AWS、ロシアのAPT29が使うドメインを差し押さえ

AWS、ロシアのAPT29が使うドメインを差し押さえ

SecurityWeek – October 25, 2024

クラウドサービス大手のAmazon Web Services（AWS）は24日、ロシアの脅威アクターAPT29がフィッシング攻撃に使用したドメインを差し押さえたと発表した。このフィッシングでは、Amazonとマイクロソフトサービスの統合などについて謳う偽メールを通じて、不正なリモートアクセスを可能にする有害なRDP構成ファイルが配布されていたという。

AWSによると、APT29が使ったドメインの一部にはAWSのドメインであることを示唆する名前がつけられていたものの、Amazonとその顧客の認証情報は標的にされなかったとのこと。その代わりにMicrosoftリモートデスクトップを介してWindowsの認証情報を収集することを目的とし、ウクライナやその他の国々の政府機関、企業、軍事組織がターゲットにされていたという。これらの攻撃に関する勧告を発行し、AWSに通知したウクライナのCERT-UAによると、このオペレーションが始まったのは今年8月のようだ。

APT29はロシア対外情報局（SVR）と関連がある同国の主要サイバースパイグループの1つで、Cozy Bear、Dukes、Nobelium、Yttriumとしても知られている。これまで多くの注目を集めた攻撃に関与しており、今年初めにはドイツの政党を標的にしていたことが報告されていた。最近もGoogleの研究者により、商用スパイウェアメーカーのNSO GroupとIntellexaが使用するエクスプロイトと同じ、または非常によく似たエクスプロイトを使っていることが確認されている。

ランサムウェアレポート無料配布中！

以下のバナーより、ランサムウェアのトレンドを扱ったSilobreaker社のレポート『2024 Ransomware? What Ransomware?』の日本語訳バージョンを無料でダウンロードいただけます。

＜レポートの主なトピック＞

• 主なプレーヤーと被害組織
• データリークと被害者による身代金支払い
• ハクティビストからランサムウェアアクターへ
• 暗号化せずにデータを盗むアクターが増加
• 初期アクセス獲得に脆弱性を悪用する事例が増加
• 公に報告された情報、および被害者による情報開示のタイムライン
• ランサムウェアのリークサイト – ダークウェブ上での犯行声明
• 被害者による情報開示で使われる表現
• ランサムウェアに対する法的措置が世界中で増加
• サプライチェーン攻撃を防ぐため、手口の変化に関する情報を漏らさず把握
• 複数の情報源と脅威インテリジェンスツールを活用することが依然不可欠