今週のまとめでは、Taniumのサイバー脅威インテリジェンス（CTI）チームが、「Marbled Dust」として追跡されている攻撃主体によるサイバー脅威について分析しています。 続いて、当社のCTIチームが、Horabotマルウェアを利用した巧妙なフィッシング攻撃についてご紹介します。 最後に、研究チームは、北朝鮮が支援する脅威アクター「 TA406」による標的選定行動の最近の変化について調査しています。
「Marbled Dust」は、Output Messengerのゼロデイ脆弱性を悪用しています
マイクロソフトは先日、 （新しいタブで開きます） において、「Marbled Dust」として追跡されている脅威アクターによるサイバー脅威の詳細を公開しました。
マイクロソフトによると、この攻撃者は、Output Messengerアプリケーションに存在する のゼロデイ脆弱性（ (CVE-2025-27920)）を悪用しているとのことです。 これまでのところ、この悪用は主に、地域的なスパイ活動のためにイラク国内のユーザーアカウントを標的としてきました。
「マーブルダスト」について知っておくべきこと
「Marbled Dust」は、トルコと関連のあるスパイ活動を行う脅威アクターであり、ヨーロッパや中東の組織を標的としていることが知られています。
このグループは、DNSハイジャックや高度なマルウェアといった手口を用い、政府機関、クルド系の政治団体、通信事業者、ISP、ITサービスプロバイダー、およびメディア・エンターテインメント関連組織を標的にしてきました。
最近、「Marbled Dust」は、ゼロデイ脆弱性を悪用して悪意のあるファイルを配信し、標的となったアカウントからデータを盗み出すようになっています。
[関連記事：ゼロデイリスクを特定・封じ込め・是正し、 30 分で通常の業務に戻る方法]
Output Messengerのゼロデイ脆弱性とは何でしょうか？
「Output Messenger Server Manager」アプリケーションには、認証されていないユーザーがスタートアップディレクトリにファイルをアップロードできてしまうディレクトリトラバーサル脆弱性が存在します。
マイクロソフトが指摘しているように、攻撃者がサーバーへのアクセス権を取得すると、「Output Messengerのシステムアーキテクチャを悪用して、すべてのユーザーの通信内容に無差別にアクセスしたり、機密データを盗み出したり、ユーザーになりすましたりすることが可能となり、その結果、業務の混乱、内部システムへの不正アクセス、および認証情報の広範な漏洩につながる恐れがあります。」 この脆弱性は、バージョン 2.0.63以前のバージョンに影響を及ぼします。
マイクロソフトはこのゼロデイ脆弱性を特定し、Output Messengerの開発元であるSrimaxに通知しました。これを受け、Srimaxはソフトウェアの更新プログラムを公開しました。 また、別の脆弱性（CVE-2025-27921）も特定され、修正されましたが、これを利用した攻撃は確認されていません。
「マーブルド・ダスト」の攻撃チェーンはどのように機能するのでしょうか？
- Output Messengerへのアクセス： Marbled Dustという脅威アクターによって開始された攻撃チェーンは、認証済みユーザーとしてOutput Messenger Server Managerアプリケーションへのアクセス権を取得することから始まります。 認証情報を取得する具体的な手法は完全には解明されていませんが、マイクロソフトは、Marbled DustがDNSハイジャックやタイポスクワッティングドメインを利用して、認証情報を傍受・記録し、再利用している可能性が高いと考えています。 これらの手法は、彼らが過去に行った悪意のある活動においても確認されています。
- エクスプロイト CVE-2025-27920： 認証が完了すると、Marbled Dustは CVE-2025-27920 の脆弱性を悪用します。 この脆弱性により、認証済みのユーザーが、サーバーの起動ディレクトリに悪意のあるファイルを配置することが可能となります。 攻撃者は、悪意のあるファイル「OM.vbs」と「OMServerService.vbs」をOutput Messengerサーバーのスタートアップフォルダに配置し、OMServerService.exeをサーバーの「Users/public/videos」ディレクトリに配置します。
- OM.vbs の呼び出し： 攻撃は、OMServerService.vbs が「OM.vbs」を呼び出し、それが引数として「OMServerService.exe」に渡されることで進行します。 「OM.vbs」は分析対象として利用できませんでした。 しかし、「OMServerService.exe」は、正規のファイルに偽装したGoLang製のバックドアであることが判明しました。 一部の事例において、マイクロソフトは、「OMServerService.exe」が、データ漏洩を目的として、ハードコードされたドメイン「api.wordinfos[.]com」に接続していることを確認しました。
