今週のレポートでは、悪名高いロシアの脅威アクター「 APT28 」（別名「Fancy Bear」）によるものとされる最近のキャンペーンの概要をご紹介します。同グループは、人間の介入を最小限に抑えた新たなコード実行手法を活用して攻撃を仕掛けていると報じられています。
次に、ロシアがウクライナの重要インフラに対して新たな攻撃を計画しているという、ウクライナによる最近の警告に関する戦略情報レポートをご紹介します。
最後に、F-35ライトニングII戦闘機の部品製造に携わるサプライヤーを含め、兵器製造に関与する複数の軍事請負業者を対象とした新たなキャンペーンについて、詳しく掘り下げていきます。
1. ハッカーは、PowerPointファイルを利用して「マウスオーバー」型のマルウェアを配布しています
Cluster25 は、Microsoft PowerPoint内での被害者のマウス操作を利用して悪意のあるPowerShellスクリプトを起動させる、やや斬新で稀なコード実行手法を特定しました。 （新しいタブで開きます） 研究者たちは、このキャンペーンが、ロシア政府の支援を受ける脅威アクター「 APT28」（別名「Fancy Bear」）と特に関連していると見ています。
このキャンペーンで確認されたおとり文書は、興味深いコード実行の手法を利用したPowerPointファイルです。 これは、ユーザーがPowerPointのプレゼンテーションモードを開始し、マウスを動かしたときに実行されるように設計されています。
脅威インテリジェンス企業「 Cluster25 」の報告書によると、ロシアのGRU（軍参謀本部情報総局）に帰属するとされる脅威グループ「APT28 」（別名「Fancy Bear」）が、PowerPointファイルを利用して「マウスオーバー」方式によるマルウェアの配布を行っていたとのことです。https://t.co/5BEf2PM6S2 @BleepinComputer
— 第780軍事情報旅団（サイバー） (@780thC) 2022年9月27日
パワーポイントの誘惑
問題のPowerPointファイルには2枚のスライドが含まれており、それぞれに同じ内容が記載されています。 ただし、1枚目のスライドは英語で書かれており、2枚目はフランス語で書かれています。
一見したところ、この文書は、世界的な経済発展と貿易の促進に取り組んでいる政府間組織である経済協力開発機構（OECD）と関連があるようです。 スライド自体には、Zoomビデオ会議アプリケーションに標準搭載されている通訳機能の使用方法に関する説明が、参加者向けに記載されています。
このPowerPointの脆弱性は、従来の「プログラムの実行」や「マクロの実行」とは異なり、ハイパーリンクを悪用してトリガーされる独自のコード実行手法を利用しています（これは、マイクロソフトが最近、Office製品において特定のマクロをデフォルトで無効化したことが一因である可能性があります）。 この悪意のあるコードは、ごくわずかなユーザーの操作――具体的には、プレゼンテーションモード中にユーザーがカーソルを動かした際――に反応して作動します。
このコードの実行では、SyncAppvPublishingServer ユーティリティを介して PowerShell スクリプトを実行し、その後、OneDrive から JPEG ファイルをダウンロードして実行します。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
「脅威アクターがOfficeファイルを介してマルウェアを配布することは決して珍しいことではありませんが、その事例の多くは、PowerPointファイルというよりは、ExcelやWordの文書を利用しているようです。」
「ここ数ヶ月の間に が確認した多くの フィッシング攻撃と同様に、この攻撃では悪意のあるマクロの使用を避け、代わりに巧妙な『マウスオーバー』イベントを、ユーザーによる操作をきっかけとして悪意のあるコードを実行する手段として利用しています。ただし、ユーザーが実際にリンクをクリックする必要さえありません。」 この手法は新しいものではありませんが、確かに珍しいものであり、注目に値するもので、今後も注目しておく価値があります。」
「不審なリンクをクリックしないよう従業員に指導するには、往々にして並大抵ではない労力が必要ですが、リンクにカーソルを合わせるだけで重大な悪意のある活動を引き起こす可能性があるとなると、事態はさらに複雑さを増します。」 このリスクを反映させるために、フィッシングやといったソーシャルエンジニアリングに関する意識啓発 および教育プログラムを見直すことは、特に困難な作業です。というのも、従業員が不審なメールに遭遇した際に、そのメッセージの正当性をより的確に判断するために教えられる主要な防御策の一つが、カーソルをホバーさせる手法であることが多いからです。」
2。 ウクライナは、ロシアが重要インフラに対する「大規模なサイバー攻撃」を計画していると警告しています
ウクライナ国防省が最近発表した「 」アドバイザリ（ （新しいタブで開きます） ）によると、ロシア政府が支援する脅威アクターが、ウクライナの企業およびウクライナの同盟国が所有する重要インフラ施設の両方に対して、大規模なサイバー攻撃を計画しているとの警告が発せられています。
ウクライナ、GRUによる差し迫ったサイバー攻撃について警告しています
この警告によると、その攻撃はエネルギー分野の企業を標的とするものになるとされています。 興味深いことに、この警告ではさらに、これらの攻撃は 2015 年および2016 年にウクライナのエネルギーシステムに対して行われた攻撃を強く彷彿とさせるものになると述べられています。当時、ロシアのGRU（軍事情報機関）の傘下で活動するハッカーたちが、それぞれ高性能なマルウェアを悪用した2波にわたる攻撃を行ったと報じられています。
