ロシア軍のハッカー、採用担当者を装いウクライナのIT技術者を標的に

ロシア軍情報機関に関連するハッカーが、採用担当者になりすましてウクライナのIT技術者を騙し、悪意あるソフトウェアをインストールさせていたことが研究者らの調査で明らかになりました。

ウクライナのコンピュータ緊急対応チーム(CERT-UA)は土曜日、この作戦が少なくとも5月から続いており、ロシアのGRU軍事情報機関に関連する悪名高いハッキング集団Sandwormと結びついていると発表しました。

この作戦は主にシステム管理者やその他のIT専門職を標的にしています。CERT-UAによると、ハッカーはウクライナの正規求人サイトで標的候補を探し出し、履歴書を確認したうえで、IT企業の採用担当者を装って本人に接触するとのことです。

同機関が調査したある事例では、攻撃者はAtlas Business Groupという採用会社の代表を名乗り、正規の国際的なITサービス企業の一部門であるSopra Steria Bulgariaに関わるプロジェクトのために人材を募集していると標的候補に伝えていました。

求人サイト内蔵のチャット機能を通じて最初の接触を図った後、自称採用担当者らは会話をTelegramへと移しました。そこでは偽の人事担当者が初期選考を行い、希望する勤務形態や英語力について通常の質問を投げかけていました。

その後、候補者はZoom面接に招かれ、そこには30代前半から半ばに見える英語を話す男性が登場しました。同機関は、この面接に登場した人物が本作戦の実在の関与者だったのか、それともAIが生成した架空の人物だったのかについては言及していません。

採用プロセスが進む中、ハッカーは技術面接だと称する指示をメールで候補者に送付しました。調査によると、被害者は試験課題を完了するため、正規のオープンソースVPNプロトコル・ソフトウェアであるWireGuardを使って企業ネットワークに接続するよう指示されていました。

送信元のメールアドレスは、Sopra Steriaの地域オフィスのものに似せて作られていました。

候補者が提供されたファイルを使って接続を試みると、エラーが発生しました。すると自称採用担当者は、SopraVPNという独自開発のVPNアプリをダウンロードするよう指示しました。このアプリはソフトウェア配布プラットフォームのSourceForge上でホストされており、同社の公式サイトに見せかけて作られたウェブサイトからリンクされていました。

SopraVPNのインストールこそが、被害者のコンピュータを侵害する上での決定的な段階だったとCERT-UAは述べています。

ハッカーは正規のWireGuardオープンソースコードを用いてこのアプリケーションを作成しましたが、被害者のデバイス上で悪意あるコマンドを密かに実行できるよう改変を加えていました。一部のコマンドは暗号化された上でVPN設定ファイルに埋め込まれており、簡単な検査では見つけにくくなっていました。

CERT-UAは標的にされた人数や、ハッカーの最終的な目的については明らかにしていません。自称Atlas Business Group採用担当者が使用していたTelegramアカウントは本稿執筆時点でもアクセス可能でしたが、関連する求人広告は削除されていました。

Sandwormは、研究者の間ではAPT44やSeashell Blizzardとしても追跡されているグループで、10年以上にわたり活動を続けており、ウクライナの電力網への攻撃をはじめ、ロシアによる破壊的なサイバー作戦の数々の主犯とされています。

標的とするシステムへのアクセスを得る手段として偽の採用キャンペーンを利用しているのは、このグループだけではありません。

西側の情報機関はこれまでにも、中国の情報将校がプロフェッショナル向けSNSや求人プラットフォーム上で採用担当者やコンサルタントを装い、機密情報にアクセスできる政府・軍関係者らに接触していると警告してきました。

北朝鮮のハッカーも、認証情報や暗号資産を窃取したり、テクノロジー企業の従業員を侵害したりすることを狙ったキャンペーンで、採用担当者に繰り返しなりすましてきました。また別の作戦では、北朝鮮のIT技術者が偽の身元を使って海外企業への就職を試み、平壌(ピョンヤン)への資金獲得を図る事例も確認されています。