ANY.RUNの専門家が調査した最近の攻撃で、攻撃者が20以上の乗っ取られたブラジル政府のウェブサイトを悪用し、銀行組織を標的とするキャンペーンを支援していた実態が明らかになりました。
信頼された公共部門のインフラの陰に隠れることで、PhantomEnigmaは悪質な活動を検知しにくくし、攻撃者に認証情報の窃取やアクセス拡大、事業への影響拡大のための時間的余裕を与えていました。
認証情報の窃取はPhantomEnigmaキャンペーンの中でも特に危険な要素です。単一のユーザーやデバイスにとどまらず、被害が急速に拡大しかねないためです。
意思決定者にとって主な懸念は、窃取された認証情報そのものだけではなく、それが事業運営全体にどのような影響を及ぼしうるかという点にあります。
PhantomEnigmaが特に危険なのは、一見信頼できそうなインフラの背後に身を隠している点です。
これにより検知が遅れ、攻撃者は窃取した認証情報を悪用する時間を稼ぎ、結果として対応コストの増大を招く可能性があります。
ANY.RUNが調査したタイムラインからは、PhantomEnigmaが主に2つの方向で進化してきたことが分かります。
配信手法:本キャンペーンは、2025年の銀行を狙った活動から、2026年には侵害された.gov.brのウェブサイトやメールアカウントを悪用する手法へと移行しました。
これにより攻撃者は被害者へのより信頼性の高い経路を得ることができ、悪意あるリンクやメッセージが不審に思われにくくなりました。
攻撃手法:PhantomEnigmaはブラウザ拡張機能型のバンキングマルウェアから、アクセスの維持、JavaScriptの実行、追加ペイロードの配信が可能なモジュール式のInno/Node.jsバックドアへと進化しました。
セキュリティチームにとって、この組み合わせは深刻な可視性の欠如を生み出します。信頼されたインフラは評判ベースの制御を弱め、モジュール式ペイロードは感染後に変化しうる上、C2ドメインのローテーションによって静的なブロックリストはすぐに陳腐化してしまいます。
そのため、キャンペーンがより大規模なインシデントに発展する前に検知するには、行動分析と継続的な脅威監視が不可欠です。
ANY.RUNのようなインタラクティブサンドボックスで不審なメール、リンク、ファイルを検証することで、感染チェーンの全容が可視化されます。
アナリストは、最初のリダイレクトからバックドアの実行、永続化、ネットワーク活動、そして第2段階のペイロード配信に至るまで、各段階を追跡できます。
実際の事業リスクは、バックドアが有効化された時点から本格化します。窃取された認証情報と永続的なアクセスは、不正行為や機密データの漏洩、重要業務の停止、さらには社内システム全体への侵害拡大を招く恐れがあります。
検知の遅れは調査・復旧コストの増大にもつながる一方、規制当局からの圧力や風評被害によって、影響は最初に感染した1台のデバイスをはるかに超えて広がる可能性があります。
ANY.RUNのインタラクティブサンドボックスを使えば、セキュリティチームは不審なファイルやリンクが実際に何を行うのか——ドロップされるファイル、永続化の仕組み、ネットワーク活動、第2段階のペイロードまで含めて——を把握できます。
この包括的な挙動の可視化は、サンプルが「クリーン」と判定されながらも悪意あるインフラとの通信を続けているようなケースで特に重要になります。
SOCのリーダーにとってのメリットは実務的なものです。死角が減り、意思決定が速まり、別々のシステムで同じ調査を繰り返す手間も減らせます。
チームは1件あたり最大21分の対応時間短縮を実現でき、SOCの効率を最大3倍向上させることができます。
個々のアラートが大規模なインシデントに発展するのを待つのではなく、アナリストは早期に悪意ある挙動を確認し、不正行為やデータ漏洩、業務停止に至る前に脅威を封じ込めるための根拠を意思決定者に提供できます。