今回の勧告は、ウクライナ軍が相次いで攻勢を強め、数ヶ月間にわたりロシアの支配下にあった都市の広範な地域を奪還したことを受けて出されたものです。 また、研究者たちは、ロシアが最近発表した動員令（ウクライナとの紛争を支援するため、さらに 300,000 人のロシア国民を動員するよう求めるもの）が、軍事目標を達成するために攻撃的なサイバー活動への依存度を高めるきっかけとなった可能性があると指摘しています。これにより、現在進行中の兵力不足にさらなる負担をかけることを回避できるからです。
研究者たちは、ウクライナのインフラに対する過去のサイバー攻撃に注目しています
2022年にウクライナの電力網を標的としたハッキング攻撃が成功する可能性について、研究者たちの見解は分かれています。 ウクライナのサイバー防衛部隊は、同国の重要インフラを構成する組織のネットワーク内における悪意のある活動を検知・防止する能力を高めているようです（例えば、ウクライナのCERT-UA（ ）が、ある地方のエネルギー企業の環境内で「Industroyer」マルウェアを検知した事例（ （新しいタブで開きます） ）が挙げられます）。
とはいえ、報道によると、 2015号、 2016号、およびそれ以降の攻撃は、ロシア政府の支援を受ける高度持続的脅威（APT）グループ「サンドワーム」によるものとされています。そして、研究者たちが一致して認めているのは、サンドワームが世界でも最も精鋭な国家支援型ハッキンググループの一つと見なされているという点です。
さらに、 や、Mandiantによる最近の報告 （新しいタブで開きます） 、および他のサイバー脅威インテリジェンス企業による同様のデータを信じるならば、ウクライナが直面している差し迫った脅威は、クレムリンから資金提供を受けているAPTだけにとどまらないようです。 ロシアのGRU（ ）と関係があるとされるサイバーハクティビストたちも、ウクライナのウェブサイトに対する分散型サービス拒否（DDoS）攻撃や改ざん攻撃を行ったことで、最近話題となっています（ （新しいタブで開きます） ）。専門家たちは、彼らがクレムリンが調整する情報作戦や破壊的なサイバー活動の隠れ蓑であると考えています。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
「ウクライナは――世界の多くの国々を驚かせることとなりましたが――ロシアによる実戦的な軍事侵攻に直面しながらも、これまで強固な抵抗を維持してきました。」 しかし、ウクライナのサイバー防衛部隊が、世界で最も恐れられているハッカーたちに対しても、同様に強固な抵抗を維持できるかどうかは、まだ未知数です。
「確かに、現在進行中のこの紛争に関与する交戦当事者間で確認されているサイバー攻撃の規模と頻度は、世界がこれまでに経験したことのないものです。」 この不安定な時期を通じて見られる戦術、技術、手順（TTP）は、必然的に作戦地域やそのサイバー戦域の外へと波及することになり、何事も孤立して起こることはなく、紛争は――たとえどれほど遠く離れていようとも――最終的には私たち全員に影響を及ぼすということを、改めて証明することになるでしょう。
「残された唯一の問いは、これを通じて私たちは何を学び、それをどのように活かしていくか、ということです。」
3。 研究者らが、軍事請負業者を標的とした秘密の攻撃キャンペーンを明らかにしました
Securonix Threat Labsによる最近のレポートでは、 武器製造に携わる複数の軍事請負業者を標的とした新たなキャンペーンが分析されています。 (新しいタブで開きます) これには、F-35ライトニングII戦闘機の部品の製造・供給を担当する組織も含まれています。
この攻撃キャンペーンは――多くの事例と同様に――従業員宛てのフィッシングメールから始まり、多段階にわたる感染へとつながります。この攻撃の特徴は、堅牢な「Secure C2 」インフラストラクチャと、PowerShell 段階における多層的な難読化手法にあります。
Securonixによると、スピアフィッシングが最初の侵入の主な手段だったとのことです。 この攻撃自体は 2022 年の夏の終わり頃から実行され、現在軍事請負業者として活動している少なくとも2つの著名な組織が標的とされました。
このキャンペーンでは、悪意のあるスクリプトが利用されており、レジストリへの埋め込み、感染したホストへのスケジュールされたタスクとしての登録、WMIを利用して新しいサブスクリプションを作成し、コマンドライン引数として悪意のあるコードを実行するなど、いくつかの永続化手法を試みます。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
「このキャンペーンで用いられている全体的な戦術は、セキュリティ研究者にはよく知られていますが、このキャンペーンの背後にいる脅威アクターは、堅固な分析回避技術やフォレンジック対策の確立に多大な労力を費やしているようです。」 「ほとんどのフィッシング攻撃の背後にいるサイバー犯罪者は、攻撃後に多段階のポストエクスプロイト活動を行うのが一般的ですが、この脅威アクターは、そのような典型的な行動とは異なると広く見なされています。この脅威アクターは、攻撃サイクルの全段階を通じて、相当なレベルの運用セキュリティ（OPSEC）を維持することに注力したようであり、作戦のポストエクスプロイト段階における技術的な複雑さを高めることに全力を注ぐのではなく、それによって、このキャンペーンで使用されるマルウェアの検出や分析を困難にしています。」
さらに詳しくお読みになりたい方は、 の最近のサイバー脅威インテリジェンスまとめ記事をご覧ください。
