イラン系ハッカー集団、欧州・中東でインフラを拡大 報告書が指摘

イラン系の脅威アクターが新たなインフラを構築していることが研究者の調査で明らかになり、英国をはじめとする欧州各地へ活動範囲を拡大している可能性が浮上しています。

Tortoiseshellとして知られるこのグループは、少なくとも2018年から活動しており、主に中東と米国の防衛、航空宇宙、技術、軍事関連組織を標的にスパイ活動を行ってきました。

サイバーセキュリティ企業Group-IBの研究者は水曜日に公開した報告書で、欧州と中東の複数の国に関連するサーバーとドメインを特定したと明らかにしました。これは同グループの標的範囲がより広範である可能性を示唆しています。

特にGroup-IBは、Tortoiseshellに関連する「uk1」「uk2」と呼ばれる2台のサーバーが、英国のIPアドレス上でホストされていることを発見しました。Recorded Future Newsへの声明で、研究者らはベルギー、サウジアラビア、アラブ首長国連邦でもTortoiseshellに関連するインフラを特定したと述べています。

こうしたインフラの用途は依然として不明であり、報告書によれば、国名を冠したサーバー名だけではTortoiseshellが誰を標的にしていたのかを断定するには不十分だとしています。

研究者らはまた、同グループに関連するマルウェアの新たな検体も発見しました。その中には、TwoStrokeと呼ばれるツールに酷似したバックドアが含まれています。TwoStrokeは以前、Googleの脅威インテリジェンス研究者らによって2025年後半に報告されたツールです。

このマルウェアは、感染したコンピュータに対してハッカーに広範な制御権を与えるもので、コマンドの実行、ファイルのダウンロードや窃取、ディレクトリの検査、標的マシンに関する情報収集などが可能です。Group-IBによれば、今回新たに発見された検体は、Tortoiseshellが引き続きこのバックドアを使用していることを示しています。

研究者らはさらに、感染したコンピュータとハッカーが管理するインフラとの間に、いわゆるリバースSSHトンネルを確立するツールも特定しました。

こうしたトンネルは、侵害されたネットワーク内部から攻撃者のサーバーへの暗号化された接続を作り出すもので、ハッカーは感染マシンを経由してトラフィックを迂回させ、受信接続を遮断するよう設計された防御策を回避しながら、被害者ネットワーク内の他のシステムに到達できる可能性があります。

Group-IBは、新たに特定されたインフラとハッキングツールの組み合わせから、Tortoiseshellが地理的な活動範囲とその能力の両方を拡大していることがうかがえると述べています。

Tortoiseshellはこれまでにも、サイバーセキュリティ研究者らによってイラン革命防衛隊(IRGC)を支援する活動と関連付けられてきました。Group-IBは同グループを、2026年に活動する中で最も活発なイラン系APTグループの一つと評しています。