- 実行ファイルの展開： クライアント側では、インストーラーが正規のファイルと悪意のある実行ファイルを解凍して実行します。 この悪意のある実行ファイルは、コマンド＆コントロール（C2）サーバーへの接続を確立するバックドアです。
- データの持ち出し： 確認された事例のうち少なくとも1件において、Output Messengerクライアントソフトウェアがインストールされた被害者の端末が、おそらくデータの持ち出しを目的として、攻撃者に帰属するとされるIPアドレスに接続しているのが確認されました。 マイクロソフトによると、これらの接続は、脅威アクターが、さまざまな拡張子を持つファイルをデスクトップ上のRARファイルに収集するようコマンドを発行したタイミングと一致しているとのことです。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
マイクロソフトは、ゼロデイ攻撃の利用が「Marbled Dust」にとって注目すべき変化であることを指摘しており、同グループの手口がますます洗練されつつあることを示唆しています。
この攻撃は主にイラクを標的としていますが、同グループは以前にも他国の組織を標的にした実績があり、その手口がますます巧妙になっていることは、より深刻な問題となっています。
いつものように、 マイクロソフトでは、この脅威の特定に役立つ推奨事項 (新しいタブで開きます)、検出ルール、およびハンティングクエリを掲載しています。
高度なフィッシング攻撃で「Horabot」マルウェアが使用されています
フォーティネットの （新しいタブで開きます）によると、現在、高度なフィッシング攻撃において「Horabot」マルウェアが悪用されています。
このマルウェアは、特に請求書や財務書類を装ったフィッシングメールを使用することが知られています。 Horabotは、OutlookのCOMオートメーションを利用してフィッシングメッセージを送信し、 これにより、 横方向への移動が可能となります。
フィッシングメールには何が含まれているのでしょうか？
による攻撃は、添付ファイル付きのフィッシングメール（ ）から始まります。メール本文も添付ファイルも、いずれもスペイン語で書かれています。
このメールは、メキシコの正当な送信者から送られたかのように装っており、添付された請求書に関連する件名が使用されています。 「開く必要があるPDF形式の請求書」と称するこの添付ファイルは、実際には悪意のあるHTMLファイルが含まれたZIPファイルです。
HTMLファイル内の復号化されたデータもまたHTMLファイルであり、次のペイロード（ZIPファイル）をダウンロードするにはリモートURLが必要です。 このZIPファイルには、多数の未使用の文字列と、ブラウザウィンドウの位置を変更するための「moveTo(7426, 6245)」というタグが含まれたHTAファイルが入っています。 その後、外部のVBScriptを挿入するためのスクリプトを読み込み、そのVBScriptがHTML要素に追加されます。
VBScriptの役割について理解する
フォーティネットが指摘しているように、このVBScriptは、「2文字ごとに処理を行い、数学的な変換を施し、URLやPowerShellコマンド、その他の命令といった隠された文字列を再構築することで、独自の文字列デコードルーチンを実装します。」 このスクリプトの最初の主なタスクは、環境の検出と回避であり、これにはウイルス対策ソフトのチェック、仮想マシンのチェック、および「JOHN-PC」という名前のデバイスに対する特定の回避措置が含まれます。
また、このスクリプトは、再感染を防ぐために必要なフォルダが存在することを確認し、被害者の基本情報を収集して外部へ流出させ、ペイロードをダウンロードしてAutoItの使用準備を整え、バッチスクリプトを作成してPowerShellの使用準備を整えます。 このスクリプトは永続性を確保し、「%Startup%」および「%AppData%」フォルダから特定の種類のファイルを削除するとともに、隠しファイルへのパスを指定した新しいLNKファイルを作成します。 最後に、作成されたショートカットを実行します。
AutoItスクリプトとバンキング型トロイの木馬は、どのような目的で使用されるのでしょうか？
復号に使用されるAutoItスクリプトからは、被害者のマシンから情報を収集し、そのデータを C2 サーバーに送信するように設計された悪意のあるDLLが明らかになりました。 その後、このマルウェアはブラウザ関連のデータを盗み出し、それをリモートサーバーへ送信します。 また、Horabotは被害者の行動を監視し、認証情報を盗み出すように仕組まれた偽のポップアップウィンドウを表示させます。
[関連記事：セキュリティにおけるアクセス制御とは？ [タイプとベストプラクティスに関する詳細ガイド]
Horabotがメール攻撃をどのように自動化しているか
