サイバーセキュリティ企業Proofpointが水曜日に発表したところによると、少なくとも4つのサイバースパイグループ（そのほとんどが中国の国家情報機関と関連があるとされる）が、8月末から今週にかけて、これまで知られていなかった同一のGoogle Chromeの脆弱性を悪用した攻撃を行っていたことが分かりました。
これらのグループは、Proofpointが「BlueMoon」と名付けた同一のエクスプロイトキットを使用し、Chromeブラウザを侵害して、米国の防衛関連企業、NGO、東南アジアの政府機関に対してマルウェアを展開していたことが確認されました。
Proofpointの研究者らによると、さらに2つのグループもこのキットを使用したとみられており、今回のキャンペーンについては他のセキュリティ企業からもさらなる報告が出てくるとみています。
今回の事例は、本来別々に活動しているはずの中国関連ハッカーたちがほぼ同時期に同一の攻撃ツールを入手するという、これまでにも繰り返し見られてきたパターンに当てはまるものです。これは、こうしたグループが政府や共通の請負業者からツールを供給されているのか、あるいはより広範な商業市場によって複数の脅威アクターにツールが販売されているのか、という疑問を投げかけています。
Proofpointによれば、これらのハッカーはそれぞれ別個の作戦を展開する別々のグループであり、異なる標的を狙い、それぞれ独自のマルウェアや指令サーバー(C2)インフラを使用していたとのことです。しかし、エクスプロイトキット自体は間違いなく共有されていたといいます。
「これが並行開発である可能性はまったくありません」と、Proofpointの脅威リサーチャーであるMark Kelly氏はRecorded Future Newsのインタビューで語りました。「コードはほぼ同一です。変数の命名やコメントに至るまで。同じキットです。100パーセント間違いありません」
心の中に夢もなく
BlueMoonが悪用した脆弱性は、Chromeのベースとなるオープンソースプロジェクト「Chromium」において、実は8月上旬にはすでに修正されていたものでした。しかし、この修正内容がChromiumの公開コードに反映されてから、Chromeブラウザの安定版を利用するユーザーに届くまでには4週間を要しました。
これにより、研究者たちが「パッチギャップ」と呼ぶ状態が生まれました。これは、攻撃者が公開されたコードを調査し、修正箇所を特定した上でどの脆弱性に対応するものかを解析し、修正がユーザーに届く前にエクスプロイトを開発できてしまう期間を指します。
「歴史的に見れば、この[4週間のギャップ]は十分に許容範囲内でした」とKelly氏は述べ、この期間内にパッチをリバースエンジニアリングして武器化することはこれまで稀だったと指摘しました。「しかし、もはやそうとは言えなくなっているようです」
Googleは火曜日、セキュリティ修正をより迅速にユーザーに届けることを目的の一つとして、Chromeのリリースサイクルを2週間へと移行し始めました。
BlueMoonエクスプロイトキットは、2つのブラウザの脆弱性とWindowsの脆弱性を組み合わせることで、攻撃者が被害者のコンピューターを制御できるようにするものです。キットはその後、使用するグループが選んだマルウェアへと処理を引き継ぎます。
Proofpointによると、この最終段階は驚くほど粗雑で、一般的なコマンドラインツールであるcurlを使って悪意のあるファイルを一時フォルダにダウンロードするという、セキュリティソフトウェアに攻撃を検知する複数の機会を与えてしまう手法が用いられていたといいます。
Kelly氏は、このずさんさはおそらく、Chromeユーザーがパッチを受け取る前にエクスプロイトを使用しようとする競争を反映したものだと述べています。
「パッチが間もなく提供されるというパッチギャップの力学があったため、できるだけ早くこれを世に出すことに大きく傾いていったようです」と同氏は語りました。
こうした「拙速さ」は、過去の中国関連キャンペーンにも見られてきました。西側の分析家たちは、多くの中国系ハッキンググループが独立して活動していると評価している一方で、これらのグループがパッチのリリースとほぼ同時に同一のバグを繰り返し悪用するというパターンが浮かび上がっています。
関連記事: 3つのハッキンググループ、2つの脆弱性、そして中国に注がれる視線
Proofpointが最初にこのエクスプロイトキットの使用を確認したグループは、APT31、Violet Typhoon、RedBravoとも呼ばれるTA412で、8月末からこれを使用し始めました。
米当局は2024年、このグループのために活動していたとされる複数の中国人を起訴しており、同グループによる重要インフラへの攻撃に関与し、中国国家安全部(MSS)のフロント企業とみられる武漢拠点の企業にも制裁を科しています。
Proofpointによると、このグループは偽のインターンシップ問い合わせやアジア研究学会に関するメッセージなどを誘い文句として使い、米国のNGO、鉱業会社、商品取引業者を標的にしていました。
同グループは、GoogleのAIアシスタント「Gemini」を装った悪意のあるブラウザ拡張機能をインストールしており、これは「ブラウザの監視と認証情報窃取のバックドアとして機能する」ものでした。
UNK_LateNightと追跡されている2つ目のグループは、BlueMoonを使って米国の航空宇宙・防衛関連企業を標的にし、偽の調達問い合わせを使ってShadowPad（中国の国家系ハッカーが広く使用しているバックドア）をインストールしました。
UNK_DoubleCheckと追跡されている3つ目のグループは、LateNightと同時期にBlueMoonの使用を開始しました。同グループは、侵害された東南アジアの政府機関のメールアカウントと偽のワクチン接種予約を使い、ベトナムの製造業者を標的にしました。
Proofpointは、このグループをどの国とも関連付けていないとしています。Kelly氏は「私たちはまだ[彼らを]特定の帰属先に結びつけたわけではありません。中国と関連がないと言っているわけではありません」と述べました。
4つ目のグループであるUNK_QuietRacketは、偽のインドネシアでの会議への招待を使い、インドネシアとシンガポールの政府機関、コンサルティング会社、金融機関を標的にしました。Proofpointはこのグループを中国と関連がある可能性が高いと評価しています。
AIを利用するハッカーたち
同社はまた、AIツールとのやり取りを思わせるデバッグ用コメントや、AIセッション間で文脈を引き継ぐために使われる文書への言及など、AIがBlueMoonの開発に関与した可能性を示す痕跡も発見しました。
Kelly氏によると、AIは公開されたソフトウェア修正情報を、パッチがユーザーに届く前に実際に機能するエクスプロイトへと変換する作業を容易にしている可能性があるといいます。
「Twitter上では、人々がAIを使ってこれらのChromiumパッチをリバースエンジニアリングし、機能するエクスプロイトを開発しています」と同氏は述べています。「オープンソースのコードであるため、AIはこの作業を非常に得意としています」
また、このコードにはGoogleのV8バグ報奨金チャレンジへの言及もあり、開発者たちがエクスプロイトを構築する過程で、その作業を正当なセキュリティ研究であるかのようにAIシステムに提示していた可能性を示唆しています。
これらの別々のグループがどのようにして数日のうちに同一のエクスプロイトを入手したのかは、依然として不明です。
考えられる可能性の一つは、ShadowPadで見られたモデルです。すなわち、民間の開発者がツールを構築し、それを複数の国家系の顧客に販売するというものです。Proofpointは、BlueMoonが共通の請負業者から提供されたものなのか、国家によって配布されたものなのか、あるいは別の共有チャネルを通じて広まったものなのかを特定することはできませんでした。「実に入り組んだ関係です」とKelly氏は述べました。「解きほぐすのは非常に困難です」
翻訳元: https://therecord.media/china-hackers-chrome-browser-zero-day-multiple-groups
