今週、Taniumのサイバー脅威インテリジェンス（CTI）チームは、攻撃者が2つの「フィッシング・アズ・ア・サービス（Phishing-as-a-Service）」キットを組み合わせてハイブリッド型キャンペーンを展開し、検知や攻撃元の特定を困難にしている実態について分析しています。 次に、同チームは、現在ウクライナを支援する米国企業を標的としている、ロシアと関連のある脅威グループ「RomCom」について調査しています。
最後に、 では、 イランの「MuddyWater」グループの概要についてまとめました。同グループは最近、 イスラエルとエジプトの政府機関 および重要インフラを標的とした攻撃キャンペーンを開始しました。
「ハイブリッド 2FA 」フィッシングが企業を脅かしています
ANY.RUNは、フィッシングキット「 Salty2FA 」と「Tycoon2FA 」を1つのハイブリッドキャンペーンに統合した、新たな「」フィッシング脅威 について、警告を発しています 。 この変化は、インフラの障害に適応し、従来の防御策を回避できる、モジュール式で回復力のあるフィッシング攻撃への移行を示しています。
ANY.RUNは、 2025年10月の終了頃から、 Salty2FA 件のサンドボックスへの提出件数が減少していることに気づきました。 11月上旬までに、下落のペースが著しく加速したため、ANY.RUNは調査に乗り出しました。
研究者たちは、11月に採取されたサンプルが機能していなかったか、あるいは通常の Salty2FA サンプルとは異なる挙動を示していたことを発見しました。 同時に、彼らは同じサンプルにおいて、 Salty2FA とTycoon2FA の両方のインジケーターがサンドボックス解析の結果として検出されたことを確認しました。これは、攻撃者がこれら2つのキットを組み合わせてハイブリッドなペイロードを作成していたことを示す証拠です。
ハイブリッドペイロードはどのように機能するのでしょうか？
このアクティビティは、静的サイトのホスティングおよびフロントエンド開発のためのプラットフォームである「Cloudflare Pages Dev」上のフィッシングページから始まります。 アナリストたちは、コード内に、初期のペイロードの読み込みに失敗した場合、スクリプトがバックアップURLからそれを取得すべきであることを示唆するコメントを発見しました。 分析対象のサンプルでは、プライマリの Salty2FA ドメインで DNS エラーが発生したため、ペイロードを取得することができませんでした。
その失敗の後、スクリプトはフォールバック処理に移行し、次の段階をリクエストしました。 この段階では、解析防止チェックを実行し、ページの内容を置き換え、DevToolsのキーボードショートカットを無効化し、タイミングチェックを行います。 最後に、このコードは Tycoon2FA’s の実行チェーンと非常に類似したシーケンスを読み込みますが、これは、Salty2FA のインフラが利用できない場合に、Tycoon2FA がバックアップペイロードとして機能することを示唆しています。
このフォールバック機構により、攻撃者は、あるキットのインフラが機能しなくなった場合でも攻撃活動を継続することができ、単一の拠点に対する遮断措置の有効性が低下することになります。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
この新しいハイブリッド型キャンペーンは、モジュール性と冗長性が組み込まれた、成熟したフィッシング・エコシステムへの移行が進んでいることを反映しています。 これは、ランサムウェアグループ「 」が「RaaS」モデルへと発展した経緯 と似ています。 フィッシングも同様の動きを見せています。
攻撃者は現在、業務の継続性を最優先しており、インフラに障害が発生した際には、あるフィッシングキットから別のキットへと切り替えています。この傾向は、企業レベルの災害復旧戦略を彷彿とさせるものです。 そのため、キットとその共有インフラの両方に影響が及ばない限り、取り締まりの取り組みは十分な効果を発揮しません。
ANY.RUNのレポートには、SOCチームがこの活動にどのように対応すべきかについての実践的なアドバイスが掲載されています。
RomComは、SocGholishを利用してMythic Agentマルウェアを展開しています
Arctic Wolf（）によると、ロシアと関連があるとされる脅威グループ「RomCom」は現在、SocGholishマルウェアフレームワークを利用して、ウクライナを積極的に支援している米国企業を標的に、「Mythic Agent」マルウェアを展開しているとのことです。 RomComがSocGholishを活用したのは、今回が初めてとなります。
