研究者らは、中国を拠点に活動する「雇われ」の高度標的型脅威(APT)グループを特定しました。このグループは国際的なサイバースパイ活動と、卑近な仮想通貨窃盗の両方を手掛けています。
この傭兵グループ「Jewelbug」は、一方の手で一般のインターネットユーザーから仮想通貨を盗むかたわら、もう一方の手では、おそらく国家(最も可能性が高いのは中国)の指示によるとみられる任務も請け負っています。Symantecの新たな調査によると、このAPTグループは単一のカスタム指揮統制(C2)パネルから両方の機能を実行しており、ブラウザのタブを切り替えるのと同じくらい容易に両者を行き来しています。しかも両分野で同様に熟達しており、数百に及ぶ偽の仮想通貨取引所を運営する一方で、アジアや中東の政府機関、軍、通信事業者への侵害にも成功しています。
「これは、私たちがこれまで見てきた、国家支援の攻撃者が小遣い稼ぎのためにサイバー犯罪に手を染めるケースとはかなり異なります」と、Symantec Threat Hunter Teamのプリンシパル・インテリジェンス・アナリストであるDick O’Brien氏は述べています。「詐欺ビジネスの規模の大きさそのものが最大の手がかりです。彼らは副業でちょっとした小遣いを稼いでいるだけではありません」
JewelbugのツールとTTP
Jewelbugのキャンペーンは、主に3つの独自カスタムマルウェア実装に依存しています。Windows向けバックドア「Antino」と、Linux向けバックドア「ClientKing」があり、後者はサイバースパイ攻撃で最も多く確認されています。
Symantecによると、そのツールセットの中で最も興味深いのが「PDF Viewer」というブラウザ拡張機能です。この拡張機能はPDF閲覧機能を提供する代わりに、被害者に対してあらゆる権限を要求し、Cookieやセッショントークン、閲覧履歴、スクリーンショット、通信トラフィックなど、価値のあるものであれば実質何でも盗み出します。しかも、これは序の口に過ぎません。
このプログラムは、攻撃者がブラウザのサンドボックスから脱出したり、任意のWebページに任意のJavaScriptを注入したり、まるで被害者の椅子に座っているかのように被害者のブラウザを操作したりすることも可能にします。攻撃者はまだ利用していないものの、取引の最中に被害者の仮想通貨アドレスを密かに攻撃者のウォレットアドレスに差し替える機能まで備わっています。
PDF Viewerは、スパイ活動と金銭目的の窃盗の両方に役立っています。他国政府を偵察していない時間帯には、Jewelbugは44台のコンテンツ管理サーバー群で管理する体制のもと、AIを使って仮想通貨、スポーツ、賭博などをテーマにした何千ものフィッシングサイトを生成しています。攻撃者はクリック詐欺ボットを使って偽サイトの検索エンジン順位を引き上げ、PHPスクリプトを用いてWebクローラーを選別しています。クローラーには当たり障りのない誘導コンテンツが表示される一方、本来の標的にはマルウェアが配信される仕組みです。
スパイ活動であれ窃盗であれ、Jewelbugのメンバーは「XG-Web」と呼ばれるプラットフォームからさまざまな感染活動を管理しています。このプラットフォームは一般的なSaaS(サービスとしてのソフトウェア)製品と同じくらい洗練されており、新しい悪意あるコードの生成、盗んだブラウザデータの管理、個々の感染状況の監視などを行うタブが用意されています。
XG-Webからは、このグループの内部構造もうかがえます。ロールベースのアクセス制御が設定されており、スーパー管理者、管理者、一般ユーザーという区分が定義されています。下位のオペレーターは、自分が感染させた被害者しか閲覧できないよう区分されています。Symantecは、Jewelbugを少人数のチームだとみなしています。
Jewelbugの被害者:政府機関、軍、企業
Symantecの報告書によると、Jewelbugの最も見事な手口は、ある中東の政府を標的にしたものでした。複数の政府機関を個別に侵害しようとして時間を浪費する代わりに、このグループは同国の国営通信事業者とネットワークサービス機関が運営する共有Webホスティングプラットフォームに狙いを定めました。
脅威アクターはそこに侵入し、Webメールプラットフォームへの書き込みアクセス権を取得してスクリプトを仕込みました。以降、政府職員がメールを閲覧するためにログインするたびに、そのスクリプトが対象者をXG-Webパネルに登録し、ログインCookieを盗み出したうえで、偽のAdobe Flashアップデートの案内を表示させました。この案内の裏では、Antinoバックドアと PDF Viewerが密かに配布されていました。
他のキャンペーンでは、東南アジアの海軍・警察・陸軍情報機関のほか、米国の大手産業・航空宇宙メーカーや、同様に大規模な他の組織も標的になっています。規模感で言えば、研究者らはJewelbugの手元に、58万件を超える完全なブラウザCookie一式、完全に窃取された2,300件のメール本文、数千件のログイン認証情報など、他の盗まれたデータとともに、数千件に及ぶ個別の被害者を示す痕跡を発見しました。
「彼らの所在地と標的の選び方を踏まえると、圧倒的に可能性が高いのは中国のために活動しているというシナリオです」とO’Brien氏は推測しています。Jewelbugは、中国の国家機関の指示のもとで活動している可能性もあれば、事後的に盗んだ情報を政府関係者に売り込むことを期待して、自らの意思で活動を進めている可能性もあります。
JewelbugとPRC(中華人民共和国)を直接結びつける証拠はないと、O’Brien氏は認めています。しかし、それ以外の可能性は依然として低いとみています。「他国政府のためにスパイ活動をするのは、おそらく非常にリスクの高い話でしょう」と同氏は指摘しています。
アウトソースされる国際サイバースパイ活動
国家に支援された脅威アクターと、表向きは独立したサイバー犯罪組織との境界線は、教科書が説くほど明確であったことは一度もありません。ロシアでは、著名なサイバー犯罪者が政府と契約を結んでいるか、少なくとも政府の政治的目標に沿うよう仕向けられています。イスラエルでは、監視・スパイウェア・ハッキングの世界が同国の軍事機構から派生したものであり、それと共生関係にあると考えられています。中国では、マルウェアやインフラが組織の境界を越えて共有されており、一部の学術機関や民間企業が政府のサイバーインテリジェンス活動に直接サービスを提供しています。
「サードパーティの請負業者の利用は、国家の間で大きく広がっています。イランがこうした業者を使っているという報告もありますが、最も成長が著しいのは中国です。これは主に、中国がサイバー空間で活動しようとしている規模の大きさに起因しています。その規模を実現するには、サードパーティを動員する必要があるのです」とO’Brien氏は説明しています。
サイバー防御担当者にとっては、と同氏は付け加えます。「これによって帰属の特定がやや難しくなる可能性があります。こうした攻撃者の一部からは、かなり一貫性を欠いた活動パターンが見て取れるためです。そしてこれは、国家にとって『もっともらしい否認』という点でおそらくメリットをもたらしているはずです」
とはいえ、同氏はこれを他国にとって有効なモデルだとまでは言い切りません。デメリットが多いことを考慮してのことです。「作戦に対する監督の目が行き届きにくくなります。それに、金銭目的のハッカーは、たいてい最も信頼できる人物とは言えません」とO’Brien氏は述べています。「彼らのオペレーショナルセキュリティ(作戦上の情報保全)も総じて甘い傾向があります。それはJewelbugが証拠の痕跡を残していったことからも明らかです」
翻訳元: https://www.darkreading.com/threat-intelligence/jewelbug-apt-state-espionage-cryptocurrency-theft
