UNC6040のビッシングキャンペーン、Salesforceインスタンスから認証情報を窃取

nosa

2025.06.06

ウィークリー・サイバーラウンド・アップ

UNC6040のビッシングキャンペーン、Salesforceインスタンスから認証情報を窃取

Google – June 5, 2025

Googleの研究者により、脅威アクターUNC6040の詳細が明らかにされた。UNC6040は金銭的な利益を動機にする脅威クラスターで、Salesforceインスタンスへの侵入を目的としたビッシングキャンペーンを専門にしている。ITサポート担当者になりすまして従業員を騙し、Salesforceのデータローダーの有害バージョンをインストールさせ、機微性の高い認証情報を開示させる手口だ。これらの認証情報はラテラルムーブメント（横方向の移動）に加え、Oktaやマイクロソフトなどほかのクラウドプラットフォームからデータを盗むために使われる。また、最初の侵入活動から数か月後に恐喝活動が確認されるケースもあり、盗まれたデータを金銭化する別の脅威グループと連携している可能性が示唆されている。その他の侵入では、ハッカー集団「The Com」と重複するTTP（戦術・技術・手順）が使用されていた。さらに、UNC6040はハッカーグループShinyHuntersとのつながりを主張し、被害者への圧力を強める手段としているようだ。

UNC5792、スピアフィッシング攻撃にSignalメッセンジャーを使用　アルメニアの市民社会が標的に

CyberHUB – May 31, 2025

2025年3月初旬、UNC5792のスピアフィッシングキャンペーンをCyberHUBの研究者が発見した。アルメニアの市民社会および公共部門の個人や組織を標的としたこのキャンペーンでは、同国ハイテク産業省に勤務するとされる架空のペルソナ「Armine Poghosyan」からSignalでメッセージが送信される。このメッセージは世界とアルメニアの政治情勢に関する「情報プラットフォーム」に参加するようユーザーを誘導し、有害なリンクへのアクセスを促していた。Signalのメッセージに記されたURLは、分析を難しくするために有効期限を短く設定。標的となったユーザーがリンクの有効期限切れを攻撃者に伝えると、すぐに新しい有効なURLが送信される。

Glitchプラットフォームを悪用したフィッシング攻撃、米海軍連邦信用組合の会員狙う

Netskope – June 2, 2025

Netskopeの研究者は2025年1月から4月にかけて、Glitchプラットフォーム上で作成されたフィッシングページへのトラフィックが3.32倍に増加したことを確認した。このキャンペーンは830超の組織と3,000人以上のユーザーに影響を与えており、主に米海軍連邦信用組合の会員を標的として機微情報を盗み出している。攻撃者はGlitchの機能を悪用し、複数のプロジェクトにまたがるフィッシングページを無料でホストしていた。キャンペーンの半数はTelegramを悪用して被害者のデータを抜き出し、ワンタイムパスワード（OTP）を入手。一部の攻撃ではカスタムビルドのCAPTCHAテストを使い、被害者をフィッシングサイトにリダイレクトさせていた。また、決済ゲートウェイを模倣したフィッシングページでクレジットカード番号や電話番号を収集し、その後に被害者へOTPの入力を促すケースもある。

NetBirdを悪用する世界規模のスピアフィッシングキャンペーン、財務担当役員を攻撃

Trellix – May 28, 2025

2025年5月15日、Trellixの研究者はヨーロッパ、アフリカ、カナダ、中東、南アジアの銀行やエネルギー会社、保険会社、投資家企業の最高財務責任者や財務担当役員を標的としたスピアフィッシング攻撃を発見した。攻撃者はリモートアクセスツールNetBirdを悪用・展開して永続性を確立し、侵害したネットワークへさらに侵入することを目的としている。攻撃はロスチャイルド・アンド・コーの採用担当者を装ったフィッシングメールから始まる。メールにはPDFに偽装したフィッシングリンクが含まれていて、それをクリックするとFirebaseアプリでホストされているURLにリダイレクトされる。被害者はその後カスタムCAPTCHAへの解答を求められ、正しい答えを入力すると、展開後VBSスクリプトになるZIPファイルのダウンロードが始まる。VBSを実行すると2つ目のVBSが実行され、それぞれNetBirdとOpenSSHを含むMSIファイルが2つダウンロードされる。加えて、スクリプトは隠しローカルアカウントを作成し、無期限のパスワードを設定。スケジュールしたタスクによって感染デバイスが起動される度にNetBirdが再起動されるようにする。

ここに掲載されている内容は、信頼できる情報源に基づいて作成されていますが、その正確性、完全性、網羅性、品質を保証するものではなく、Silobreakerはそのような内容について一切の責任を負いません。読者の皆様におかれましては、ここに掲載されている内容をどのように評価するかは、ご自身で判断していただく必要があります。