Operation AkaiRyū：大阪万博をルアーに使うMirrorFace APTのスパイオペレーション

nosa

2025.03.21

ウィークリー・サイバーラウンド・アップ

MirrorFace APTの「Operation AkaiRyū」でカスタマイズされたAsyncRATの亜種とANELバックドアが活用される

ESET – March 18, 2025

APT（高度持続的脅威）アクターMirrorFace によるスパイ活動「Operation AkaiRyū」について、ESETの研究者が詳細を説明した。このキャンペーンは2024年第2、第3四半期に初めて検出され、2025年日本国際博覧会（大阪・関西万博）をルアーに使用。ターゲットは日本の研究機関と中央ヨーロッパの外交機関で、MirrorFaceがヨーロッパの組織を狙ったのはこれが初めてになる。同アクターはキャンペーンの一環として、AsyncRATのカスタマイズ版やANELバックドアなど新しいツールと技術を導入した。観察期間中には複数のスピアフィッシングキャンペーンが展開され、ユーザーを騙して初期アクセスベクターの有害な添付ファイルやリンクを開かせようとする試みが見受けられたほか、McAfeeとJustSystemsのアプリケーションを悪用したANELバックドアのサイドローディングも行われている。

ルートキット「r77」を拡散するソーシャルエンジニアリングキャンペーン「OBSCURE#BAT」

Securonix – March 13, 2025

ユーザーを騙して高度に難読化されたバッチスクリプトを実行させ、ユーザーモードルートキット「r77」を配布する進行中のソーシャルエンジニアリングキャンペーン「OBSCURE#BAT」をSecuronixの研究者が分析した。主なターゲットは英語圏の個人で、攻撃者のインフラは米国にあることが示唆されているほか、テレメトリのデータにはカナダ、ドイツ、英国のものもある。r77はクリップボードとコマンド履歴を監視し、それらを隠しファイルに保存して抜き出している。このマルウェアは正当なソフトウェアのダウンロードに偽装して、あるいはClickFix手法を使用した偽CAPTCHAを介して配布され、侵入に成功すると正当なファイルと有害なバッチファイルを含むZIPファイルがダウンロードされる。

Microsoft 365インフラをBEC攻撃に悪用するフィッシングキャンペーン

Guardz – March 13, 2025

Guardzの研究者により、Microsoft 365のインフラストラクチャを悪用して認証情報の収集やアカウント乗っ取りを試みる非常に巧妙なフィッシングキャンペーンが発見された。このキャンペーンでは、正当なMicrosoftドメインとテナントの設定ミスを利用してビジネスメール詐欺（BEC）攻撃を実行。信頼されたサービスが生成したEメールも活用し、完全にMicrosoftのエコシステム内で実行されるため、脅威アクターは検出を回避しつつ、信頼性の高いフィッシングルアーを配布できる。感染チェーンには6つのフェーズがあり、脅威アクターが複数のMicrosoftテナントを登録または制御することからスタートする。これらのテナントは不正な購入、ブランドのなりすまし、中継ポイントとしての機能など、悪意のあるさまざまな目的で使用されている。最終フェーズではフィッシングメールに記された偽のサポート番号を介し、攻撃者が標的の被害者とやり取りを行う。

ペイメントデータを盗むフィッシングキャンペーン、健康に関する懸念や製品をルアーに使用

JUMPSEC – March 13, 2025

JUMPSECの研究者は、健康への懸念を悪用してペイメントデータを盗む多段階のフィッシングキャンペーンを観察した。フィッシングメールには健康促進に役立つ製品を提供している旨が記されると共に、被害者を「ユーザーが人間であることを確認」する検証ページへ誘導するリンクを掲載。この検証プロセスを完了すると、被害者は正規のオンラインストアに見せかけたショッピングサイトにリダイレクトされる。同サイトでショッピングカートに商品を追加しようとすると、被害者はClickBankマーケットプレイスでホストされている支払いページに飛ばされ、正当な購入手続きと勘違いしてペイメントデータを入力させられる。研究者は同様の攻撃チェーンに従い、同じフィッシングドメインから発信されたほかのフィッシングメールも複数特定した。

ここに掲載されている内容は、信頼できる情報源に基づいて作成されていますが、その正確性、完全性、網羅性、品質を保証するものではなく、Silobreakerはそのような内容について一切の責任を負いません。読者の皆様におかれましては、ここに掲載されている内容をどのように評価するかは、ご自身で判断していただく必要があります。