中国のスパイ活動が疑われるキャンペーン、東南アジアの複数組織を標的に

nosa

2025.10.30

ウィークリー・サイバーラウンド・アップ

中国のスパイ活動が疑われるキャンペーン、ターゲットは東南アジアの複数組織

Symantec – December 11, 2024

東南アジアの有名組織を標的とし、2023年10月から進行中のスパイ活動がSymantecの研究者によって観測された。攻撃者はインテリジェンス収集を目的に、オープンソースとLiving-Off-The-Land（環境寄生型）のツールを併用。2024年6月から8月にかけて、ある組織のネットワーク上のマシン4台を侵害した。この攻撃はレジストリを変更する有害なPowerShellコマンドから始まり、続いてImpacketベースのリモートアクセスツールを使って有害なコマンドを追加で実行するもの。キーロガーやパスワードプロテクター、さらにRakshasa、Stowaway、ReverseSSHといったリバースプロキシツールも使用して永続性を維持し、DLLサイドローディングでログイン認証情報を傍受する。このキャンペーンで使われた複数のツールは、Earth Bakuなど中国拠点の脅威アクター数組に関連付けられている。

Gamaredon、BoneSpyとPlainGnomeスパイウェアで旧ソ連諸国を標的に

Lookout – December 11, 2024

Lookoutの研究者により、それぞれ「BoneSpy」「PlainGnome」と名付けられた2種類のAndroidスパイウェアファミリーが特定された。どちらも旧ソ連諸国をターゲットにしており、被害者はロシア語圏に集中している。これらのスパイウェアはロシアの脅威アクターGamaredonとの関連が疑われるもので、SMSメッセージや通話履歴などの機微データを収集するよう設計。監視ペイロードのドロッパーとして機能するPlainGnomeに対し、BoneSpyはスタンドアロンアプリケーションとして展開されている。BoneSpyは2022年1月から10月にかけて継続的に開発された後、複数のサンプルで同じコードの構造とルアーのテーマを使い始めた形跡が認められた。このマルウェアは主に、トロイの木馬化された機能的なTelegramアプリケーション（「ベータ版」と呼ばれている）を介して配布される。一方、2024年に初めて確認されたPlainGnomeも、BoneSpyと同様のルアーを使って配布されている。

Earth Koshcheiの関与疑われる不正なRDP使ったキャンペーン、ターゲットは複数部門に及ぶ

Trend Micro – December 17, 2024

トレンドマイクロの研究者は今年10月、重要部門を標的として不正なリモートデスクトッププロトコル（RDP）を使用する大規模なキャンペーンを観測した。攻撃ではRDPリレーや不正なRDPサーバー、RDPの有害な設定ファイルが使われ、データ漏洩やマルウェアのインストールにつながる危険性がある。キャンペーンの準備は今年8月〜10月にかけて行われ、10月22日には政府、軍、シンクタンク、学術研究者、ウクライナの標的など200ものターゲットに対してスピアフィッシングメールが送信された。これらのメールは受信者にRDPの不正な設定ファイルを使わせるもので、このファイルを開くと被害者のシステムが国外のRDPサーバーに接続される。攻撃者はまた、検知を回避するために匿名化レイヤーを使用し、PyRDPなどのレッドチームツールを使用してスパイ活動やデータの抽出を行っていた。このキャンペーンは、中程度の確度でEarth Koshcheiグループによるものだと評価されている。

HubSpotを悪用するフィッシングキャンペーン、ヨーロッパの各組織が使うMicrosoft Azureアカウントを標的に

Unit 42 – December 18, 2024

パロアルトネットワークスUnit42の研究者は今年6月、ヨーロッパの自動車、化学薬品、複合材料を製造する会社の少なくとも2万のユーザーを標的にしているフィッシングキャンペーンを発見した。このキャンペーンではHubSpotを悪用し、認証情報を盗むページにターゲットをリダイレクトさせると共に、標的のクラウドインフラMicrosoft Azureを乗っ取ることを最終的な目的としている。同キャンペーンは9月の時点でも引き続き実施されていた。攻撃ではHubSpot Free Form Builderのリンクを複数含むフィッシングメールを介し、DocusignのPDFと思しきものを送付。これまで少なくとも17件の有効なFree Formsが確認されており、それぞれにMicrosoft Outlook Web Appのランディングページに似せたものが含まれていた。これらは攻撃者が制御するさまざまなドメインに被害者をリダイレクトさせる役割を果たす。なおHubSpotのインフラ自体は侵害されておらず、上記のリンクもこのインフラを使って送られてはいない。