今週のまとめでは、CTIが、金融業界のMicrosoft 365 アカウントを標的としている「ONNX」というフィッシング・アズ・ア・サービス（PhaaS）プラットフォームについて取り上げます。 続いて、CTIは、「Boolka」として追跡されている脅威アクターに関する最新情報を提供します。この脅威アクターは、ウェブサイトを乗っ取り、BMANAGERと呼ばれるトロイの木馬を配布しています。 最後に、CTIでは、政府機関を標的としたサイバースパイ活動に関与している、これまで報告されていなかった脅威アクター「SneakyChef」の概要についてまとめます。
1. ONNX Storeは金融業界をターゲットとしています
のフィッシング・アズ・ア・サービス（PhaaS）プラットフォーム「 」（通称「ONNX Store」 ）が、Microsoft 365 アカウントを標的にしています。 現在、これらの攻撃は金融企業の従業員を標的としており、PDF添付ファイル（ ）内ののQRコードを利用しています。
ONNX Storeは、被害者からのリクエストを傍受する 2FA バイパス機能（ ）を搭載することで、成功の可能性を高めています。 EclecticIQは、ONNX Store PhaaSの背後にいる脅威アクターが、Caffeineキットの背後にいるアクターと同一人物であり、同プラットフォームのブランド変更である可能性があると見ています。 2023年当時、Caffeineキットの作成者はブランド変更を行うと発表し、同キットが「ONNX STORE」に移行したことを明らかにしていました。 今回のブランド刷新では、攻撃者にとってのOPSECの強化に重点が置かれています。これは、Caffeineがこれまで、すべてのキャンペーンの管理に単一の共有Webサーバーに依存していたためです。
ONNXでは、関係者がTelegramボットを通じてキャンペーンを管理できるようになっており、さらにサポートチャネルも用意されています。 EclecticIQは、 2FA コードの受信、Microsoft Office 365 の認証情報の取得、のWebメールサーバーを制御して からフィッシングメールを送信すること、および支払い、注文の追跡、フィッシングメールやソーシャルエンジニアリング用の餌の作成、ならびに「バレットプルーフ」ホスティングを行うためのボットを確認しました。
EclecticIQによると、ONNX StoreはCloudflareを活用して、「フィッシングドメインの削除プロセスを遅らせる」とのことです。
ONNYXストアとQRコードを使ったフィッシング
今日の他の多くのフィッシングサービスと同様に、ONNX Storeも現在、QRコードを利用して攻撃を実行しています。
このフィッシングサービスは、QRコードが含まれたPDF文書を配布します。 これらのPDFファイルは、給与の更新情報や社員ハンドブック、その他の人事関連のテーマに関するものだと装っていることがよくあります。
QRコードをスキャンすると、被害者は脅威アクターが管理するフィッシングサイトに誘導されます。 このページは、ログイン情報と 2FA コードを盗み出すことを目的としています。
ONNX Store と JavaScript
ONNX Storeでは、ページが読み込まれると自動的に復号される暗号化されたJavaScriptコードを使用しています。 この手法により、特にフィッシング対策スキャナーに対する保護がさらに強化されます。 復号されたJavaScriptは、被害者が入力した 2FA 個のトークンを盗み出す役割を果たしています。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
ONNX Storeには、世の中に存在する他のフィッシングキットと共通する機能や性能が数多く備わっているため、実際に普及するかどうかは議論の余地があります。
現時点では、研究者たちはこのキットが金融企業を標的として使用されていることしか確認できていません。 開発者がユーザーのOPSEC強化に一層注力していることを踏まえると、状況は変わる可能性があります。 さらに、QRコードを活用していることは、脅威の動向に遅れを取らないよう努めている姿勢を示しています。
2。 Boolkaは、SQLインジェクション攻撃を通じてBMANAGERトロイの木馬を拡散させています
Boolka として追跡されている脅威アクターが、現在、脆弱性のあるウェブサイトを乗っ取り、BMANAGER というトロイの木馬を配布しています。
Group-IBによると、この攻撃グループは少なくとも 2022年以降、複数の国で機会を捉えたSQLインジェクション攻撃を繰り返し、ユーザーからの入力を収集・流出させてきました。 このキャンペーンでは、ユーザーをランディングページにリダイレクトし、そこで実際にはBMANAGERトロイの木馬であるブラウザ拡張機能のダウンロードとインストールを促します。
Boolkaを悪用したWeb攻撃
Boolkaは 2022年以降、悪意のあるJavaScriptを用いてウェブサイトに感染させてきました。 ユーザーがどうしても感染したサイトのいずれかにアクセスしてしまうと、そのスクリプトがダウンロードされ、実行されます。 このスクリプトはまず、Boolkaのサーバーにリクエストを送信し、スクリプトが実行されたことを通知します。 その後、サイトへのユーザー入力を収集し、収集した情報を外部へ持ち出します。
