研究者ら、中国系APT「Jewelbug」をハッカー請負サービスに関連付け

Broadcom傘下Threat Hunter Teamのセキュリティ研究者らは、中国が支援するサイバースパイ活動に関与しているとされる脅威グループ「Jewelbug」が、収益性の高い暗号資産詐欺キャンペーンも並行して運営するハッカー請負グループである可能性を明らかにしました。

8月13日に公開された新たなレポートの中で、SymantecとCarbon Blackの専門家を結集したこの脅威インテリジェンスチームは、Ink Dragon、Earth Alux、REF770、CL-STA-0049の別名でも知られる高度標的型攻撃(APT)グループについて新たな知見を示しました。

研究者らによると、Jewelbugは中東・東南アジア・南アジア各地の政府機関や軍事機関を狙うスパイ活動と、偽の取引所ダウンロードポータルを通じて中国語話者の暗号資産ユーザーを標的とする金銭目的の活動の両方に、同一のインフラを使用しているといいます。

「この2つは、たまたま名称が同じだった別々の事業ではありません。調査の結果、同じ小規模チームが共有インフラ上で、単一の管理パネルから両方を運営していることが判明しました」とBroadcomのレポートは指摘しています。

グループの管理パネル上で「ople500」と識別される運営者の一人は、Broadcomが「事業の商業部門」と表現する部分を担っているとみられ、「paopaodada(バブルボス)」というペルソナを使用していることが確認されています。

この人物はTelegram上で「ウェブサイトランキングレンタル」サービスの連絡先として宣伝されています。Broadcomは「高い確度で」、この人物を湖南省の省都・長沙に登記されたSEO事業会社と関連付けました。

Threat Hunter Teamはこの会社の唯一の法定代表者の氏名を特定しており、この人物は運営チームの一員というよりも、スパイ活動へのアクセス、インフラ、配信を提供する役割を担っていると評価しています。

サイバースパイ活動の標的

Jewelbugのサイバースパイ活動については、Trend MicroのTrendAI、Palo Alto NetworksのUnit 42、Check Point Researchなど、複数の脅威インテリジェンスチームがすでに報告していました。

研究者らによると、この攻撃者は脆弱なIISサーバーやSharePointサーバーを通じて侵入し、その後Webシェルと、VARGEIT、Squidoor、あるいはFinalDraftとして追跡されている高度なバックドアを展開するのが典型的な手口だといいます。

このマルウェアは、Microsoft Graph/Outlook API、DNSトンネリング、ICMPトンネリングなど、複数の秘匿されたコマンド&コントロール(C2)手法に対応していました。

この脅威グループの活動の一部について数か月にわたる調査を行った結果、Broadcomの研究者らは、中東・東南アジア各地の複数の政府機関が標的とされ、南アジアでは90を超える警察・政府機関のメールアドレスが確認されたとしています。

さらに、研究者らは被害者データベースを発見し、活動期間3か月に満たない中で100万件を超えるインプラントのチェックインと、58万件超の盗まれたブラウザCookieが記録されていたことも確認しました。

一部のインプラントは、米国の大手航空宇宙・産業機器メーカーの内部プロキシを利用するよう設定されていました。

最大規模の作戦では、単一の仕込みスクリプトによって、中東某国の政府ウェブメールテナント15件以上に一度にウォータリングホール(水飲み場型攻撃)が仕掛けられていました。

暗号資産詐欺の標的

一方で、Jewelbugのインフラの一部は、副業として暗号資産詐欺ビジネスの運営にも使われていました。

Broadcomの研究者らによると、このグループは偽の取引所ダウンロードサイトを通じて中国語話者の暗号資産ユーザーを狙う金銭目的のキャンペーンを運営していた一方、台湾の政府機関をテーマにしたおとり文書も確認されており、台湾にも関心を持っていたことがうかがえるといいます。

レポートはさらに、このグループのスパイ活動の標的に共通するのは、政府の通信システムおよびそれをホストするサービスプロバイダーであり、公的な通信文への長期的なアクセスを確保できる可能性がある点だと付け加えています。

スパイ活動と詐欺で共有されるJewelbugのインフラ

スパイ活動と暗号資産詐欺、両方の運営の中核を担っていたのが、グループの中央管理コンソールとして機能するブラウザベースのC2プラットフォーム「XG-Web」です。

Broadcomのレポートによると、同じXG-Webインフラが両キャンペーンの被害者管理に使用されており、インプラント、盗まれたデータ、運営者の活動はすべて共通のバックエンドデータベースに集約されていました。

このインフラに関連する主要ツールの一つが、グループのWindows向けバックドア「Antino」です。

AntinoはMicrosoft Graph APIを通じて運営者と通信するため、C2通信を正規のMicrosoftクラウドサービスに紛れ込ませることができました。

Broadcomのレポートによれば、このマルウェアはJewelbugの複数のキャンペーンで使用されており、偽のソフトウェアインストーラーやテーマ性のあるルアー(おとり)を通じて展開されていました。

このグループはまた、「PDF Viewer」という名称の悪質なChrome・Firefox拡張機能も運用していました。この拡張機能はMicrosoft Edgeのコンポーネントに偽装したヘルパープログラムと組み合わされていました。この組み合わせにより、運営者は被害者のブラウザに広範なアクセス権を得て、Cookie、認証情報、閲覧データを窃取できたほか、ネイティブメッセージングコンポーネントを通じて侵害端末上のコマンドシェルへのアクセスも可能でした。

Antinoに加え、Jewelbugは「ClientKing」として知られるLinux・ルーター向けインプラントも使用していました。これはDNSトンネリングを含む複数のC2手法に対応し、リモートシェルアクセスとピボット機能を提供していました。

研究者らは、ClientKingのインフラがグループの広範なXG-Webエコシステムと重複しており、スパイ活動と詐欺活動の関連性をさらに裏付けるものだと指摘しています。

最後に、このグループはペイロードの配信とC2にGoogle Docsも悪用していました。運営者がキャンペーンを開始すると、バックエンドが難読化されたペイロードを含む公開Googleドキュメントを作成し、インプラントがそれを取得・実行する仕組みです。Googleのインフラを利用することで、このグループは悪意ある通信を正規のトラフィックに偽装し、検知される可能性を低減していました。