ロシア関連APTグループTurla、パキスタングループのサーバー利用しアフガンおよびインドの標的を狙う | Codebook|Security News
Codebook|Security News > Articles > Threat Report > ロシア関連APTグループTurla、パキスタングループのサーバー利用しアフガンおよびインドの標的を狙う

Threat Report

alphv

APT

BlackCat

ロシア関連APTグループTurla、パキスタングループのサーバー利用しアフガンおよびインドの標的を狙う

佐々山 Tacos

佐々山 Tacos

2024.12.05

12月5日:サイバーセキュリティ関連ニュース

ロシア関連APTグループTurla、パキスタングループのサーバー利用しアフガンおよびインドの標的を狙う

The Hacker News – Dec 04, 2024

ロシア連邦保安庁(FSB)との関連が指摘されるAPTグループTurlaが、パキスタンを拠点とするハッキンググループStorm-0156のC2サーバーを使ってアフガニスタンやインドのターゲットを狙っていたと、Lumen TechnologiesのBlack Lotus Labsとマイクロソフトが報告。Turlaはこれまでにも数回、別の脅威グループのツールを乗っ取って使用していた過去を持つ。

Turlaは、Secret Blizzard、Blue Python、Iron Hunter、Snake、SUMMIT、Uroburos、Venomous Bearといった呼び名でも知られるAPTグループ。30年近く前から活動しており、Snake、ComRAT、Carbon、Crutch、Kazuar、HyperStack、TinyTurlaといった高度なツールを使って政府、外交、軍事セクターの組織を主に標的にしてきた。一方でStorm-0156はスパイ活動をメインに行うことで知られるパキスタンのアクターで、アクティビティクラスタ「SideCopy」および「Transparent Tribe」との重複が指摘されている。

Black Lotus Labsによれば、同研究チームが2022年12月に初めて観測した攻撃において、TurlaはまずStorm-0156のC2サーバー1件へのアクセスを獲得。その後2023年中旬までに、Storm-0156に関連する多数のC2を支配下に置くようになったという。TurlaはこれらのC2を借用することで、Storm-0156によってすでに確立されていた侵害ルートを利用することに成功。こうしてアフガニスタン政府に関連するさまざまな標的のネットワーク内に自らのカスタムマルウェアTwoDashおよびStatuezyをデプロイする様子が観測されている。

マイクロソフトも自身のブログ記事の中で、TurlaによるStorm-0156 C2の利用について報告。Turlaが利用したStorm-0156のインフラには、Storm-0156がアフガニスタンおよびインドでの各キャンペーンで盗み取ったデータを照合するのに使っていたとされるインフラも含まれていたという。

ただ、Turlaがほかのグループのインフラやツールを悪用するのはこれが初めてではない。2019年10月には、イランのAPTグループ「OilRig」のC2インフラを使用していたことが英国・米国政府により明かされた。また2023年1月にMandiantが報告した内容によると、Turlaはコモディティマルウェア「ANDROMEDA」の攻撃インフラを使ってウクライナのターゲットへTurla自身の偵察用ツールを投下していたという。さらに2023年4月には、カザフスタンを拠点とするアクター「Storm-0473」のものとされるバックドアTomirisをTurlaが転用していた旨をカスペルスキーが報告している。

Turlaが別グループのインフラやツールを頻繁に利用していることについてマイクロソフトは、同グループが意図的にこの手法を自らの戦術および技術の一要素として取り入れていることを示唆している、と述べている。

米保険大手UnitedHealthcare社CEO、NYで射殺される

TechCrunch – December 4, 2024

12月4日(現地時間)、米国最大の保険プロバイダーUnitedHealthcare(ユナイテッドヘルスケア)社のCEOであるブライアン・トンプソン氏がニューヨーク市内で射殺されたとの報道。

トンプソン氏は4日水曜日の早朝、マンハッタン・ミッドタウンで、同社の年次投資家会議のためにニューヨーク・ヒルトン・ミッドタウンに向かって歩いていたところを撃たれ、死亡したとされる。メディアの報道によると、射撃犯はトンプソン氏を待ち構えていたと思われる覆面をしたガンマン。この人物はおよそ3メートル離れた地点から発砲し、その後自転車で逃走したという。犯人の動機などは現時点で不明だが、報じられているところによると犯行は計画的なものだった模様。

UnitedHealthcare社の親会社は、世界最大のヘルスケア企業であるUnitedHealth Group(ユナイテッドヘルス・グループ)。UnitedHealth Groupおよびその子会社のヘルステック企業Change Healthcareは今年2月にBlackCat/ALPHVランサムウェアグループによるものとみられるサイバー攻撃を受け、1億人分超の保健情報が盗まれたことを公表していた。ただ、今回のトンプソン氏射殺とサイバー攻撃被害との関連性は不明。

【無料配布中!】ランサムウェアレポート&インテリジェンス要件定義ガイド

ランサムウェアレポート:『2024 Ransomware? What Ransomware?』

以下のバナーより、ランサムウェアのトレンドを扱ったSilobreaker社のレポート2024 Ransomware? What Ransomware?の日本語訳バージョンを無料でダウンロードいただけます。

<レポートの主なトピック>

  • 主なプレーヤーと被害組織
  • データリークと被害者による身代金支払い
  • ハクティビストからランサムウェアアクターへ
  • 暗号化せずにデータを盗むアクターが増加
  • 初期アクセス獲得に脆弱性を悪用する事例が増加
  • 公に報告された情報、および被害者による情報開示のタイムライン
  • ランサムウェアのリークサイト – ダークウェブ上での犯行声明
  • 被害者による情報開示で使われる表現
  • ランサムウェアに対する法的措置が世界中で増加
  • サプライチェーン攻撃を防ぐため、手口の変化に関する情報を漏らさず把握
  • 複数の情報源と脅威インテリジェンスツールを活用することが依然不可欠

インテリジェンス要件定義に関するガイドブック:『要件主導型インテリジェンスプログラムの構築方法』

以下のバナーより、優先的インテリジェンス要件(PIR)を中心とした効果的なインテリジェンスプログラムを確立するためのポイントなどを解説したSilobreaker社のガイドブック要件主導型インテリジェンスプログラムの構築方法の日本語訳バージョンを無料でダウンロードいただけます。

<ガイドブックの主なトピック>

本ガイドブックでは、優先的インテリジェンス要件(PIR)の策定にあたって検討すべき点と、PIRをステークホルダーのニーズに沿ったものにするために考慮すべき点について詳しく解説しています。具体的には、以下のトピックを取り上げます。

  • 脅威プロファイルの確立
  • ステークホルダーの特定・分析
  • ユースケースの確立
  • 要件の定義と管理
  • データの収集と処理
  • 分析と生産
  • 報告
  • フィードバック
  • 実効性の評価

Special Feature特集記事

Cyber Intelligenceサイバーインテリジェンス

Security情報セキュリティ