あるサイバー犯罪グループがブラジルの金融システムに侵入し、決済インフラを悪用して自らに不正送金を行っています。
たいていのハッカーが狙うのは金銭です。そして多くの場合、遠回しな方法でそれを手に入れようとします。脆弱な立場の個人を偽の通貨取引所への投資に誘い込んだり、企業のファイルをすべて暗号化してロックし、身代金を要求したりするのが典型例です。
かつてUNC5669として知られていた「ブリーズ・コメット」は、その手口が違います。金融サービス、フィンテック、小売、POS(販売時点情報管理)、eコマース企業に加え、政府機関や銀行を標的とし、直接資金源に手を伸ばすのです。カスタムマルウェアと巧妙な侵入手口を駆使して、ブラジルの金融機関が取引処理に用いるシステムに入り込み、単純に自分自身宛てに決済を実行します。Google Threat Intelligence Group(GTIG)とMandiantによる新たな調査によれば、一度に数万米ドル規模の金額が盗まれるケースもあるといいます。さらに悪いことに、専門家はこの手口が他の多くの国でも通用しかねないと警告しています。
ブラジル企業ネットワークへの侵入手口
Mandiantが確認した最も早いブリーズ・コメットの攻撃は2024年に遡り、パスワードスプレー攻撃やITサポートデスクを装ったビッシング(音声フィッシング)通話といった、ごく一般的な侵入手法から始まりました。目的は、標的組織内部に遠隔監視・管理(RMM)ソフトウェアを導入することでした。こうした手口は、このグループの手練れぶりと強い動機を巧妙に覆い隠していました。
2025年、脅威インテリジェンス企業Axurの研究者らは、このハッカー集団が標的企業の内部関係者をリクルートしようとしていたことを突き止めました。別のケースでは、小売店のネットワークに自前のハードウェアを直接接続し、初期アクセスポイントを確立していました。GTIGはDark Readingへの声明で次のように述べています。「物理ポートに接続されると、この不正デバイスは組織自身の動的ホスト構成プロトコル(DHCP)サーバーから内部IPアドレスの割り当てを首尾よく受けることに成功しました。ネットワークセグメンテーションの欠如により、脅威アクターはこの初期の足がかりから偵察を行い、標的組織の企業ネットワークへとアクセスを拡大することができました」
GTIGは、こうした被害を未然に防ぐためにいくつかの即効性のある対策を導入するよう組織に助言しています。「支店や小売拠点の物理的なイーサネットスイッチポート全体に802.1Xネットワークアクセス制御(NAC)を導入し、不正なハードウェアデバイスがインターネットプロトコル(IP)アドレスを取得したり内部サブネット上で通信したりすることを防いでください」とGTIGは述べ、未使用のネットワークスイッチポートを無効化し、配線盤や外部に露出したジャックへの物理的なアクセスを制限することも有効だと付け加えています。
このブラジルのグループは、昨年半ばまでに最も効果的な侵入戦略にたどり着いたようです。セキュリティが不十分な小規模なブラジル政府系ウェブサイトを見つけ出し、そこにマルウェアを仕込んで、その信頼されたドメインを踏み台に、本来の標的に対するソーシャルエンジニアリング攻撃を仕掛けるという手口です。憂慮すべきことに、このグループはナイジェリア、パラグアイ、ガーナ、ベネズエラといった他地域の自治体ウェブサイトをハッキングし、この成功パターンを他地域でも再現しようとしています。
さらに、MandiantとGTIGの研究者は、ブリーズ・コメットがマルウェア開発に生成AIを利用している証拠も確認したとしており、報告書によれば「今後、彼らの活動の規模、速度、高度さがさらに増す可能性がある」としています。
ブリーズ・コメットが現金を盗み出す手口
侵入後、ブリーズ・コメットは権限昇格、ラテラルムーブメント(横方向展開)、永続化を実現するために設計されたカスタムマルウェア一式を駆使します。その中でも「RealBreeze」はLDAP(Lightweight Directory Access Protocol)ディレクトリサーバーへのブルートフォース攻撃を行い、「LightPaint」は正規のVPNをインストールして永続化を確立し、「KickPlate」はWindows Update Health Toolsになりすましながら、Windowsサービスの改変やレジストリ起動キーの操作を行い、追加のペイロード導入を容易にします。
