Google Threat Intelligence Group(GTIG)は、米国および欧州の学術機関やシンクタンクなどの組織に所属する人物を標的とする、複数のロシア系サイバースパイ集団の活動について詳細を明らかにしました。
この活動には、OAuthフィッシング、デバイスコードフィッシング、なりすましウェブサイト、そして信頼される組織やクラウドサービスを模倣するよう設計されたインフラが使用されています。
追跡対象となっているUNC6293、UNC7005、UNC5976の各クラスターは、それぞれ異なる水準の運用成熟度を示しています。しかし、いずれのキャンペーンも共通の目的を持っており、標的にメール、クラウドアカウント、またはメッセージングプラットフォームへのアクセス権を攻撃者へ許可させることを狙っています。
UNC6293はOAuthフィッシングキャンペーンにおいて、foreignrelations[.]usおよびdosportal[.]appというドメインを使用しました。最初のドメインは、数年間DNSアクティビティがなかった状態を経て、2025年11月21日に登録・稼働開始しています。
過去の登録データによると、foreignrelations[.]usはinternationalaffairsportal[.]usおよびstateaffairs[.]usという2つの追加ドメインと関連付けられています。
これら3つのドメインはいずれもDynadotを通じてほぼ同時期に登録されており、インフラの重複がある可能性を示唆しています。登録者のメールアドレスには2200freefonts[.]comのアドレスが使用されていましたが、このフォント関連ドメイン自体が攻撃者の管理下にあるかどうかは確認されていません。
foreignrelations[.]usの偽装サイトは、Council on Foreign Relations(外交問題評議会)に関連するコンテンツを複製したものでした。アナリストらは、Council on Foreign RelationsのFacebook App IDを含むmetaタグを共有する他のサイトも特定しています。このタグは複製されたコンテンツやプロキシ経由のウェブコンテンツを調査する際の有用な手がかりとなります。
このタグ単体で悪意ある活動の証拠とはなりませんが、調査対象を絞り込む上では役立ちます。研究者らはまた、dosportal[.]appのサブドメインとthe-washington-ballet[.]comとの間に構造的な関連性も発見しました。
共通するCSSの特徴から、Cloudflareを前面に立てたインフラの背後にある2つの発信元IPアドレスの可能性が明らかになりました。151.236.15[.]213と185.158.250[.]155です。
stateaffairs[.]usおよびthe-washington-ballet[.]comの複数のサブドメインは、Evilginxフィッシングフレームワークの可能性と一致する挙動を示していました。
これらのサイトは被害者を正規の米国務省およびWashington Balletのページへリダイレクトさせており、これにより攻撃者はフィッシングの偽装をより信憑性の高いものに見せかけていたとみられます。
UNC7005はUNC6293と標的の重複が見られますが、運用上のセキュリティはより脆弱とされており、マルウェアも使用しています。同クラスターのキャンペーンには、Microsoftのデバイスコードフィッシングや、WhatsAppアカウントを狙ったフィッシング試行が含まれます。
ドメインmy-invite[.]orgはメールベースのフィッシングに利用され、一時的に104.194.159[.]150へ名前解決されていました。その偽装内容は、Institute of Advanced Studiesのイベントから、プラハで開催される架空の「GLOBSEC Forum 2026」への招待状へと変化しています。
このページではregistration[@]globsec[.]orgというアドレスが使用されていましたが、globsec[.]org自体は正規かつ無関係な組織です。もう一つのドメインstatistic-ms[.]liveは、利用者をad-g[.]org/loginへリダイレクトさせ、「Ad Manager」というログインページを表示していました。
fllefolder[.]com、sharefolders[.]org、formshare[.]cloud、sharedfolders[.]org、usercontent[.]app、fileshareapp[.]orgを含む複数のドメインが、このフィッシングインフラと類似点を示しています。
validin社が指摘しているように、一部のドメインについては登録情報を起点とした調査手法によって特定されたものであり、あくまで疑わしい関連性にとどまっています。この調査は、防御側が単一の悪性ドメインだけを追跡するのでは不十分である理由を示しています。
過去のDNSレコード、登録タイミング、証明書データ、faviconのハッシュ値、ウェブページのヘッダー、複製されたコンテンツなどは関連インフラを明らかにする手がかりとなりますが、それぞれの手がかりは確定的な悪意ある活動として扱う前に検証が必要です。
ANY.RUNのブラウザ内データ検査で、検知・調査・対応をより高速に-> ANY.RUNでSOCを強化
翻訳元: https://cyberpress.org/russia-linked-oauth-phishing-campaigns/
