Jewelbugが公開Googleドキュメントをマルウェアの指令サーバー配信経路に悪用

中国系とされる脅威グループ「Jewelbug」が、公開されたGoogleドキュメントを堅牢な指令サーバー（C2）配信経路に転用していることが分かりました。攻撃者は難読化した最新のマルウェアペイロードを文書内に埋め込み、被害者のインプラントがそれを取得・実行する仕組みを構築しています。

アンチウイルス& マルウェア

この手法により、悪意ある通信がGoogle所有のインフラを経由して解決されるため、攻撃者は正規のWeb通信に紛れ込み、レピュテーションベースのフィルタリングを回避できる可能性があります。

Jewelbugは「Earth Alux」「REF7707」「CL-STA-0049」の名でも追跡されているグループで、政府機関を標的とするサイバースパイ活動と、商業目的の仮想通貨詐欺活動という二つの顔を持つエコシステムを運営しています。

調査によると、この両方のミッションは共有インフラや重複する攻撃手法、そして「XG-Web」と呼ばれる統一オペレータープラットフォームに依拠していることが判明しました。

XG-Webは、Reactフロントエンド、Node.jsバックエンド、MySQL被害者データベースで構築された、ブラウザ中心のリモートアクセス・情報窃取フレームワークです。

このプラットフォームを使えば、攻撃者はキャンペーンの管理、窃取データの収集、コマンドの発行、そして侵害済みのブラウザ・Windowsシステム・Linuxサーバー・ネットワーク機器へのペイロード配信を行うことができます。

内部的には「ペネトレーションテスト用プラットフォーム」と説明されているものの、その各種モジュールはブラウザハイジャック、認証情報窃取、中間者攻撃(MITM)を明確にサポートしています。

Googleドキュメントを利用する仕組みは、ペイロード配信のブロックを困難にすることを狙って設計されているとみられます。

攻撃者がキャンペーンを起動すると、XG-Webのバックエンドが一般公開されたGoogleドキュメントを作成し、その本文に難読化済みペイロードを挿入します。

インプラントはこの文書を取得してコンテンツをデコードし、生成されたコードを実行します。各ペイロードはランダム化された鍵でXORエンコードされているため、ダウンロードのたびに内容が異なる仕組みです。

研究者らは、進行中のキャンペーンに関連する13件の稼働中ドキュメントを特定しました。

このグループはまた、Google Fontsに似せたインフラなど、信頼できるリソースを装ったタイポスクワッティングドメインも使用しています。

この手口は、中東のある政府機関のWebメール環境を狙った大規模な水飲み場型攻撃で顕著に確認されました。

Symantecの研究者らによれば、Jewelbugは国営通信事業者が運営する共有ホスティングプラットフォームを侵害したとされ、共通のWebメールテンプレートに単一の悪意あるスクリプトを挿入したとのことです。

この侵害により、15を超える政府系Webメールテナントが同時に危険にさらされました。

ユーザーがWebメールにアクセスすると、挿入されたスクリプトがJewelbugの指令サーバーインフラとの間でWebSocket接続を確立し、ブラウザのCookieを収集するとともに、政府発行のメールアドレスから被害者を特定しました。

Jewelbugが公開Googleドキュメントを悪用

選ばれたユーザーには、偽のAdobe Flashアップデートのプロンプトが表示され、これによりWindows向けバックドア「Antino」がダウンロードされる仕組みでした。

Antinoは指令サーバー通信にMicrosoft Graph APIを利用しており、正規のクラウドサービス通信の中に通信内容を隠蔽しています。

このマルウェアは、政治的なテーマを装ったHTMLアプリケーション(HTA)型ダウンローダーや偽のAdobeインストーラーを通じて配信されており、その中には戦略国際問題研究所(CSIS)関連のイベントを装った誘導文書も含まれていました。

アンチウイルス& マルウェア

インストールが完了すると、Antinoは続けてJewelbugの悪意あるブラウザ拡張機能「PDF Viewer」をサイドロードすることも可能です。

この拡張機能はChromeとFirefoxの両方に対応しており、Cookieアクセス、スクリプト実行、デバッガー制御、Webリクエストの傍受、ネイティブメッセージングなど、広範な権限を要求します。

これにより、認証情報、ブラウザ履歴、ブックマーク、スクリーンショット、クリップボードの内容、さらには有効なセッションCookieまで窃取することが可能です。

Microsoft Edgeのコンポーネントを装ったWindows向けネイティブメッセージングヘルパーcom.microsoft.runedgeにより、攻撃者はブラウザの制限を回避し、ホスト上でシェルコマンドを実行できるようになります。

Jewelbugのインフラには、Linuxサーバーやルーター、ネットワーク機器を標的とするRustベースのインプラント「ClientKing」も含まれています。

ClientKingはDNSトンネリング、対話型シェル、SOCKSプロキシ、メモリ上でのカーネルモジュールのロードに対応しています。

一部のビルドは、米国の大手航空宇宙・産業機器メーカーの内部プロキシを経由して通信するよう設定されており、このグループがネットワークレベルでの永続化や横展開に強い関心を持っていることがうかがえます。

この攻撃活動の規模は特筆に値します。Jewelbugの被害者データベースには、3か月足らずの間に100万件を超えるインプラントのチェックイン記録、58万件を超える窃取済みブラウザCookie、数千件に上る窃取済み認証情報、そして2,300件を超える流出したメール本文が記録されていたと報告されています。

この攻撃キャンペーンは、信頼されているSaaSプラットフォーム、ブラウザ拡張機能、共有Webインフラを組み合わせることで、極めて拡張性の高いスパイ活動用配信モデルを構築できることを浮き彫りにしています。

侵害指標(IOC)

注: IPアドレスおよびドメインは、誤った名前解決やハイパーリンク化を防ぐため意図的にディフェング処理（例: [.]）を施しています。再ファング処理は、MISP、VirusTotal、SIEMなどの管理された脅威インテリジェンス基盤内でのみ行ってください。

[ライブウェビナー] ElasticとUnderDefenseが共同開催するウェビナーで、少人数のセキュリティチームがAI可視化とエージェント型対応を一つの運用モデルに統合する方法を学びましょう。 -> 今すぐ登録

セキュリティ製品＆サービス