新興APT「CloudSorcerer」がロシア政府機関を標的に

新興APT「CloudSorcerer」がロシア政府機関を標的に

The Hacker News – Jul 08, 2024

これまで文書化されていないAPT「CloudSorcerer」がロシアの政府機関を標的に、クラウドサービスを使ってコマンド＆コントロール（C2）とデータ持ち出しを行っていることが観測された。

2024年5月にこの活動を発見したカスペルスキー社によると、CloudSorcererが採用した手法はCloudWizard APTと類似しているが、マルウェアのソースコードに違いがあるとのこと。このマルウェアは「Microsoft Graph、Yandex Cloud、Dropboxなどのクラウドインフラストラクチャを介し、ステルス監視やデータの収集、抜き取りを行うサイバースパイツール」と説明され、攻撃では革新的なデータ収集プログラムに加え、痕跡を隠すためのさまざまな回避戦術が用いられているという。

また、GitHubを初期C2サーバーとして活用し、認証トークンを使ってAPI経由でアクセスすることも確認されている。カスペルスキー社は「実行中のプロセスに基づいて動作を動的に適応させる機能と、Windowsパイプを介した複雑なプロセス間通信の使用により、その巧妙さが際立っている」と指摘した。なお、ターゲットへ侵入する際に使われる正確な方法は現時点でわかっていない。