LightSpyの新種、スパイ活動の一環として南アジアとインドを標的に

Yoshida

2024.04.19

ウィークリー・サイバーラウンド・アップ

LightSpyの新種、スパイ活動の一環として南アジアとインドを標的に

BlackBerry – April 11, 2024　

モバイル端末を狙ったスパイキャンペーンの一環として、南アジアとおそらくインドの個人を標的とするLightSpyの活動をBlackBerryの研究者が観測した。この活動には「F_Warehouse」と名付けられたLightSpyの新種が関与しており、シェルコマンド実行、ファイル窃取、音声録音、画像キャプチャ、データ採取、システムアクセスなどの機能を持つモジュラー型フレームワークを備えている。初期感染ベクターは、香港関連の記事を取り扱う、侵害されたニュースWebサイトの可能性が高い。

Earth Hundun、WaterbearとDeuterbearでAPACの複数組織を狙う

Trend Micro – April 11, 2024

トレンドマイクロの研究者が、2022年からアクティブなバックドア「Waterbear」とその最新ダウンローダー「Deuterbear」について詳述した。WatebearはサイバースパイグループEarth Hundunとの関与が疑われるマルウェアで、これを使ってアジア太平洋（APAC）地域の技術、研究、政府関連組織を狙った攻撃が急激に増えていることが最近確認されている。DeuterbearにはHTTPSトンネルを有効にしてネットワークトラフィックを保護する機能があり、解析を回避するための難読化手法を複数実装しているほか、アンチメモリスキャンと復号化ルーチンに変更が加わっている。

新たなバックドアMadMxShell、マルバタイジングキャンペーンで配布

Zscaler – April 17, 2024

Zscalerの研究者は、MadMxShellと名付けられた新しいバックドアを確認した。MadMxShellはIPスキャナや、IT専門家が通常使用するほかのソフトウェアツールの偽サイトを通じて配布されている。脅威アクターはGoogle広告を悪用し、これらの有害サイトが検索結果の上位に来るように工作を行う。各サイトはソフトウェアの正規Webサイトに似せて作られているが、これらには、ダウンロードボタンをクリックすると悪質なファイルをダウンロードするようユーザーをリダイレクトするJavaScriptコードが追加されている。

新たな世界的キャンペーンSteganoAmor、TA558が関与か（CVE-2017-11882）

Positive Technologies – April 15, 2024

Positive Technologiesの研究者は、TA558との関連が指摘される進行中のグローバルキャンペーンSteganoAmorを分析した。中南米だけでなくロシア、ルーマニア、トルコ、およびその他の国々における、さまざまな分野の組織に対して行われた攻撃が320件以上確認されている。TA558はステガノグラフィーの手法を利用し、有害なコードを画像の中に隠してマルウェアを配布する。観測されたマルウェアはAgentTesla、FormBook、Remcos、LokiBot、Guloader、Snake Keylogger、XWorm。このキャンペーンでは、CVE-2017-11882を悪用したExcelファイルやWordファイルを添付したフィッシングメールが送りつけられる。

TA427、フィッシングキャンペーンで米韓の外交政策専門家に扮する

Proofpoint – April 16, 2024

Proofpointの研究者は、複数のメールフィッシングキャンペーンを分析した。このキャンペーンは、2023年から米国と韓国の外交政策に関する見識を持つ専門家を標的にしている北朝鮮の脅威アクターTA472との関連が指摘されている。TA427はドメインベースのメッセージ認証を悪用したり、タイポスクワッティングを行ったりするほか、私用のメールアカウントを装い、シンクタンクの労働者、学者、ジャーナリスト、政府関係者になりすます。

ここに掲載されている内容は、信頼できる情報源に基づいて作成されていますが、その正確性、完全性、網羅性、品質を保証するものではなく、Silobreakerはそのような内容について一切の責任を負いません。読者の皆様におかれましては、ここに掲載されている内容をどのように評価するかは、ご自身で判断していただく必要があります。