イラン系サイバースパイ集団、新型マルウェアで航空・フィンテック業界の開発者を標的に

イラン関連のサイバースパイグループが、航空・宇宙・金融分野の技術専門職に対して偽の求人オファーを送りつけ、未知のマルウェアをインストールさせようとしていることが新たな調査で明らかになりました。

ロシアのサイバーセキュリティ企業Kasperskyが「Mirage Kitten」として追跡しているこのグループは、LinkedInなどの求人プラットフォームを通じて、エジプト、エチオピア、アフガニスタンの開発者やその他の専門職を標的にしています。

本キャンペーンを調査した研究者らは、NodeRabbitとPollCatと名付けられた、これまで知られていなかった2種類のマルウェアファミリーを発見しました。いずれも、採用プロセスの一環として被害者に取り組ませるプログラミング課題を装っています。

NodeRabbitはリモートアクセス型トロイの木馬で、Windows、Linux、macOSのシステムに感染する能力を持っています。インストールされると、攻撃者は被害者およびそのコンピューターに関する情報を収集し、ファイルの作成・改変や追加コマンドの実行が可能になり、侵害されたマシンへのリモートアクセスを攻撃者に与えます。

Kasperskyは火曜日に公開した報告書の中で、NodeRabbitをアフガニスタンのシステム上で最初に発見し、その後エジプトとエチオピアのシステムでも亜種を確認したと述べています。

攻撃はまず、偽のリクルーターが求人検索プラットフォーム上で、一見正当に見える技術系の求人オファーを持ちかけるところから始まります。ある確認された事例では、名前が明かされていない大手テクノロジー企業のリクルーターを装った攻撃者が、あるソフトウェアエンジニアに接触し、技術評価テストの完了を依頼しました。被害者はAmazonのクラウドストレージサービスでホストされているコーディング課題をダウンロードするよう誘導され、すぐにプロジェクトを実行するよう促されました。

アフガニスタンで発見された悪意あるアーカイブの1つには、応募者に対しアプリケーションをレビューし、3時間以内に不具合を修正するよう指示するコーディングテストが含まれていました。このテストではAIアシスタントの使用が明確に禁止されており、Kasperskyの研究者は、これはプロジェクト内に隠された悪意あるコードをAIツールが検知するのを防ぐ狙いがあった可能性があると指摘しています。開発者がこのコーディングプロジェクトを実行すると、隠された悪意あるコンポーネントが同時に実行される仕組みになっていました。

研究者らは、これと類似した手法がPollCatでも使われていたことを突き止めました。PollCatも、これまで知られていなかったマルウェアファミリーで、攻撃者に侵害したコンピューターへの永続的なアクセスを提供し、さらに追加の悪意あるファイルを配信するよう設計されています。

このキャンペーンでは、標的とされた人物にプログラミングテストを1時間以内に完了するよう求め、リクルーターから提供される6桁のアクセスコードが必要とされました。このコードは1回限り使用可能で有効期限も短いとされており、応募者にプロジェクトをすぐに開くよう追加のプレッシャーをかける狙いがあったとみられます。

Kasperskyによれば、Mirage Kittenは正規のMicrosoft AzureおよびCloudflareのインフラも利用し、自らの活動を検知・追跡されにくくしているといいます。一部のケースでは、攻撃者はAzureのサブドメインに標的組織の名前を含めることで、感染デバイスと攻撃者のサーバー間の通信を、通常の企業ネットワークトラフィックのように見せかけていました。

Mirage Kittenは、他のサイバーセキュリティ研究者からはUNC1549、Smoke Sandstorm、Nimbus Manticoreとしても追跡されており、少なくとも2022年から活動しているイラン国家支援のサイバースパイグループです。

Kasperskyによると、今回の一連の被害は、アフリカおよび中東地域の組織を狙うというMirage Kittenの従来からの標的傾向と一致しており、同グループは特に航空・宇宙・金融テクノロジー分野を重点的に狙っているといいます。

手口についても、これまでと共通点が見られます。研究者らによれば、Mirage KittenはこれまでもLinkedIn上でリクルーターになりすまし、偽の求人機会を利用して同地域の機密性の高い業界で働く人々を標的にしてきたとのことです。