Arctic Wolfは、この攻撃の背後にロシアのGRU第 29155 部隊が関与していたと、中程度から高い確信度で評価しており、その地政学的な重要性を浮き彫りにしました。 Arctic Wolfはこの侵入を検知・阻止し、現在、ロシアのサイバー攻撃者たちの手口がますます巧妙化しており、連携も強まっていることを示す分析結果を公開しています。
ロマンティック・コメディ、ソシアル・ゴリッシュ、および「 TA569 」の概要
- ロマンティック・コメディ「 」は、少なくとも3年間にわたり活動しているロシア系グループであり、直接的な支援、提携、あるいは関連サービスなどを通じてウクライナを支援する組織を、その所在地にかかわらず主に標的としています。
- SocGholish（ ）は、2017年に初めて発見されたマルウェアフレームワークです。 ウェブサイトに埋め込まれた悪意のあるJavaScriptを介して配信され、ダウンローダーとして機能するほか、ランサムウェア攻撃の初期侵入経路としてますます多用されています。
- TA569 は、金銭的な目的を持つグループであり、Malware-as-a-Service（MaaS）モデルの一環として「SocGholish」を運営し、ランサムウェアのアフィリエイトに対して、侵害されたシステムへのアクセス権を販売しています。 このグループは、SocGholishを展開・運用している主要な脅威アクターと見なされており、偽のブラウザやソフトウェアの更新を装った手口や、マルウェアを仕込んだ広告（マルバタイジング）を利用して感染を拡大させています。
攻撃経路の理解
SocGholishは通常、正規のウェブサイトに悪意のあるJavaScriptを埋め込み、偽のアップデートを装ってユーザーを騙し、マルウェアをダウンロードさせる手口を用います。 時折、フィッシングを通じて拡散することがあります。 SocGholishによる侵害は、さらなる攻撃への最初の侵入経路となり得るため、早期の検知と封じ込めが極めて重要です。
ある事例では、RomComのシェルコードローダーが配信されるわずか数分前に、脅威アクターがMythicコマンド＆コントロール（C2）への接続性をテストしていました。Mythicは、セキュリティテストを目的としてPython 3 で記述されたマルチプラットフォームのレッドチームングフレームワークですが、同様のツールの多くと同様に、脅威アクターによって侵害されたシステムを制御するために悪用されることがあります。
ローダーはいつ作動するのでしょうか？
Mythic C2 への接続が確認されたため、攻撃の次の段階、すなわち RomCom のローダーの配信を開始できます。 ローダーである <code>msedge.dll</code> は、シェルコードを復号して実行する前に、システムの Active Directory ドメインがハードコードされた値と一致するかどうかを確認します。 問題のシェルコードは「Mythic」エージェントであり、これはその後、さらなる指示を得るために自身の C2 インフラストラクチャに接続します。
この段階で、Arctic Wolfがこのローダーを検知して隔離し、攻撃の進行を阻止しました。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
Arctic Wolfが指摘しているように、RomComがSocGholishを使用したのは今回が初めてであり、これは脅威アクターが犯罪的な目的と地政学的な目的をますます融合させていることを示唆しています。
RomComと TA569 の間に見られる連携は、脅威グループが同盟を結び、影響力を拡大するために協力している実態を浮き彫りにしており、これにより、攻撃の帰属特定や防御戦略がさらに複雑化しています。
少なくとも、Arctic Wolfの調査結果は、こうした進化し続ける脅威に対して、多層的な防御策と行動分析がいかに重要であるかを明らかにしています。
[統合された多層的な脅威検知・対応戦略が、エンドポイント、ネットワーク、ID、およびクラウドをどのように保護できるかをご覧ください。]
MuddyWaterは、進化し続ける戦術を用いて重要インフラを標的にしています
ESETの最近の投稿（ ）では、MuddyWaterが、より巧妙な戦術や「MuddyViper」バックドアや「Fooder」ローダーといった独自ツールを用いて、イスラエルとエジプトの政府機関および重要インフラを標的とした新たなキャンペーンを展開した実態が明らかにされています。
