イランに紐づくAPT42、AI支援フィッシングとTAMECATバックドアで国防当局者を標的に

イランに紐づく脅威アクターAPT42が、AI支援フィッシングと機能拡張されたTAMECATバックドアを用いてスパイ活動を激化させています。単なるエンドポイント侵害にとどまらず、国防・政府関係者のIDそのものへ長期間アクセスし続けることを狙っているのです。

直近の攻撃活動では、ソーシャルエンジニアリング、クラウドサービスの悪用、ファイルレスのPowerShell手法が緊密に組み合わされており、検知や対応を著しく困難にしています。

CloudStorage

一部の報告ではTA453とも呼ばれるAPT42は、イランと関係の深い攻撃グループで、国防当局者や外交官、核関連の専門家といった高価値標的に対する認証情報窃取、スパイ活動、長期にわたるソーシャルエンジニアリングを専門としています。

その活動は、説得力のあるペルソナ、個人・法人双方のメールとWhatsAppを使った複数チャネルでの接触、そして段階的なフィッシングの流れに支えられており、大量送信型のスパムには依存していません。

本記事における「SpearSpecter」とは、2026年11月以降続いているキャンペーンを指し、国防・政府関係の要人やその家族の一部を標的に、認証情報の窃取とTAMECAT展開の両方の経路を用いています。

今、命名規則以上に重要なのは、帰属の境界線をどこに引くかという点です。本記事では、主たる攻撃者ラベルとしてAPT42を用い、TA453という呼称のもとで特に追跡されている活動についてはTA453、search-ms/WebDAV悪用とTAMECATを活用するキャンペーンについてはSpearSpecterという呼び方を使い分けています。

2026年に報告されたRedKittenをはじめとする他のイラン系「Kitten」クラスターについても、インフラやツール、オペレーターレベルでの強い重複が確認されない限り、安易にAPT42と同一視すべきではありません。

APT42は、標的の調査からペルソナやプリテキスト（口実）の構築、多言語ルアーの生成、マルウェアの開発・デバッグ・コード生成、さらにはエクスプロイト調査に至るまで、業務プロセス全体に生成AIを組み込んでいます。

これにより、文法やトーン、文化的な違和感といった従来型のフィッシングの手がかりが消え去り、プリテキストの真実味や関係構築の履歴、インフラそのものが検知の主戦場となりつつあります。

同グループの狙いはますますID中心へとシフトしており、単にホストにインプラントを仕込むだけでなく、クラウド・メール・VPNの認証情報やクッキーを窃取してアカウントやセッションを乗っ取ることに主眼が置かれています。

このシフトにより、幹部監視やブランドなりすましの捜索、類似ドメインの発見、認証情報漏洩の監視といった手法が、ハッシュ値のみに頼るフィードよりも有効になっています。ハッシュベースのフィードでは、キルチェーンにおけるソーシャルおよびクラウド層の動きを捉えられないためです。

SpearSpecterでは、TAMECATが完全に確立される前に相関する複数の挙動シグナルを生み出す、多段階のWindows配布チェーンが洗練されています。

標的はまず会議や会合の資料に見せかけた文書を受け取り、その後、細工されたブラウザページへと誘導され、そこからWindowsのsearch-ms URIハンドラーが呼び出される仕組みになっています。

DarkAtlasの研究者らによると、APT42と重なるTA453の活動として、ある米国のシンクタンクが実際にフィッシングの標的となった事例が確認されています。地域紛争が激化していた時期に、OneDriveでホストされた無害なPDFファイルから、攻撃者が管理するドメイン、さらにはNetlifyでホストされたOneDriveなりすましページへと段階的に誘導する手口が使われました。

エクスプローラーが開くと、rundll32.exeを経由してdavclnt.dllのDavSetCookie機能を呼び出し、攻撃者が管理するWebDAV共有へ接続します。

その共有にはPDFを装った.lnkショートカットファイルが置かれており、これを開くとcmd.exeが起動し、クラウドインフラからバッチローダーを取得するためのcurlコマンドを再構成・実行します。最終的には難読化されたPowerShellが実行され、TAMECATの大部分がメモリ上で動作する仕組みです。

