SuperCard Xキャンペーンが新たなNFCリレー攻撃を採用　不正なPOS決済やATM引き出しが可能に

nosa

2025.10.20

ウィークリー・サイバーラウンド・アップ

SuperCard Xキャンペーンが新たなNFCリレー攻撃を採用　不正なPOS決済やATM引き出しが可能に

Cleafy – April 18, 2025

SuperCard Xと称される新型AndroidマルウェアキャンペーンをCleafyの研究者が特定した。NFCリレー攻撃の新たな技術を利用したSuperCard Xキャンペーンは、脅威アクターによる不正なPOS（Point of Sale、販売時点情報管理）決済やATMでの引き出しが可能になる。このキャンペーンでは侵害されたデバイスから送られるNFCを傍受・中継し、ソーシャルエンジニアリングの手法を用いてマルウェアを拡散する。具体的には被害者を欺いて悪意のあるアプリをインストールするように仕向け、マルウェアに感染したスマートフォンにクレジットカードなどを「タッチ」させる手法である。まず、攻撃者は処理中の疑わしい決済に関する銀行のセキュリティ通知を装ったSMSやWhatsAppのメッセージを通じて、取引を中止するために特定の番号へ電話をかけるよう被害者に促す。その後は電話指向型攻撃配信（TOAD）のシナリオに従い、被害者にクレジットカードを「リセット」または「認証」し、利用限度額の上限を取り払うよう指示してカード情報を侵害。続いて被害者に有害なアプリをダウンロードさせ、感染した端末にデビットカードやクレジットカードを近づけることを求める。この時にマルウェアがカード情報を窃取し、攻撃者のC2サーバーに情報を送信する。

ロシア関与の疑いがあるキャンペーン、Microsoft OAuthの正規ワークフローを悪用

Volexity – April 22, 2025

2025年3月以降、ロシアの脅威アクターに関連していると思わしき複数のキャンペーンをVolexityの研究者が観測した。これらのキャンペーンは、使用される手法がデバイスコードの認証を使ったフィッシングから、Microsoft OAuth 2.0の正規ワークフローを悪用する新たな技術に移行したことを示唆している。標的はウクライナや人権問題に関わる人物と団体で、ウクライナ・ブルガリア・ルーマニア・ポーランド・EU・北大西洋条約機構の職員を装って攻撃を実施。通常はSignalやWhatsAppでの連絡が初期攻撃ベクターとなっている。観測されたキャンペーンの多くはUTA0352によるものとされるが、UTA0355の関与が特定された別のキャンペーンでは、盗んだOAuth認証コードを利用して被害者のMicrosoft Entra IDに新たな端末を永続的に登録している。

Booking[.]comを装ったフィッシングキャンペーン、ClickFix技術を用いてAsyncRATをインストール

HackRead – April 21, 2025

偽のBooking[.]comメールを使い、ホテルスタッフを狙った新たなフィッシングキャンペーンについてHackReadの研究者が警告した。このキャンペーンはClickFixソーシャルエンジニアリングの手法で被害者を騙し、有害なコマンドを実行させて最終的にAsyncRATをインストールさせるもの。攻撃はBooking[.]comを装ったフィッシングメールから始まり、その文面には宿泊客が大切な私物を置き忘れた経緯と、ホテルマネージャーに宿泊客情報を確認するボタンとされるものをクリックするよう促す内容が記されている。リンクをクリックすると偽のCAPTCHAページにリダイレクトされ、有害なコマンドを貼り付けてAsyncRATを手動で実行するよう誘導される。

詐欺キャンペーン「PointyPhish」と「TollShark」が活動拡大

CTM360 – April 15, 2025

CTM360の調査により、世界中で5,000以上のフィッシングドメインを司るSMSベースのフィッシングキャンペーン「PointyPhish」と「TollShark」の活動拡大が確認された。これらの詐欺キャンペーンは銀行や有料道路管理組織など信頼できるブランドを装い、緊急メッセージを用いてターゲットを欺くことにより、偽のランディングページで個人情報や金銭関連情報を入力させようとする。活動の大幅な増加は、アジア太平洋地域や北米、中東、ヨーロッパで確認された。PointyPhishは3,000以上のドメインとフィッシングサイトを利用し、ポイント還元詐欺の形で決済情報を窃取。TollSharkは2,000を超えるドメインとフィッシングサイトと連携し、通行料の未払い通知を装った不正メッセージで通行料金詐欺を働く。

Willoキャンペーン、GopherGrabberマルウェアで暗号資産業界を標的に

S2W – April 21, 2025

TraderTraitorのフィッシング攻撃とみられるWilloキャンペーンについて、S2Wの研究者が詳細を報告した。2024年12月以降に観測された同キャンペーンは暗号資産業界の従業員を標的とするもので、LinkedInを通じた求人情報の提供や、ビデオ面接プラットフォームWilloを装ったフィッシングページの作成、あるいはGitHubのIssueページからマルウェアをダウンロードするためのコマンドを実行させるといったソーシャルエンジニアリングの手法が使われている。また、GopherGrabberマルウェアの使用も主な特徴で、この有害なコードはバックドアやスティーラー、C2機能を備え、Goプロジェクトの形式で直接実行可能なソースコードとして配布される。このGopherGrabberに関連する有害なパッケージは、2024年6月に公式のnpmリポジトリを介して初めて配布。2024年7月には「Versus X」というプログラムのインストールファイルとしても拡散された。