親ウクライナ派のハクティビスト集団「Hacking Cat」が使用する新たなハッキングツールが研究者らによって発見されました。同集団はウェブサイト改ざんやデータ漏洩から、ロシアの標的に対するより高度で破壊的な攻撃へと手口を進化させています。
ロシアのサイバーセキュリティ企業カスペルスキーが先ごろ公表したレポートによれば、同集団はしばしば他のウクライナ系ハッカーと連携し、幅広い独自開発ツールを使用しているため、個々の攻撃を特定の脅威アクターに帰属させることが「著しく困難」になっているといいます。
Hacking Catは2024年2月頃からロシアの組織を攻撃対象としており、2025年夏までにはデータの暗号化や破壊を目的とした攻撃へと軸足を移し始めました。
カスペルスキーは、同集団に関連する攻撃において2種類のマルウェアファミリーを発見したと述べています。1つはこれまで確認されていなかったリモートアクセスツール「Gorilla RAT」、もう1つは「Monkey Ransomware」です。Monkey Ransomwareは、以前のレポートによると、ユーザーデータを暗号化し、被害を受けたファイルに「.monkey」拡張子を付加するものです。
一部の攻撃では、ハッカーがMicrosoft Exchangeサーバーの脆弱性を悪用して初期侵入の足がかりを得た後、Gorilla RATを展開していました。この独自ツールはネットワークトラフィックをトンネリングする機能を持ち、攻撃者が被害者のネットワーク内部のシステムに遠隔でアクセスできるようにします。
研究者らはまた、Hacking Catによるものとされる攻撃で侵害されたシステム上で、Monkey Ransomwareの多数の亜種を発見しました。このマルウェアは2025年夏の終わりから秋の初めにかけて初めて出現しましたが、攻撃者はその後数か月にわたって改良を重ね、異なるプログラミング言語で書かれた亜種を展開していました。
カスペルスキーは、この異例の速さでの開発が、マルウェアの作成や改変に生成AIが利用されたことを示している可能性がある、あるいは単に攻撃者がその機能を試行錯誤していた可能性があると述べています。
3月には、Hacking Catともう1つの親ウクライナ派ハクティビスト集団「Cyber Anarchy Squad」が、ロシアの国営原子力企業ロスアトムの取引業者への侵入について犯行声明を出しました。6月には、ハクティビスト集団「Ukrainian Cyber Alliance」と共同で、ロシアが占領するウクライナ・ドネツク州の一部地域で事業を展開する国営熱供給会社Donbassteploenergoに対する破壊的攻撃を行っています。
カスペルスキーによれば、研究者らは異なるハクティビスト集団が同一の独自開発ツールを使用しているケースや、場合によっては別々の攻撃で全く同一の多段階感染チェーンを使用しているケースも確認しているといいます。
例えば、Ukrainian Cyber Allianceとの共同作戦では、ハッカーらは「Nemo Wiper」と呼ばれるマルウェアを使用しました。研究者らによれば、このマルウェアは身代金の獲得ではなく、データの意図的な破壊とインフラの妨害を目的として設計されているとみられます。
こうした重複は、共通の開発者、あるいは少人数の開発者グループがマルウェアを作成・維持し、それが複数のハクティビスト活動間で配布されている可能性を示していると研究者らは指摘します。こうした共有によって、どの集団が特定の攻撃の背後にいたのかを特定することが一段と困難になっているといいます。
Hacking Catは、レポートに記載されたマルウェアの一部について、カスペルスキーによる帰属を否定しています。
「ツールの一部は確かに我々のものだが、ロッカー(暗号化ツール)は間違いなく違う」と同集団は先週Telegramの声明で述べ、カスペルスキーが無関係な集団のツールをHacking Catに結びつけていると非難するとともに、同社のリバースエンジニアリング作業を批判しました。
翻訳元: https://therecord.media/ukraine-malware-russia-ransomware
