Eagle Werewolfとしても知られるArmored Likhoが、ロシア国内の個人・組織を標的とする新たなサイバースパイキャンペーンを開始しました。
同グループは偽の寄付アプリケーションを餌に使いましたが、より大きな懸念は最新のマルウェアツールキットにあります。攻撃者はTelegramのセッションデータを窃取し、メッセージやメディアを収集し、さらに感染したWindowsシステムから密かに音声を録音することが可能です。
2026年5月に観測されたこのキャンペーンは、一般ユーザーに加え、公共部門、IT、教育、大企業などの組織にも影響を及ぼしました。
研究者たちは、コードの共通性、暗号化手法、インフラのパターン、デバイス識別ロジックなどから、この活動を以前のArmored Likhoの活動と関連付けています。
初期感染は、Tauriフレームワークで構築された悪意あるRustベースのアプリケーションから始まります。このアプリはロシアの財団と連携した寄付サービスを装っています。
アプリケーションはログイン画面を表示し、被害者にパスワードの入力を求めます。このパスワードはおそらく攻撃者から提供されたものとみられます。正しいパスワードが入力されると、リモートサーバーから取得した寄付アイテムのカタログが表示され、アプリが正規のものであるかのように見せかけます。
被害者が偽のカタログを閲覧している間、ドロッパーは静かに次段階のペイロードを復号して起動します。研究者は、このツールキットに含まれる2つの主要なRustベースのインプラント、Still SyncとStill Audioを特定しました。
Still Syncは、Telegram Desktopのセッションデータ、特にtdataフォルダを狙って窃取するよう設計されています。これにより攻撃者は、アカウントのパスワードや新たなログインコードを必要とせずに、被害者のTelegramアカウントへの継続的なアクセスを得ることができます。
このマルウェアはまず、感染したマシンをコマンド&コントロール(C2)サーバーに登録します。
マザーボードのシリアル番号、CPU ID、システムUUID、BIOSシリアル番号、コンピュータのドメイン名など、システムの詳細情報を収集します。これらの値は組み合わされたうえでSHA-256によりハッシュ化され、システムを一意に識別するマーカーとして使用されます。
登録後、サーバーはマルウェアの動作を制御する命令を送信します。Telegramデータの拡張検索を有効化したり、セッションファイルを収集したり、Telegramのチャットにアクセスしたり、メディアをダウンロードしたりすることが可能です。
Still Syncは、標準的なTelegram Desktopのパス、Microsoft Storeのインストールフォルダ、そして場合によってはディスク上のより広範な場所までチェックします。
このインプラントは、ファイルアクセス制限の回避も試みることができます。保護されたファイルにアクセスするために、Windowsのシャドウコピーサービスやロボコピーのバックアップモードといった、バックアップ関連の技術を利用します。
Telegramのセッションデータを取得すると、Telegram APIを使ってアカウント情報、プライベートチャット、グループやチャンネルの情報、メッセージ、連絡先、ドキュメント、写真、スタンプ、そして250MB未満のその他のメディアファイルを抽出できます。
これにより攻撃者は、単純な認証情報窃取能力をはるかに超える手段を手にすることになります。securelistは、これが侵害されたメッセージングアカウントからの継続的な情報収集への道を開くものだと述べています。
注: IPアドレスおよびドメインは、意図せぬ名前解決やハイパーリンク化を防ぐため、意図的に無害化表記([.]等)を施しています。再度有効な形式に戻す作業は、MISP、VirusTotal、あるいは自組織のSIEMなど、管理された脅威インテリジェンスプラットフォーム内でのみ行ってください。
ANY.RUNのブラウザ内データ検査機能で、検知・調査・対応をより迅速に。フィッシングの可視性を完全に確保し、SOCの強化とMTTR短縮を実現しましょう
翻訳元: https://cyberpress.org/likho-abuses-github-c2/
