今週、Taniumのサイバー脅威インテリジェンス（CTI）チームは、サイバー犯罪者が、正規のAIサービスを装った偽のウェブサイトを作成し、マルウェアを拡散させている実態について検証します。 今回のまとめには、中国政府が支援する極めて高度な脅威アクターである「 APT41」に関する最新情報も含まれています。 最後に、当社のCTIチームは、「Void Blizzard」と呼ばれる、ロシアと関連があるとされる新たな脅威アクターについて調査を行っています。
UNC6032 は、AIをテーマにした偽のウェブサイトを作成します
Mandiant（ （新しいタブで開きます））によると、サイバー犯罪者たちは現在、偽のAIウェブサイトを作成し、それを悪用して、欺瞞的な広告を通じてマルウェアを拡散させているとのことです。
「 UNC6032」というグループによるものとされるこのキャンペーンは、世界中のユーザーを標的としており、脅威アクターが新興技術を悪用して、大規模な認証情報の窃取や監視を行うという傾向が高まっていることを浮き彫りにしています。
脅威アクターは、AIやソーシャルメディアをどのように活用してマルウェアを拡散させているのでしょうか？
マンディアントが説明しているように、脅威アクターたちは、AIの人気が急上昇していることをいち早く悪用してきました。 その結果、人気のあるAIツールを装ったサイトから発信されるキャンペーンが行われ、それらはFacebookやLinkedInの広告を通じて宣伝されています。
[関連記事：禁止されるかどうかにかかわらず、TikTok（あるいはその他のアプリ）の「出口戦略」は必要です]
マンディアント社は、同様のコンテンツを表示している数千件の広告の中から、 30 件以上のウェブサイトを特定しました。 この攻撃者は、検知を逃れるために広告に記載されているドメインを絶えず入れ替えているようで、そのほとんどは短期間しか存続せず、毎日新しいドメインが作成されています。
偽のAI広告をクリックすると、どうなるのでしょうか？
このキャンペーンでは、Facebookの広告が、「Luma AI」という既知のテキストから動画を作成するAIツールを装っていました。 この広告は、被害者を攻撃者が作成したウェブサイトに誘導し、そこで「今すぐ無料で始める」ボタンをクリックして、希望するさまざまな機能を選択できるようにしています。
- 被害者がクリックしてコンテンツを生成しようとすると、AIモデルがリクエストを処理しているかのように見える読み込みバーが表示されます。
- 数秒後、ダウンロード用の動画が届きます。 これにより、.zipファイルがデバイスにダウンロードされます。
- ダウンロードされた.zipファイルには、.mp4 ファイルに見せかけるために二重の拡張子が付いた実行ファイルが含まれていますが、実際には.exeファイルです。
[関連記事：エージェント型AIとは？ この新しいAIの種類について知っておくべきこと]
STARKVEILドロッパーとは何ですか？
Mandiant社によって「STARKVEIL」として追跡されているこの実行ファイルは、Rust言語で記述されたドロッパー型マルウェアです。 これにより、埋め込まれたアーカイブとそのマルウェアコンポーネントが抽出され、感染の後半で、正当なプロセスに悪意のあるコードを注入するために使用されます。
マンディアット社の調査によると、攻撃を成功させるには、その実行ファイルを2回実行する必要があることが判明しました。 これを実現するため、このマルウェアは初回実行時にエラーウィンドウを表示し、ユーザーをだまして再度実行させようとする可能性があります。
2回目の実行時には、Python コマンドを含む Python ランチャーが起動します。 これは「COILHATCH」のドロッパーであることが判明しました。 COILHATCHに関する詳細や、STARKVEILマルウェアの技術的な詳細については、マンディアント社のレポートをご覧ください。
知っておくべき実行ファイル
このキャンペーンには、GRIMPULL、XWORM、FROSTRIFT の3つの実行ファイルが含まれています：
- GRIMPULL is a downloader that uses anti-VM capabilities and Tor for its C2 communications.
