ロシアのサイバースパイ活動インフラ、EvilginxとOAuthフィッシングでアカウントを窃取

ロシア系とされるサイバースパイ活動の実行者らが、OAuthの悪用、デバイスコードフィッシング、認証情報窃取インフラ、そして疑わしいEvilginxリバースプロキシ環境を組み合わせることで、アカウント侵害作戦を拡大させています。

GTIGは中程度の確信度で、UNC6293は以前APT29、Cozy Bear、Midnight Blizzardとして追跡されていたICE RELICの初期アクセス担当サブクラスターであると評価しています。

攻撃者はソフトウェアの脆弱性を悪用するのではなく、正規の認証フローを悪用し、被害者に攻撃者が管理するアクセスを承認させる手口を用いています。

DownloadProductivity Apps

この手法はMFA（多要素認証)が提供する実質的な保護を弱体化させます。というのも、被害者はコードやトークン付きURL、あるいはOAuth認可情報を攻撃者に渡す前に、実際の認証プロセスを完了してしまうためです。

Validinが8月26日に公開したインフラ分析により、Googleが公表したドメインの範囲を超えて、UNC6293の活動範囲がさらに明らかになりました。

GTIGはforeignrelations[.]usとdosportal[.]appを、OAuthフィッシング活動で使用されたおとりサイトとして特定しました。

過去のWHOISデータによると、foreignrelations[.]usは登録者メールアドレスgiven956[@]2200freefonts[.]comと関連付けられており、このメールアドレスは同時期にDynadot経由でinternationalaffairsportal[.]usとstateaffairs[.]usも登録していました。

この登録情報の重複だけでは帰属を独立して証明することはできませんが、防御側にとって有意義な監視の手がかりとなります。

このおとりインフラは、高度に標的を絞った社会工学的手法を支援するよう設計されているとみられます。

foreignrelations[.]usのアーカイブされたコンテンツには外交問題評議会(Council on Foreign Relations)の記事への言及があり、また分析者らは外交問題評議会のFacebook App IDメタタグを含む関連ウェブコンテンツの痕跡を、他のドメインやIPアドレス上でも発見しています。

こうした痕跡は、コピーされたウェブテンプレートやプロキシ的な挙動、あるいは信頼された政策・外交関連コンテンツを複製するために使われたインフラを明らかにする手がかりとなります。

Google Threat Intelligence Group(GTIG)はこの活動をUNC6293、UNC7005、UNC5976という3つの異なるクラスターに関連付けており、これらは欧州および米国全域の学術機関、政府機関、航空宇宙、防衛、シンクタンクの個人を標的としています。

さらに懸念されるのは、Validinが2026年1月13日から2月2日にかけて、stateaffairs[.]usのサブドメイン上でEvilginxに類似した挙動が発生していたとみられることを観測した点です。

ロシアのサイバースパイ活動

このインフラは、ユーザーを米国国務省の正規サイトへリダイレクトさせるものであり、これは正規のログインフローをプロキシしてセッション情報を窃取する、アドバーサリー・イン・ザ・ミドル型フィッシングフレームワークに特徴的な挙動です。

同様の構成がthe-washington-ballet[.]comでも確認されており、こちらは訪問者を正規のワシントン・バレエ団のイベントページへリダイレクトしていました。

Evilginxやそれに類するリバースプロキシ型フィッシングキットは、攻撃者が認証情報やセッションクッキー、認可情報を取得するまで、不正なやり取りを正規のものに見せかけられる点で特に効果を発揮します。

今回のキャンペーンでは、洗練されたおとりサイト、正規サイトへのリダイレクト、OAuthプロンプトを組み合わせることで、アカウントへのアクセスが許可されてしまう前に標的がこの攻撃に気づく可能性を低くしているとみられます。

UNC7005は、運用上のセキュリティが比較的弱くマルウェアを使用している点から、GTIGが別クラスターとして追跡していますが、UNC6293の標的選定と重複する部分も見られます。

CompareSecurity Systems

このクラスターはMicrosoftのデバイスコードフィッシングを使用し、デバイス連携を装ったおとりでWhatsAppアカウントを標的にしていました。

このインフラにはmy-invite[.]orgが含まれており、これは104.194.159[.]150に名前解決され、プラハに言及する偽のGLOBSEC Forum 2026招待状を含む、次々に変化するイベントをテーマにしたおとりサイトをホストしていました。

IPアドレス93.127.160[.]28(AS 47447 – TTM – 23 GmbH、ドイツ)は、比較的少数のドメインしか関連付けられていない専用IPとみられることから、有望な調査の手がかりとして注目されました。

UNC5976はGoogleを装ったOAuthフィッシングに重点を置いており、その中には「My Drive – Google Drive」というタイトルを使用したdrive[.]google[.]verify-drive[.]comも含まれています。

Validinは、登録タイミングの類似性、HTTPヘッダーの特徴、favicon(ファビコン)の使い回し、ホスティングパターンをもとに、この活動を類似のドメイン群と関連付けました。

faviconのMD5ハッシュ値c66f20f2e39eb2f6a0a4cdbe0d955e5fは、新たに発見された候補であるfileshareapp[.]orgを含む限られたドメイン群にわたって確認されており、証明書やレスポンス内容のデータと組み合わせることで、有力な調査手がかりとなります。

組織は、予期しないOAuth同意リクエスト、アプリパスワード要求、デバイスコードプロンプト、「確認コード」やコピーされたログインURLの要求を、アカウント侵害の試みとして扱うべきです。

セキュリティチームは、掲載されたドメインやIPインフラを調査すべきですが、DNSの重複や使い回されたホスティング、放置されたレコードによって誤検知が生じる可能性があるため、検証なしにすべての関連ドメインをブロックすることは避けるべきです。

CompareSecurity Systems

より持続性のある検知戦略は、行動ベースのものです。見慣れないOAuthアプリケーション、新たに付与された高リスクスコープ、異常なデバイス連携アクティビティ、通常とは異なるネットワークからのトークン使用、そして認証後に作成された不審なメールボックスルールなどにアラートを設定することが有効です。

Googleの報告は、これらのキャンペーンがサービス自体の欠陥ではなく、正規のID関連サービスへの信頼を悪用していることを強調しており、ユーザーの検証とOAuthガバナンスが防御の中核となることを示しています。

侵害指標(IOC)

注: IPアドレスおよびドメインは、誤って名前解決やハイパーリンク化されることを防ぐため、意図的に無害化表記(例: [.])としています。再有効化する際は、MISP、VirusTotal、SIEMなど、管理されたスレットインテリジェンスプラットフォーム内でのみ行ってください。

★ 削減すべきセキュリティツールはどれか?1ページでスコアを確認 – 継承されたセキュリティスタックガイドをダウンロード