このスクリプトの更新版が最近発見されましたが、そこにはいくつかの変更が加えられています。 たとえば、IDが「hookwork」である特定のdiv要素が存在するかどうかを確認し、存在しない場合はその要素を作成します。 また、この新しいバージョンでは、特定のプロパティがサーバーに送信されないようにするための追加のチェック機能が実装されています。
マルウェアの配布
1月に発見されたランディングページは、現在、Boolkaのマルウェア配信プラットフォームのテスト運用であったと考えられています。 このプラットフォームは、BeEFというオープンソースのツールを基盤としています。 Boolkaはランディングページ用に3つの異なるドメインを作成しましたが、実際に使用されているのはそのうち1つだけであることが確認されています。
『 2024年3月』において、Group-IBはBoolkaの配信プラットフォームが実環境で稼働している様子を初めて確認しました。 このプラットフォームは、BMANAGERのダウンローダーを配布するために使用されています。
マルウェア
Group-IBは複数のマルウェアサンプルを発見しましたが、それらはすべてBMANAGERドロッパーから始まっていました。 また、Boolkaは、データの持ち出しにBMANAGER、BMANAGERダウンローダー、BMREADERを、キーロギングにBMLOGを、キーボードのフォーカスがある実行中のアプリケーションの記録にBMHOOKを、ファイルの窃取にBMBACKUPを使用していることが確認されました。
BMANAGER ダウンローダー
このダウンローダーは、BMANAGERというマルウェアをダウンロードして実行しようとします。 このマルウェアは、ドロッパー内にハードコードされたURLから、HTTP GETリクエストを介してダウンロードされます。 このマルウェアは、ユーザーがログインした際にマルウェアを起動するWindowsタスクを通じて、持続性を確保しています。
BMANAGER
このマルウェア自体は、ハードコードされた「 C2」からファイルをダウンロードします。 このプログラムは、スタートアップタスクを作成したり、削除したり、さまざまな実行ファイルを実行したりします。 このマルウェアは最初に起動した際、SQLデータベースに保存されているランダムに生成されたGUIDを使用して、 C2 に自身を登録します。 C2 から、対象とすべきアプリケーションのリストを取得しようとします。
その後、このマルウェアは C2から他の実行ファイルを取得します。 これらには、BMREADER、BMLOG、BMHOOK、およびBMBACKUPが含まれます。 マルウェアのサンプルのほとんどは、サンプル内にハードコードされていたローカルのSQLデータベースを使用していました。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
Boolkaは、最初の攻撃以来、戦術、技術、手順（TTP）を大幅に進化させ、当初は機会を捉えて行われるSQLインジェクション攻撃のみから、マルウェア配信プラットフォーム全体とカスタムマルウェアの開発へと軸足を移しました。
このアクターは手ごわい脅威であることが明らかになっていますが、その活動に関する報道がそれほど多く見られないのは意外です。 ところで、SQLインジェクション攻撃を利用して機密データを盗み出す手口が、再び台頭してきているようです。
3。 SneakyChefはSpiceRATと SugarGh0stを展開しています
SneakyChefは現在、政府機関を標的としたサイバー諜報活動と関連付けられています。 これまで未確認だったこの脅威アクターは、政府機関のスキャン文書を餌として利用しており、その攻撃活動において「 SugarGh0st 」および「SpiceRAT」マルウェア（ ）を使用していることが確認されました。
SneakyChefについて
Cisco Talosは、2023年半ばに「 SugarGh0st RAT」を利用した攻撃キャンペーンを初めて特定しました。 それ以来、同グループは同じマルウェアを利用した攻撃キャンペーンを継続して確認しており、その結果、「SneakyChef」と名付けられた新たな攻撃者のプロファイルを作成することになりました。 この俳優は、言語設定や、中国の俳優の間で人気のある「 Gh0st RAT」を使用していることから、中国語を話す人物であると考えられています。 この攻撃者は当初、ウズベキスタンと韓国のユーザーを標的としていましたが、その後、標的をEMEA地域およびアジアの複数の国々に拡大しています。
SneakyChefのルアー
SneakyChefは、政府機関の文書をスキャンした画像を用いたおとり手口を使用しています。 Cisco Talosによると、これらの文書は一般に公開されていないようです。
南部アフリカ諸国を標的としたキャンペーンにおいて、これらの文書はアンゴラ外務省を装ったものでした。 中央アジア諸国を標的としたキャンペーンにおいて、これらの文書はトルクメニスタンまたはカザフスタンの外務省を装っていました。
中東諸国を標的としたフィッシング詐欺では、公休日に関するものだと偽装した文書が使用されていました。 政府を題材にしたフィッシングメールに加え、Cisco Talosは、ある会議への参加登録申請書であるおとり文書や、別の国際会議の研究論文の要旨である文書も確認しました。 さらに、会議への招待や詳細に関する誘いもありました。