- XWORM（ ）は2番目に実行され、正規のWindowsプロセスに注入されます。 これは、プラグインによって機能を拡張するバックドアです。
- FROSTRIFT（ ）は、正規のWindowsプロセスに注入され、システムに関する情報を収集します。 C2 からモジュールを受け取り、それらをメモリに読み込むために保存します。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
このキャンペーンは、脅威アクターがトレンドとなっている技術を悪用するためにいかに迅速に適応するかを示す典型的な例です。 この場合、AIをめぐる過熱した期待は、「 」というソーシャルエンジニアリングの手口にとって、絶好の餌となります。。
さらに、FacebookやLinkedInといった広告プラットフォームの悪用は、脅威の検知においてますます顕著になっている死角を浮き彫りにしています。 現在、正当なエコシステムの上に、悪意のあるインフラが構築されつつあります。
マルウェアのペイロードを監視するだけでは不十分であることを、改めてご留意ください。 感染経路の特定と監視にも、同等の注意を払わなければなりません。
APT41 では、指揮統制にGoogleカレンダーを利用しています
Google Threat Intelligence Groupの最新レポート『 』（新しいタブで開きます） では、最近、乗っ取られた政府のウェブサイトを利用して「TOUGHPROGRESS」と呼ばれる高度な3段階のマルウェアを配布した、中国政府が支援する脅威アクター「 APT41」について取り上げています。
この攻撃では、偽装されたファイル構造と、コマンド＆コントロール手段としてGoogleカレンダーが利用されました。 Googleは、独自の検知機能を導入し、攻撃者のインフラを無効化することで、このキャンペーンを阻止することに成功しました。
APT41 は、どのように偽のPDFファイルを利用してマルウェアを配布したのでしょうか？
APT41 は、標的となった被害者たちにスピアフィッシングメールを送信することで、攻撃を開始しました。 そのメールには、攻撃を受けた政府のウェブサイトにホストされていた.zipアーカイブへのリンクが含まれていました。
そのアーカイブには、7枚の.jpg画像と、.pdfファイルに偽装された.lnkファイルが含まれていました。 ペイロードは.lnkファイルを介して実行され、その後、その.lnkファイルは削除され、おとり用の.pdfファイルに置き換えられました。
マルウェアの感染経路の理解
このマルウェアには3つのモジュールが含まれており、それぞれが独自の機能を持ち、一連の順序で展開されます：
- PLUSDROP は、暗号を解読し、攻撃の次の段階を実行するように設計された DLL です。
- PLUSINJECT は、プロセスの空洞化を行い、最終的なペイロードを注入します。
- TOUGHPROGRESS は、侵害されたデバイス上で実際の動作を実行し、Googleカレンダーをコマンド＆コントロールに悪用しています（C2）。
APT41 がGoogleカレンダーをC2 チャンネルに変えた方法
前述の通り、TOUGHPROGRESSはGoogleカレンダーを悪用しています。 攻撃者が制御するGoogleカレンダーを利用して、イベントの読み取りや書き込みを行うことができます。 このスクリプトを実行すると、 2023年5月30日という固定の日付（時間：0分）に設定されたカレンダーイベントが作成されます。
このインシデントには、インシデントの説明欄に、侵害されたデバイスから収集されたデータが含まれています。 また、攻撃者は、マルウェアにハードコードされた日付の追加のカレンダーイベントに、暗号化されたコマンドを埋め込みます。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
APT41’s Googleカレンダーを指揮統制に利用した事例は、攻撃者が悪意のある活動を隠蔽するために、正規のクラウドサービスをますます活用していることを如実に示しています。
この戦術は検知を困難にし、従来のIOC（、Indicators of Compromiseの略称。。過去の攻撃に関連付けられた悪意のあるIPアドレス、ファイルハッシュ、ドメイン名などの既知の痕跡を用いて脅威を特定することを指します）に基づく検知を超えた、行動分析の必要性を浮き彫りにしています。