CloudStorage

2026年4月下旬に確認された攻撃チェーンは、Document.pdf.lnk（SHA-256: 783a55c215ff18ea618f5a63936e08044448901096ee4de2d23fcda740abe104）を中心としており、cloudfilenow[.]online、107.189.25[.]18、synctimenow[.]orgの各所でホストされていました。

実行されると、このショートカットはpersonal-store[.]netlify[.]app/yo3uに対してn=88_&T=bgeuYESSというデータを密かに送信し、その応答をバッチファイルとして保存します。その後、無害に見えるOneDriveのおとりページを開き、以降のPowerShellタスクにおいてもprojects-shared[.]netlify[.]appとの通信でセッションキー「bgeu」を維持し続けます。

AI支援フィッシングを駆使するAPT42

TAMECATは、短期間で高価値なデータを盗み出すことに最適化された、モジュール式の監視・収集フレームワークへと進化を遂げています。最近確認されているモジュールは、ホスト・ネットワーク・プロセス・権限・セキュリティ製品の検出を担っています。

そのほか、%LOCALAPPDATA%\Caches以下での標的ファイルのクロールとステージング、ブラウザの認証情報・クッキーの窃取、Outlookの.ostメールボックスの収集、繰り返しのスクリーンショット取得、さらにHTTPS・Discord・Telegramの各APIを経由した分割アーカイブ形式でのデータ流出も行われます。

特にID防御の観点で危険なのがブラウザモジュールです。Microsoft Edgeを「–no-sandbox」および「–remote-debugging-port=9222」オプション付きで画面外に起動し、DevTools Protocolを使って復号済みのクッキーを取得できるほか、Sysinternalsの「PsSuspend」でChromeを一時停止させ、認証情報データベースをロック解除・コピーしてから解析することも可能です。

永続化・耐障害性のためのコンポーネントは、ハードコードされたシード値から予備ドメインを生成する仕組みを備えており（synctimenow[.]orgが実際に稼働しているのが確認されています）、さらにTelegramボットの設定やトークンも取得します。これにより、主要なNetlifyのエンドポイントが削除された場合でも、オペレーターは複数の復旧経路を確保できるようになっています。

防御担当者にとって最も重要な結論は、APT42が単一の革新的なインプラントを採用しているわけではなく、テレメトリ上で切り分けるのが難しい4つの層を融合させているという点です。すなわち、メールやWhatsAppを通じて長期間かけて構築される信頼関係。

ルアーやリダイレクト、ペイロードのステージング、C2通信のために正規クラウドサービスを悪用すること。ID中心の認証情報窃取。そして、ホストへのアクセスがリスクに見合う価値を持つ場合に限定的に用いられる、ファイルレスまたは痕跡の少ないPowerShellマルウェアです。

CloudStorage

効果的な検知のためには、単一の指標やOneDriveのブランドレベルでの一律ブロック、あるいはCloudflare、Discord、Telegramの遮断のみに頼るのではなく、ブラウザによるsearch-msの呼び出し、rundll32.exeからのWebDAVアクセス、リモートの.lnk実行によるcmd.exeの起動、curlによるダウンロード、そしてPowerShellのスクリプトブロックの挙動を相互に関連付けて分析する必要があります。

インシデント対応の観点では、TAMECATによる侵害が疑われる場合、パスワードのリセットだけではもはや不十分です。チームはアクティブなセッションを失効させ、リフレッシュトークンを無効化し、ブラウザに保存された認証情報やクッキーが再利用（リプレイ）されていないかを調査する必要があります。

エンドポイント、メール、IDに関するテレメトリは依然として不可欠です。外部の脅威インテリジェンスはインフラやプリテキストを明らかにできても、それだけではユーザーがルアーを開いたか、プロンプトを承認したか、セッションを窃取されたか、あるいはTAMECATを実行してしまったかまでは分からないからです。

侵害指標（IOC）

注: IPアドレスおよびドメインは、誤った名前解決やハイパーリンク化を防ぐため、意図的に無害化表記（例: [.]）としています。実際の値への復元は、MISP、VirusTotal、SIEMといった管理された脅威インテリジェンス基盤内でのみ行ってください。

𝗔𝗜 𝗦𝗢𝗖 𝘃𝘀 𝗠𝗗𝗥 𝘃𝘀 𝗠𝗦𝗦𝗣、2026年はどちらが優れているか？ コスト、自動化、対応力を比較: 無料ガイドをダウンロード