ブラジル発のバンキング型トロイの木馬、ポルトガルで活発に拡散

古くから存在するブラジル発のバンキングマルウェアが、現在もポルトガルの組織を狙った攻撃で活動を続けています。

「Lampion」——日本の紙提灯にちなんで名付けられたこのバンキング型トロイの木馬は、バンキング型トロイの木馬がサンバ音楽と同じくらい文化的に根付いているブラジルで生まれたとされています。初めて発見されたのは2019年末の年末年始の時期で、それ以来ポルトガルの組織側がハッカーに大幅な改変を強いるほどの対策を講じてこなかったこともあり、Acronisの研究者らは、これが今も現在進行中の攻撃で使われていることを突き止めました。しかも、そのほとんどが数年前とほぼ同じ形のままです。

Lampionによる新たなバンキング攻撃キャンペーン

Lampionによる攻撃は、これまでほぼ一貫して、何らかの金融機関や行政機関を装ったフィッシングメールから始まっています。その歴史のほぼ全期間を通じて——古くは2019年から、最近では2025年まで——攻撃者はポルトガルの税関当局を装い、被害者に対して政府への未納債務に関する何らかの問題が生じているかのように見せかけてきました。

Acronisが観測した今回進行中のキャンペーンでは、攻撃者はポルトガル国内の民間企業を装う手口を選び、被害者に対して金融あるいは行政上の未処理の問題があるかのように警告するメールを送りつけています。あるフィッシングメールのテンプレートでは、攻撃者は自動車関連の書類手続きを扱う機関を装い、被害者が行ったとされる架空の取引に関する偽の電子領収書を送りつけていました。メールには、なりすまし対象のブランドに関連する本物そっくりのアイコンや情報が満載されているだけでなく、機密保持に関する通知や、SNSリンク付きのメール署名まで用意されています。

この誘い文句に引っかかった被害者は、最終的にzipファイルをダウンロードすることになります。展開すると、ポルトガルで最もよく知られたインターネットポータルであるSAPOを模したWebページが表示されます。その裏側では、後続のVBSスクリプトを実行するための準備が進められており、これがスケジュールタスクを通じて永続化を確立し、リモートの指令サーバー(C2)に接続した上で、その他さまざまな後処理を実行します。Lampionによる攻撃に一貫して見られる特徴の一つは、基本的なマルウェア検知を回避するために、あらゆる場所で不器用ともいえる難読化手法が多用されている点です。

感染チェーンの最後には、ダイナミックリンクライブラリ(DLL)が待ち構えており、これが主要な遠隔操作型トロイの木馬(RAT)として機能します。これまでの報告によれば、Lampionはポルトガルの銀行のWebサイトに偽のオーバーレイを注入して被害者の認証情報を盗み出すほか、被害者が使用する端末やブラウザに関する情報など、標準的で有用な偵察データもさまざま収集できるとされています。

AcronisのシニアリサーチャーであるJozsef Gegeny氏は、Lampionが作られてから7年が経つ今もなお、「攻撃者はほとんど変わらない手法を使い続けている。それには理由がある。こうした手法が引き続き成果を上げるのであれば、根本的に作り直すインセンティブはほとんど生まれない」と認めています。

同氏の見解では、「Lampionが長く生き延びていることは、一部のATT&CKモデルが驚くほどの回復力を持っていることを示しています。成功のために必ずしも画期的な革新が必要なわけではなく、対象環境の変化に合わせて少しずつ適応していくだけで十分な場合もあるのでしょう」と述べています。

ブラジルがポルトガルにもたらす脅威

Lampionによる攻撃は、これまで常にポルトガルを極めて集中的に狙ってきており、それは現在も変わりません。最近の攻撃のうち実に96.4%がこの一国に集中しており、残りのわずかな攻撃がスペインとイギリスに及んでいるにすぎません。これは、攻撃者が対象を絞った攻撃を関係のない地域に漏らさないよう、ジオフェンシング技術を利用していることをうかがわせます。

これは、世界的なサイバー脅威の状況においてポルトガルが置かれている特有の不利な立場を物語っています。ブラジルは世界でも有数の活発なサイバー犯罪シーンを抱えており、ポルトガルは、ブラジルのハッカーとほぼ同じ母語を話す数少ない国々の中で2番目に大きな国です。そのため、多くの攻撃が自然とポルトガルに流れ込む構図になっています。

Acronisの脅威インテリジェンス調査責任者であるSantiago Pontrioli氏は、サンパウロで開催された「You sh0t the Sheriff」カンファレンスで、ある年にブラジルの脅威アクターの動機について学んだ経験を振り返ります。「今も強く印象に残っているコメントがあります」と同氏は語ります。「彼らはブラジル国内に非常に大規模な犯罪エコシステムを抱えているが、法執行機関の目を逃れるため、通常はブラジル国外の被害者を標的にしていると話していました」。

「彼らはまず同じ言語を話す国々——つまりポルトガル、アンゴラ、ジンバブエ——を標的にし、その後スペイン語圏の国々に矛先を向けます。ただし、警察が実際に対処するのを難しくするため、あくまでブラジル国外で活動しようとします。なぜなら、ポルトガルを標的にすればインターポールを巻き込む必要が出てくるからです。複数の機関が複数の国にまたがって捜査を行うことになれば、それだけ行政上の手続きが煩雑になり、警察が実際に彼らを摘発するのがより難しくなることを、彼らはよく分かっています」と同氏は説明します。

この傾向はデータにも表れています。リスク管理会社Marsh Riskが実施した「ポルトガル企業のリスクに対する見方」と題する調査によれば、サイバー攻撃は2026年、ポルトガルの組織にとって最大のリスクとなりました。この調査が12年にわたって実施されてきた歴史の中で、サイバーリスクが政治的・社会的不安定さといった従来型のリスクを上回ったのは今回が初めてです。

ブラジルの脅威アクターは「すでにインフラを整え、ビジネスモデルも確立しており、ポルトガルは彼らにとって最も狙いやすい標的になっている」とPontrioli氏は述べます。「そこが肝心な点です」。