新旧の C2 ドメイン
前述の通り、Cisco Talosは当初、この攻撃者の活動を 2023 で観測していましたが、その時点ではまだ犯行の帰属は特定されていませんでした。 この俳優は、数ヶ月前に報じられた C2 ドメインを引き続き使用しています。 また、3月から 2024年4月にかけて、 SugarGh0st のマルウェアによって新たなC2 ドメインが使用されていることも確認されました。
感染経路：最新のSneakyChefキャンペーンにおいて、攻撃者は初期アクセスにSFX RARを悪用する第3の感染経路の利用を開始しました。 攻撃の被害者が実行ファイルを実行すると、SFXスクリプトによって、おとり文書、DLLローダー、暗号化された「 SugarGh0st 」ペイロード、および悪意のあるVBスクリプトが配置されます。
まずVBスクリプトが実行され、ログイン時に実行されるレジストリキーを通じて、永続化が確立されます。 ユーザーがログインすると、ローダー DLL である update.dll を実行するコマンドが実行されます。 ローダーは、暗号化された SugarGh0st ペイロードおよびauthz.libを読み込む役割を担っています。 それを復号化し、あるプロセスに注入します。
これまで記録されていなかった脅威アクター「SneakyChef」が、政府機関を標的としたサイバー諜報活動に関与していることが判明しました。 この攻撃者は、政府機関のスキャン文書を餌として利用しており、その攻撃キャンペーンにおいて「 SugarGh0st 」および「SpiceRAT」というマルウェアを使用していることが確認されています。
SneakyChef
Cisco Talosは、2023年半ばに「 SugarGh0st RAT」を利用した攻撃キャンペーンを最初に特定しました。 それ以来、同グループは同じマルウェアを利用した攻撃キャンペーンを継続して確認しており、その結果、「SneakyChef」と名付けられた新たな攻撃者のプロファイルを作成することになりました。 この俳優は、言語設定や、中国の俳優の間で人気のある「 Gh0st RAT」を使用していることから、中国語を話す人物であると考えられています。 この攻撃者は当初、ウズベキスタンと韓国のユーザーを標的としていましたが、その後、EMEA地域およびアジアの複数の国々へと標的を拡大しています。
ルアー
SneakyChefは、政府機関の文書をスキャンした画像を用いたおとり手口を使用しています。 Cisco Talosによると、これらの文書は一般に公開されていないようです。 南部アフリカ諸国を標的としたキャンペーンにおいて、使用された文書はアンゴラ外務省を装ったものでした。 中央アジア諸国を標的としたキャンペーンでは、これらの文書は代わりにトルクメニスタンまたはカザフスタンの外務省を装っていました。
一方、中東諸国を標的としたフィッシングメールでは、公休日の通知を装った文書が使用されていました。 政府を題材にしたフィッシングメールに加え、Cisco Talosは、ある会議への参加登録申請書であるおとり文書や、別の国際会議の研究論文の要旨である文書も確認しました。 さらに、会議への招待や詳細に関する誘いもありました。
新旧の C2 ドメイン
前述の通り、Cisco Talosは当初、この攻撃者の活動を 2023 で観測していましたが、その時点ではまだ犯行の帰属は特定されていませんでした。 この俳優は、数ヶ月前に報じられた C2 ドメインを引き続き使用しており、これは2024年5月の中頃まで確認されていました。 また、3月から 2024年4月にかけて、 SugarGh0st のマルウェアによって新たなC2 ドメインが使用されていることも確認されました。
SneakyChefの感染経路
最新のSneakyChefキャンペーンにおいて、この攻撃者は、初期アクセスにSFX RARを悪用する第3の感染経路を利用しています。 攻撃の被害者が実行ファイルを実行すると、SFXスクリプトによって、おとり用のドキュメント、DLLローダー、暗号化された SugarGh0st ペイロード、および悪意のあるVBスクリプトが配置されます。
VBスクリプトが最初に実行され、ログイン時に実行されるレジストリキーを通じて永続化が確立されます。 ユーザーがログインすると、ローダー DLL である update.dll を実行するコマンドが実行されます。 ローダーは、暗号化された SugarGh0st ペイロードおよびauthz.libを読み込む役割を担っています。 それを復号化し、あるプロセスに注入します。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
この報道は、アトリビューションがいかに難しいかを示す一例です。 このケースでは、一連の活動を特定の行為者と結びつけ、その人物像を特定できたのは、ほぼ1年近く経ってからでした。 これは、TTP（戦術・技術・手順）の重複が極めて激しく、個々の脅威アクターを区別するのが困難になりがちな中国の脅威アクターにとって、特に興味深い点です。
これらの記事について、何かご意見やご感想など、共有したいことはありますか？ にアクセスし、Taniumのディスカッションフォーラム（ ）で会話を始めてみてください。
さらに詳しくお読みになりたい方は、当社の最近の「」サイバー脅威インテリジェンスまとめ（）をご覧ください。