前のVBScriptに含まれるターゲットスクリプトは、リモートサーバー上で追加のスクリプトを実行することを目的としています。 フォーティネットが説明しているように、これらのファイルは「被害者リストの作成、メールの自動送信、そしてHorabotペイロードの効率的な配信という一連のプロセスを完遂することができます」。 このマルウェアは、COMオブジェクトを使用してOutlookを確実に起動できるようにするため、実行中のOutlookのインスタンスを終了させます。 「Outlook.Application」オブジェクトを作成した後、メールアドレスを収集するための空のリストを初期化し、ブロック対象ドメインのリストを定義します。
その後、別のスクリプトがメールアドレスのリストを作成し、さらに別のスクリプトが収集したアドレスを保存して、外部サーバーに送信します。 さらに、別のスクリプトが偽の請求書を含むメールを作成・送信し、その後、関連するファイルを削除します。 また、このマルウェアはOutlookを利用して、さらに多くの被害者に自身を送信します。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
HorabotはOutlookを利用して通常の動作に溶け込むため、他の種類のマルウェアとは一線を画しています。 そのため、特定が難しくなります。
フィッシング詐欺では常にそうであるように、 ユーザーへの啓発が極めて重要です。特に、今回のキャンペーンでは、一般的かつ従来型のフィッシングの手口が用いられているためです。
TA406 はターゲティングの仕組みを変更しました
Proofpointの最近のブログ記事「 」（新しいタブで開きます） では、 TA406の標的型攻撃の行動に大きな変化が見られることが指摘されています。
Proofpointの報告によると、 TA406 は現在、正当な個人を装ったフリーメールの送信者を利用し、被害者をだまして仕掛けに反応させるよう仕向けているとのことです。 このグループは、 2025年2月以降、フィッシング攻撃を通じて認証情報の収集やさまざまなマルウェアを拡散させてきました。
2月には、 TA406 部隊は、ロシアの作戦に関する情報を収集するため、ウクライナの政府機関も標的にし始めました。
TA406 マルウェアの配布は、どのように行われるのでしょうか？
TA406 は、これまで、埋め込まれたPowerShellを実行したり、マルウェアを配布したりする際、HTMLファイルやCHMファイルを使用することを好んできました。 『 2025年2月』において、Proofpointは、この攻撃者が架空のシンクタンクに所属する架空の上級研究員を装っていることを確認しました。 そのメールには、MEGAというファイルホスティングサービスへのリンクが記載されており、ユーザーはパスワードで保護されたファイルをダウンロードすることができました。 このファイルはRARアーカイブであり、復号されて実行されると、PowerShellを使用して状況把握を行うための感染チェーンが開始されます。 標的となった被害者が最初のリンクをクリックしなかったため、このグループはその後数日にわたり、フィッシングメールを立て続けに送信しました。
[関連記事：ビジネスメール詐欺（BEC）とは何ですか？ [BEC攻撃によるコストの増加]
このアーカイブには、追加のHTMLファイルを含むCHMファイルが含まれています。 HTMLファイルは、標的となる被害者に誘導用のコンテンツを表示します。 被害者がそのページ内であちこちクリックすると、HTML内に埋め込まれたPowerShellスクリプトが実行されます。 これにより、被害者のホストに関する情報を収集するために、さらにPowerShellがダウンロードされ、実行されます。
収集された情報は、その後、攻撃者に送信されます。 永続性を確保するため、攻撃者は次に、起動時に実行されるバッチファイル（自動実行ファイルとしてインストールされます）をインストールします。
TA406 は認証情報を収集しているのでしょうか？
このグループがマルウェア攻撃を開始する前に、Proofpointは、この攻撃者が偽のマイクロソフトのセキュリティ警告を送信して認証情報を取得しようとしているのを確認しました。
これらのフィッシングメールは、被害者に身元確認のためのリンクをクリックさせるよう仕向けるものです。 研究者たちは、まだ実際の認証情報フィッシングページを入手できていません。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
「 TA406 」の最新の活動は、同グループが引き続き地政学的情報に注力していることを浮き彫りにしています。 標的をロシア政府機関からウクライナ政府機関へと転換したことは、北朝鮮の情報活動の優先順位が見直されたことを示唆している可能性があります。
興味深いのは、実在する人物を装うのではなく、架空のシンクタンクに所属する架空の人物を利用している点です。
これらの記事について、何かご意見やご感想など、共有したいことはありますか？ または Tanium のディスカッションフォーラム にアクセスして、会話を始めてみてください。
さらに詳しくお読みになりたい方は、 の最新のサイバー脅威インテリジェンスまとめ記事をご覧ください：。
