パキスタンの脅威アクターが、アフガニスタンの重要な標的をスパイするために新型マルウェアを使用していることが判明しました。しかし同じ攻撃はインドでは壁に突き当たっています。
その正体はTransparent Tribe（別名APT 36）で、パキスタンで最も活発な高度persistent脅威(APT)アクターと言えるかもしれません。同グループはこれまで、隣国インドとアフガニスタンの政府や軍を標的にスパイ活動を行っているケースが多く見られてきました。そのサイバースパイ活動の性質から、研究者たちは長らくパキスタン政府のために活動しているとみています。
今年、Acronisの研究者たちはTransparent Tribeがいつも通りの活動を行っているのを観測しましたが、そのツールセットは強化されていました。「Patchcord」と「Sheetcord」と呼ばれる新しいバックドアです（Acronisのブログ参照）。特にPatchcordは出来にムラがあり、コマンド&コントロール(C2)と解析妨害の面では十分な能力を備えている一方、その主な仕掛けは古くから検知されやすい永続化メカニズムで、被害者のデスクトップショートカットを乗っ取るというものです。
Acronisによると、アフガニスタンにおける最近の標的には主要な政府機関や通信事業者が含まれる一方、中小企業や身元不明の個人といった意外な小規模な相手も含まれていました。同グループはインドの組織も標的にしているとみられますが、そちらでは侵害の成功はまだ確認されていません。
Transparent Tribeによるアフガニスタン・インドへのサイバー攻撃
Transparent Tribeによるアフガニスタン・インドを狙ったキャンペーンは、少なくとも昨年12月まで遡ります。5月頃に活動が活発化したとみられ、現在も続いています。
研究者たちは、このハッカーグループのソーシャルエンジニアリング手法から、その野心の大きさを読み取っています。フィッシングの誘い文句には、アフガニスタンの大手通信会社が使用するネットワーク・物流ツール、インドのエネルギー部門向け燃料節約ツール、インド政府職員向け福利厚生リソースなどが装われていました。C2ドメインについても同様に、インドの主要政府機関やアフガニスタンの通信事業者になりすましたものが確認されています。
Dark Reedingは、Transparent Tribeが国際企業のアフガニスタン子会社、および国営のAfghan Telecom(AFTEL)のKhost支店のIT担当者への感染に成功したことを個別に確認しています。「この脅威アクターは、被害者のデスクトップからデータを盗み出し、WhatsAppや個人データを覗き見しています」と、Acronisのシニア脅威リサーチャーであるSubhajeet Singha氏は述べています。「盗んだデータを使って、おとりのExcelファイルのようなものを作成し、さらに多くの従業員をフィッシングしようとしています。そこから会社全体へ横展開していくのです」
この脅威アクターは、インドに対してはさらに高い標的を狙っていました。国防省、外務省、（電子情報技術省傘下の）国立情報学センター、さらにはインド空軍など、複数の政府機関に合わせて作り込まれたフィッシング用素材を用意していたのです。ただし前述の通り、これらの攻撃が成功したことを示す証拠は今のところありません。
パキスタン発のバックドアマルウェア「Patchcord」
Transparent Tribeの多くのフィッシング誘導の裏には、新たに文書化されたC++製インプラント「Patchcord」が存在します。Patchcordはホストのフィンガープリンティングやプロセス列挙といった基本的な機能をいくつかサポートしていますが、最も重要なのは任意のコードをメモリ上で実行できるよう設計されている点です。3月に初めて確認されたPatchcordの亜種は、仮想マシンやサンドボックス環境で動作しているかどうかを検知するための各種チェック機能も実装していました。
Patchcordがコマンドのメモリ上実行と解析ツールの妨害を重視している点は、検知回避に相当気を配っていることを示唆しているようにも見えます。しかし、その他のビルド要素、特に際立った永続化メカニズムであるブラウザショートカットの乗っ取りとは、いくぶん対照的です。
毎日パソコンを開くとき、私たちはノートパソコンの画面でお気に入りのブラウザのショートカットアイコンをクリックします。Patchcordは、これまで数多く存在してきた旧型マルウェアと同様、その操作に自らを割り込ませます。ショートカットを書き換え、まず自身を実行させてから、目的のブラウザを起動する仕組みです。ユーザーからは違いが見えません。ショートカットアイコンはいつも通りで、ブラウザも期待通りに開きます。しかしクリックするたびに、水面下でこの秘密のマルウェアも確実に実行されてしまうのです。ショートカットの改変は単純で以前から知られている手口ですが、ステルス性を優先する必要がある高水準のAPTではあまり見られない手法です。
ブラウザショートカットの乗っ取りのような安直な手口が通用しない場合、Transparent TribeはPatchcordをGo言語で進化させた「Sheetcord」や、リモートアクセス型トロイの木馬(RAT)「Sheetcreep」を使用することがあります。Sheetcordは、Windowsのスタートアッププロセスとして自身を登録するというより一般的な永続化手法を用いており、C2通信をGoogleスプレッドシート経由で送信することで隠そうとします。
Transparent Tribeによるサイバー攻撃の検知・阻止方法
Singha氏は、マルウェアがブラウザショートカットを乗っ取る場合について、「防御は比較的容易です。ショートカットを変更しようとすると、多くのエンドポイント製品がそれを検知するからです。これは非常に一般的で、古い手法です」と指摘します。
Transparent Tribeの低度な戦術・技術・手順(TTP)は、その巧妙さの限界を示しているのかもしれませんし、あるいは選んだ標的を侵害するのに越えなければならないハードルがいかに低いかを表しているのかもしれません。Singha氏は、同グループが単に相手のレベルに合わせているだけだとみています。
「彼らは標的について、使用しているツールやアンチウイルス製品などをよく下調べしていると思います。そしてそれに応じてこの手法を使い分けているのでしょう」と同氏は述べています。
このパキスタン発APTの活動を裏付けるさらなる証拠として、Acronisは同グループの手持ちの中に「HackerAI」と呼ばれる3つ目のマルウェアフレームワークも発見しました。HackerAIは人工知能(AI)コーディングツールの支援を受けて生成された可能性が高く、C2にGitHub Gistを利用している点でも一線を画しています。アフガニスタンについて、Singha氏は次のように指摘します。「サイバーセキュリティの成熟度があまり高くありません。そのため、このケースでは、AIで手早く作った(vibecoded)マルウェアをさっと立ち上げるだけで目的を果たせてしまうのです」
国家レベルのサイバーセキュリティ防御という点では、インドはアフガニスタンより数段上だと同氏は付け加えます。Singha氏がインド政府のコンピュータ緊急対応チーム(CERT-In)に連絡を取った際、CERT-Inは特にTransparent Tribeを問題視していない様子だったといいます。同氏は、CERT-Inがこの攻撃にどう対処しているかを振り返り、よく知られたハッカーのインフラを広範囲にわたってブロックするだけだと述べました。
