつかのツールと機能を提供しています。 さらに、その機械学習ワークフローにより、北朝鮮のIT従事者と関連している可能性のある不審なアカウントを特定することができます。
これらの記事について、何かご意見やご感想など、共有したいことはありますか？ または Tanium のディスカッションフォーラム にアクセスして、会話を始めてみてください。
さらに詳しくお読みになりたい方は、当社の最近の「」サイバー脅威インテリジェンスまとめ（）をご覧ください。