この変化は、同グループがより洗練され、防御を回避する作戦へと進化していることを示しており、その能力と持続力の向上を物語っています。
マディウォーターとは誰でしょうか？
MuddyWater（別名：Mango Sandstorm または TA450—is ）は、少なくとも2017年から活動している、イランと結びついたサイバー諜報グループです。 主に、中東およびその他の地域の政府機関や重要インフラ分野を標的としています。
今年初め、ESETは、MuddyWaterと、イランと結びつきのあるOilRig（別名HEXANE）のサブグループであるLyceumとの間に、活動上の重複があることを確認しました。 ESETが説明しているように、このことから、MuddyWaterは「他のイラン系グループの初期アクセスブローカーとしての役割を果たしている可能性がある」ことが示唆されます。
MuddyWaterのツールセット
ESETは、MuddyWaterが使用していた、これまで未公開だったツールの詳細を公開しました：
- フーダーローダー： MuddyViperバックドアをリフレクティブにメモリに読み込み、実行する64ビットC/C++ローダーです。 また、Fooderがオープンソースのユーティリティ「HackBrowserData」を配布していることも確認されています。 注目すべき特徴としては、独自のディレイ機能や、往年のゲーム『スネーク』を模したバージョンなどが挙げられます。
- MuddyViper バックドア： システム情報の収集、ファイルのダウンロードおよびアップロード、コマンドの実行、認証情報の窃取を行う C/C++ 製のバックドアです。 レジストリ値やスケジュールされたタスクを通じて永続性を維持し、 20 種類のバックドアコマンドに対応しています。 通信 C2 では、<code>ポート443</code>を介して、詳細なステータス更新を伴う<code>HTTP GET</code>リクエストを使用します。
- CE-Notes ブラウザデータ窃取型マルウェア： 2024年に初めて発見されたCE-Notesは、Chromiumベースのブラウザ（Chrome、Edge、Brave）を標的としています。 これはPowerShellを介してダウンロードされ、Chromeバージョン 127で導入されたアプリ固有の暗号化キーを盗み出します。
- LP-Notes 認証情報窃取ツール： 偽の Windows セキュリティダイアログボックスを表示し、被害者に認証情報を入力させるように仕向ける Windows 向けの認証情報窃取ツールです。 認証情報をリアルタイムで検証し、その情報を使用してログインを試みます。
- Blub ブラウザデータ窃取ツール： Chrome、Edge、Firefox、Opera からログイン情報を収集する C/C++ ツールです。 このプログラムは、静的にリンクされたSQLiteライブラリを使用しており、簡単な難読化技術が組み込まれています。
- リバーストンネル： MuddyWaterは、ステルス性の高いネットワーク通信を実現し、ファイアウォールを迂回するために、 go-socks5 リバーストンネル（go-socks5、yamux、resocksなどのライブラリをベースにしたGo言語でコンパイルされたツールの集合体）を頻繁に利用しています。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
MuddyWaterが、目立つインタラクティブなセッションから、より目立たずメモリ常駐型の技術へと進化してきたことは、長期的な潜伏と検知回避に向けた意図的な転換を示唆しており、これは一般的に、国家が支援する攻撃者の傾向と一致しています。
MuddyWaterは、より洗練された高度持続的脅威（APT）との差を縮めつつあります。つまり、防御側は特定のグループに関する従来の想定に頼ることはできなくなっています。 この攻撃活動では、依然として初期アクセス手段としてスピアフィッシングが用いられていますが、ゲームに偽装されたカスタムローダーとの組み合わせは、シグネチャベースの防御だけでなく、ユーザーの意識向上トレーニングや行動検知の重要性を浮き彫りにしています。
[時代遅れのサイバーセキュリティ研修を廃止する準備はできていますか？ スキル重視のアプローチが、どのようにして御社の従業員を、強靭な第一防衛線へと変革できるかをご確認ください。]
これらの記事について、何かご意見やご感想など、共有したいことはありますか？ や、Taniumのディスカッションフォーラム へアクセスして、会話を始めてみてください。
さらに詳しくお読みになりたい方は、 の最新のサイバー脅威インテリジェンスまとめ記事をご覧ください：。