TOUGHPROGRESSの3段階構成は、モジュール式マルウェア設計における拡大する傾向を反映しており、攻撃者がペイロードを動的に適応させ、静的な防御を回避することを可能にしています。 このモジュール性により、キャンペーン間の再利用も容易になりますが、その分、アトリビューションやリスク軽減の対応はより複雑になります。
ヴォイド・ブリザード：重要分野に対する新たな脅威
マイクロソフトは、 （新しいタブで開きます） において、Void Blizzardと呼ばれるロシアと関連のある新たな脅威アクターを特定しました。このアクターは、重要分野を対象にサイバースパイ活動を積極的に展開しています。 このグループは、盗んだ認証情報やスピアフィッシングの手口を用いてネットワークに侵入し、大量の機密データを盗み出しています。
[関連記事：セキュリティにおけるアクセス制御とは？ [タイプとベストプラクティスに関する詳細ガイド]
『ヴォイド・ブリザード』はどのような層をターゲットにしているのでしょうか？
「Void Blizzard」は、通信・テレコム、防衛、医療、教育、政府機関および行政サービス、情報技術、政府間組織、メディア、NGO、運輸など、多岐にわたる分野の組織を標的としていることが確認されました。
このグループは、主に政府機関や法執行機関、とりわけNATO加盟国の機関を標的にしています。
「ヴォイド・ブリザード」は、どのようにして最初の侵入経路を確保するのでしょうか？
このグループは、初期アクセスに、パスワードスプレー攻撃や認証情報の窃取など、主に単純な手法を用いています。 マイクロソフトは、このグループがサイバー犯罪のエコシステムを通じてクッキーや認証情報を入手し、それらを利用してExchangeやSharePoint Onlineなどのサービスにアクセスしていると見ています。
2025年4月において、マイクロソフトは、中間者攻撃（AiTM）の手法を用いた「Void Blizzard」というスピアフィッシングキャンペーンを特定しました。 このキャンペーンは、米国および欧州の20以上のNGO団体を対象としました。
「 」というフィッシングメール（ ）は、欧州防衛・安全保障サミットからのものだと偽り、同イベントへの偽の招待状がPDFファイルとして添付されていました。 そのPDFには、Microsoft Onlineを装ったタイポスクワッティングドメインへ誘導するQRコードが含まれていました。 そのフィッシングページは、Microsoft Entraの認証ポータルを忠実に模倣したものでした。 マイクロソフトはまた、Void Blizzardがこのような攻撃キャンペーンを実行するために、Evilginxフレームワークを利用している可能性が高いと考えています。
最初のアクセス後はどうなるのでしょうか？
このグループは、環境への初期アクセスを獲得すると、Exchange Online や Microsoft Graph などの正規のクラウド API を悪用します。 これにより、標的のメールボックスや、クラウド上にホストされているさまざまなファイルを列挙することが可能になります。
一部の攻撃キャンペーンでは、攻撃者はMicrosoft Teamsの会話にもアクセスしており、具体的にはWebクライアント上でアクセスしていました。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
新たな脅威アクターやグループについて耳にすることは、そう頻繁にはありません。 Void Blizzardはそれほど洗練された手法を用いていないかもしれませんが、組織への侵入に成功している事実は、一見「基本的な」戦略であっても、依然として深刻な脅威となり得ることを改めて示しています。 とはいえ、より基本的な戦術・手法・手順（TTP）の一部を検知し、認識しておくことは、極めて重要となる場合があります。
例年通り、マイクロソフトは において、IDおよび認証、電子メールのセキュリティ、侵害後の活動に関する緩和策および保護策のガイダンス (新しいタブで開きます) を提供しています。 また、マイクロソフトは、関連する「Void Blizzard」の活動を特定するのに役立つよう、さまざまなDefenderの検知項目やハンティングクエリも提供しました。
これらの記事について、何かご意見やご感想など、共有したいことはありますか？ または Tanium のディスカッションフォーラム にアクセスして、会話を始めてみてください。
さらに詳しくお読みになりたい方は、当社の最近の「」サイバー脅威インテリジェンスまとめ（）をご覧ください。