このグループのマルウェアの中でおそらく最も興味深いのは「CobaltSpin」です。これは、内部の侵害済みマシンから同グループのコマンド&コントロール(C2)インフラへとネットワークトンネルを確立することで、厳格にセグメント化されファイアウォールで保護された金融ネットワークをすり抜けます。最終的な狙いは、組織が決済に使用する金融アプリケーション、ブラジルの場合はPixのようなシステム、Boleto、および準備金振替システム(STR)に到達することです。
Axurの親会社であるInfobloxの上級脅威研究者、ザック・エドワーズ氏は驚きを隠しません。「このグループはブラジルの即時決済システムの専門家です。彼らはPixを隅々まで熟知しています。Pixの導入形態は組織ごとに微妙に異なることを彼らは理解しています。ですから、Pixにアクセス可能な組織を侵害できたら、次はその組織の認可プロセスや不正・悪用対策のプロセスを解明し、不正な発注を一気に大量送信するのか、それとも時間をかけて少しずつ流すのかを判断する必要があります。つまり彼らは組織を入念に研究し、不正・悪用検知システムを作動させることなく、どうすればそれらの取引を実行できるかを見極めているのです」
そこまで来れば、あとは現金化するだけです。研究者らが確認したあるケースでは、ブリーズ・コメットは標的の決済システムへのアクセスを獲得してから24時間から48時間以内に数百件の不正取引を実行し、数万ドル相当のブラジルレアルを盗み出しました。
エドワーズ氏は、ブリーズ・コメットが内部ネットワークコマンドの実行に使用するトンネルやRMMを特定することで、こうした活動を監視するよう組織に助言しています。「もし自社でRMMやその他の遠隔監視技術、遠隔カスタマーサポートを正当に利用する用途がないのであれば、それらを禁止し、それらが使うドメインをブロックすべきです」
それに加えて、管理者による承認ワークフローにも厳しい目を向けるべきだと同氏は提言します。「取引が承認される前のプロセスを監査し、組織として期待する適切な管理策が備わっているかを確認することです」と同氏は述べます。「二要素認証(2FA)であれ、パスキーであれ、何であっても構いません。重要なのは、APIコール一つでこれらの取引が実行されてしまうことがないよう、何らかの二次的な確認プロセスを組み込むことです」
ブラジルの突出したサイバー犯罪事情
ブリーズ・コメットは、1990年代、あるいはそれ以前にまで遡る社会経済的な力学が直接生み出した産物と見ることができます。
「90年代、ブラジルはハイパーインフレに苦しんでいました」と説明するのは、TrendAIでAIセキュリティ・脅威研究担当バイスプレジデントを務めるトム・ケラーマン氏です。同社も今年に入りブリーズ・コメットの活動を観測しています。「そのハイパーインフレの結果として、ブラジルは子供たちにコンピューターの使い方を教え始めました。学校ではコンピューターサイエンスが必修科目になったのです」。この危機が、近代化の必要性という認識をいっそう高めたのだといいます。
同氏はさらにこう付け加えます。「これに加えて、ブラジルは1995年、ラテンアメリカで初めて電子金融に移行した国でもありました。つまり、お金がデジタル化される一方で、子供たちには仕事が見つからなかったのです。そのため、非常に組織化されたサイバー犯罪コミュニティが育っていくことになりました。早くも1998年にはブラジルでこうした動きが始まり、お金がデジタル化されていたことから銀行が標的にされました。それに続いて、ラテンアメリカの多くの銀行、スペイン語圏の銀行が、ブラジルの主要な麻薬密売組織や刑務所内ギャングと結びついた、極めて組織的なサイバー犯罪集団による猛攻撃にさらされることになったのです」
ケラーマン氏によれば、今日のブラジルの脅威アクターは、イランや北朝鮮をはじめとする悪名高い国際サイバー犯罪の拠点に匹敵する、あるいはそれ以上の脅威をもたらす存在になっているといいます。そして、ブリーズ・コメットは他のブラジル系グループと比べても、さらに一段上の存在です。
「彼らはラテンアメリカで最も重大な脅威アクターです」とケラーマン氏は主張します。そして、こう警鐘を鳴らします。「彼らが金融機関を標的にしてきたその手法は、他の業界にも十分応用され得るものです」
翻訳元: https://www.darkreading.com/threat-intelligence/breeze-comet-brazilian-global-financial-systems
