Google Threat Intelligence Group(GTIG)は、欧州および米国の学者、外交官、国防関係者、政府職員、シンクタンク研究者を標的とする、ロシア系とみられる3つのサイバースパイ活動クラスターを突き止めました。
UNC6293、UNC7005、UNC5976と呼ばれるこれらのグループは、正規のアカウント認証機能を悪用し、メール、Microsoft 365、Google、WhatsAppの各アカウントへのアクセス権を窃取しています。
これらのキャンペーンは、明らかに悪意のある添付ファイルではなく、巧妙なソーシャルエンジニアリングの誘導文に依存しているのが特徴です。
攻撃者は米国務省、会議主催者、Microsoftのサービス、WhatsApp、国防関連組織など、信頼される組織を装います。送られてくる招待状は、外交会合、セキュリティイベント、ファイル共有、非公開通話などを口実にすることが多く見られます。
UNC6293は、ロシアと関連のあるICE RELICクラスターと中程度の確度でつながりがあると評価されており、2025年からアプリ固有パスワードを狙ったフィッシングを行ってきました。
このグループは標的に対し、「ms.state.gov」などの名称でアプリパスワードを作成させ、生成されたパスコードを送信するよう仕向けます。
これにより攻撃者は、被害者の通常のパスワードや二要素認証コードを繰り返し要求することなく、メールボックスにアクセスできるようになります。
Googleはこれまでにも、このグループが著名な学者やロシア批判者を標的に、国務省を装った巧妙な文面のメールでアプローチしていたことを確認しています。
STORM-2945としても追跡されているUNC7005は、MicrosoftのデバイスコードフィッシングやWhatsAppのデバイス連携詐欺を組み合わせ、この手口をさらに発展させました。
被害者はイベントや通話への偽の招待を受け取り、Microsoftの確認コードの入力を求められるページ、あるいは攻撃者が管理するデバイスにWhatsAppをリンクさせるページへと誘導されます。
WhatsAppアカウントの連携が完了すると、実行者は偽の音声通話、暗号化チャット、ファイル共有といった選択肢を提示してくることがあります。
実際に観測されたある事例では、この悪意あるページが偽の通話中に被害者の音声・映像を録画しようと試み、その録画データを攻撃者のインフラへ送信していました。
このグループはまた、ブラウザデータを狙うマルウェアも使用していました。Windowsユーザーには VIDAR が、macOSユーザーには AtomicStealer がそれぞれ送り込まれていました。
偽のGoogleやMicrosoftのログインページを提示する代わりに、被害者は正規の認証ページを経由させられた後、攻撃者が管理するクラウドプロジェクトへリダイレクトされます。
アクセスを承認してしまうと、攻撃者はアカウントへのアクセスを可能にする認証トークンを取得できてしまいます。別のロシア系とみられるクラスターであるUNC5976も同様に、クラウドでホストされたOAuthフィッシングページや、悪意のあるExcelアドインを使用していました。
GTIGによれば、このグループは特にウクライナとアルメニアにおいて、軍事、航空宇宙、防衛、NGO、シンクタンクの標的に重点的に狙いを定めているとのことです。こうしたキャンペーンが危険なのは、正規のワークフローを利用することで、要求が信頼できるものであるかのように見えてしまう点にあります。
ユーザーは本物のGoogleやMicrosoftのサインインページを目にすることで、最終的な認可が悪意あるアプリケーションへのアクセス許可を与えるものであっても、その操作が安全だと思い込んでしまう可能性があると、Google Cloudは述べています。
注記: IPアドレスおよびドメインは、誤った名前解決やハイパーリンク化を防ぐため、意図的に無害化表記（例: [.]）としています。再度有効な形式に戻す作業は、MISP、VirusTotal、SIEMなど管理された脅威インテリジェンス基盤内でのみ行ってください。
ANY.RUNのブラウザ内データ検査で、検知・調査・対応をよりスピーディに-> ANY.RUNでSOCを強化
翻訳元: https://cyberpress.org/russian-hackers-breach-diplomat-accounts/
