ロシア人アクセスブローカー、ウクライナを偵察しつつネットワークアクセスをランサムウェアギャングに販売

ロシア語圏の初期アクセスブローカー(IAB)に関連する露出サーバーから、世界中でランサムウェア侵入を助長すると同時に、ウクライナの防衛・航空宇宙分野を標的としたロシア国家寄りの諜報活動収集を支援する、大規模な作戦の実態が明らかになりました。

Antivirus& Malware

今回発見された証跡からは、インターネットに露出した機器の悪用を工業規模で行い、Active Directory環境への完全な侵害へとピボットし、その後下流の恐喝パートナーを通じてそのアクセスを収益化する一方、カメラ映像から得た情報を国家系バイヤーに個別に販売するという、成熟した大規模アクセスブローカー活動のパイプラインが浮かび上がりました。

エクスプロイトツールはCVEごとに整理され、標的リストは国別に分類されており、スキャン結果は「脆弱」「非脆弱」「到達不能」に振り分けられます。非脆弱と判定されたホストも再スキャンのために保持されており、これは期間限定のキャンペーンではなく継続的な作戦であることを示す証拠です。

チェックポイント機構が数十万件に及ぶ標的の進捗を追跡しており、持続的なスキャン、悪用、そして販売可能な足場の維持に最適化されたパイプラインであることがうかがえます。

このブローカーの作戦は、Fortinet、SonicWall、F5、Citrix、Sophos、SAP、Roundcube、vBulletin、Hikvisionといった広く導入されているエッジ機器やWebアプリケーションに焦点を当てており、少なくとも12件の異なるCVEと大幅にカスタマイズされたエクスプロイトツールキットを使用しています。

公開されている概念実証(PoC)エクスプロイトが大半を占めますが、FortinetとCitrixの主要なエクスプロイトはモジュール化されたフレームワークへと改造され、SSHキーの注入、VPNユーザーの作成、管理者向けバックドアの設置、大規模スキャンを自動化しており、これらすべてがロシア語のラッパーで包まれています。

この攻撃者はさらに、nuclei templatesリポジトリのローカルコピーと100個以上のカスタムテンプレートでこの武器庫を強化しており、その中には新たに公開された脆弱性やC2・情報窃取ツールのパネルを検出するものも含まれます。これは新規に開示された脆弱性を攻撃ワークフローへ迅速に組み込んでいることを示しています。

機器を侵害すると、このブローカーはエッジからコアへと素早く移動します。

カスタムの大規模スキャナーがF5 BIG-IPデバイスへの侵入に使われ、主に高等教育機関、さらに医療、金融、通信、政府機関の環境にあるロードバランサー上に管理者アカウントが作成されました。

内部へのアクセスはNeo-reGeorg Webシェルとソックス(SOCKS)トンネルを通じて確立され、その後Evil-WinRMを用いたNTLMベースの横展開によって武器化されます。最終的にはDPAPIバックアップキーの窃取、SAMおよびLSAのダンプ、krbtgtの侵害を経て、Active Directory環境の完全な掌握に至ります。

CloudSEKの研究者らによると、侵害されたディレクトリには2025年半ばから2026年後半にかけてのタイムスタンプ付きコマンドレベルの活動記録が残されており、事実上この攻撃者の作戦手引書兼キーストロークログとして機能しているとのことです。

10年単位の有効期間を持つ偽造Kerberosチケットの存在は、パスワードのリセットやエンドポイントの修復とは無関係に、この攻撃者が無期限の再侵入能力を維持できることを裏付けています。

ロシア人アクセスブローカーによるネットワーク販売

認証情報の窃取にとどまらず、このブローカーはバックアップやコンフィグレーションデータも組織的に略奪していました。窃取した認証情報を使ってクラウドバックアップリポジトリにアクセスし、復号したファイアウォールの設定アーカイブからは、複数の被害組織環境にわたって平文パスワード、証明書、秘密鍵が露出していました。

Datarecovery services

政府機関を標的とした事例ではファイアウォールの設定が丸ごと窃取され、テクノロジーや防衛関連のプロジェクトでは露出したバージョン管理システムを通じてソースリポジトリが抜き取られており、サプライチェーンへの波及リスクを高めています。

回収されたログは、アクセスの収益性が最も高まる段階で途切れており、自前の暗号化やデータリーク用インフラが登場する手前で終わっています。これは純粋な初期アクセスブローカーとしての性質と一致しています。

この攻撃者がネットワークを完全に侵害した複数の組織が、その後別々のランサムウェアグループのリークサイトに掲載されていました。侵害から恐喝までの間には数週間のタイムラグがあり、これは初期侵害から恐喝までの典型的な滞留期間と一致しています。

米国の医療機関Greater Pittsburgh Orthopaedic Associates(GPOA)は、このディレクトリ内で確認済みのドメイン侵害事例の一つとして記録されており、管理者権限の認証情報が窃取され、ドメインコントローラーからDPAPIバックアップキーが抽出されていました。

例えばGreater Pittsburgh Orthopaedic Associatesは、ブローカーが管理者権限の認証情報とDPAPIの機密情報を窃取するドメインの完全侵害を受けた後、2025年に発生したインシデントを経て、RansomHouseのリークサイトに掲載されました。

作戦後期の活動は、単なる商業的なアクセス販売とは一線を画しています。この攻撃者は、ウクライナの防衛・航空宇宙関連組織に対してSliver C2を展開し、ソースコードを窃取し、防衛分野の攻撃対象領域を洗い出し、エネルギー、通信、メディア、政府機関のドメイン全体にわたって持続的なアクセスを維持していました。

このディレクトリには、侵害されたIPカメラから得た数百枚のフレーム画像や、ウクライナの機密施設で露出していたRDPセッションのスクリーンショットも保存されていました。これは、ウクライナ軍関係者や軍事物資の所在特定を目的としたロシア国家関連のカメラ悪用について報告したオランダのAIVD/MIVDによる注意喚起の内容と符合するものです。

独自作成の証跡はすべてロシア語で書かれており、タイムスタンプはモスクワの夕方の時間帯に集中しています。さらに、この攻撃者が使用するWireGuardトンネルの終端は、ロシア国内の拠点と一致するインフラに位置しており、ロシア語圏の攻撃者であるとの評価に高い確度を与えています。

ランサムウェアのエコシステムに向けたアクセス販売の商業化と、ウクライナの防衛・重要インフラに対する極めて的を絞った情報収集活動という二重の性質は、ロシアが自国の情報機関単独に頼るのではなく、初期アクセスと情報収集の一部を犯罪の請負業者に外部委託しているという、これまで報告されてきた手口と一致しています。

Antivirus& Malware

IOC(侵害指標)

注: IPアドレスとドメインは、誤って名前解決やハイパーリンク化されるのを防ぐため、意図的に無害化表記（例: [.]）にしています。再度有効な形式に戻す作業は、MISP、VirusTotal、SIEMなど管理された脅威インテリジェンス基盤の中でのみ行ってください。

100万ドルのデータ侵害保証は本物の保護なのか？: 無料の「AI SOC侵害保証」10項目ガイドをダウンロード