GhostwriterハッカーがリアルタイムWebSocketリレーを悪用してSMSおよびOTP多要素認証を回避

GhostwriterまたはFrostyNeighborとして広く知られるUNC1151が、リアルタイムのWebSocketリレーを利用してSMSおよびOTPベースの多要素認証（MFA）を突破するクレデンシャル・フィッシング技術をさらに高度化させています。

この手法は、ベラルーシの政治家ユーリ・フバレビッチ氏と複数のウクライナのポータルサイトを標的にした最近のキャンペーンで確認されました。Censysによるピボット分析では、インフラが数十のドメインとIPにわたることが判明しており、孤立した政治的攻撃ではなく、広範かつ継続的なクレデンシャル収集作戦であることが示されています。

フィッシングの連鎖は、「不審なアクティビティ」を主張するGmailに似せた巧妙な誘い文句から始まり、ターゲットにアカウントの確認を促します。

リンクをクリックした被害者は、侵害されたウクライナのサイトを経由し、最終的にaccount[.]check-profile[.]digitalなどのドメインでホストされたフィッシングページに誘導されます。

これらのページはリアルなGoogleログインUIを模倣しています。被害者がクレデンシャルを入力すると、クライアント側のJavaScriptがwss://account-emails-verification[.]cc[.]cd/wsのようなバックエンドエンドポイントへのWebSocket接続を通じて、入力内容をリアルタイムで転送します。

このライブリレーは、被害者が入力したパスワードや、SMSワンタイムコード・認証アプリのOTPといった第2要素をリアルタイムで取得します。これにより、攻撃者は被害者が対応したりアクセスを失効させたりする前に、取得したクレデンシャルを使って正規のアカウントに即座にログインできます。

技術的には、WebSocketリレーは2つの防御上のギャップを克服しています。第1に、本来は非同期的なクレデンシャル収集（SMSで送られたコードが取得できない場合がある）を同期的なインターセプトに変換します。偽ページに入力されたコードは、攻撃者の制御するサーバーに即座に送信されます。

第2に、リアルタイムのセッションハイジャックを可能にします。被害者がフィッシングページにとどまっている間に、攻撃者が取得したユーザー名・パスワード・第2要素を正規のサービスに即座に送信してセッションを確立できるためです。

フォームのアクションURLやクレデンシャル送信ドメインのブロックリストに基づく単純なフィッシング対策のヒューリスティックは、ページが許可されたwss://エンドポイント経由でキーストロークをリレーし、インフラをCDNの背後に隠している場合には効果が低くなります。

SMSを回避するWebSocketリレー

CensysとResident.NGOの分析により、攻撃者の帰属特定と活動妨害に役立つ作戦上の技法が明らかになりました。攻撃者はmail-secure-login[.]digital、check-account[.]digital、account-protection-team[.]icuなど多数の類似ドメインをホストし、Bunny CDNやCloudflareを使用しているにもかかわらず、一時的に露出したオリジンIPにそれらのTLS証明書を配置していました。

account[.]check-profile[.]digitalの証明書の1つは45.194.44.44（Datagear、ポーランド）に解決可能であり、CDNの背後にあるオリジンが露見しました。

同じIPブロックと少数の他のホストは、ポート3001/3002で「VPS2 endpoint only for WebSocket」という異常なHTTPレスポンスを返しており、WebSocketベースのバックエンドの存在と一致していました。

Censysのピボット分析では、複数のIPにわたって同一のレスポンスボディとリンクされた証明書が発見され、多くのフィッシングドメインで使用されている集中型バックエンドインフラの存在が証明されました。

このキャンペーンでは、i-ua[.]cc[.]cd（I.UA）、bigmir-net[.]cc[.]cd（bigmir.net）、meta-ua[.]cc[.]cd（META.UA）、mail-alert[.]cc[.]cdなど、人気のあるウクライナのポータルサイトも偽装していました。

Resident.NGOのフバレビッチ氏への誘い文句に関するレポート、CERT Polskaのアドバイザリ、ESETの分析は、この攻撃者がポーランド・ベラルーシ・ウクライナへの標的設定を継続していること、そして2020年以降にわたるメディア侵害とクレデンシャル窃取の実績を裏付けています。

防御側はこのリアルタイムインターセプトベクターをブロックする対策を優先すべきです。より強力な対策としては、FIDO2/WebAuthnのフィッシング耐性認証器の強制適用、クレデンシャルだけでなくデバイスシグナルを要求する条件付きアクセス、新規セッション付与時の即時異常検知（位置情報・デバイスフィンガープリント）と不審なフローへの自動MFAプッシュブロックの組み合わせが挙げられます。

インフラ面では、防御側とレジストラはTLS証明書の大量発行パターン、非典型的なオリジンサーバー証明書の配置、非標準ポートでの異常なサービスレスポンスを監視すべきです（ポート3002のWebSocketシグネチャが有効であることが本件で証明されています）。

脅威ハンターはCensysの証明書ピボットを再現し、「VPS2 endpoint only for WebSocket」のボディハッシュを検索することで、追加の攻撃者インフラを発見できます。

侵害の痕跡（IoC）

注意： IPアドレスとドメインは、誤った名前解決やハイパーリンクを防ぐため、意図的にデファング処理（例：[.]）されています。MISP、VirusTotal、またはSIEMなどの管理された脅威インテリジェンスプラットフォーム内でのみリファング（元の形式に戻す操作）してください。