security
「体制の敵」に警告
イラン政府系のサイバー攻撃者が、ソーシャルメッセージングアプリを利用して個人を標的にし、Windowsマシンに監視・情報窃取マルウェアを展開していることが、西側3カ国の政府機関による警告で明らかになりました。
これまでに確認された事例では、Chosen BrickはWindowsシステムのみに感染しています。イランは少なくとも2025年からこのマルウェアを使い、個人の端末を乗っ取ってきました。連絡先、メール、SNSのメッセージを盗み出すことで、スパイたちは標的の行動を追跡できるようになります。この内容は米連邦捜査局(FBI)、英国立サイバーセキュリティセンター(NCSC)、オランダ総合情報保安局(AIVD)が火曜日に発表したものです。
「イランはほぼ間違いなく、体制への脅威とみなす反体制派、活動家、ジャーナリストなどの個人を弾圧するためにサイバー活動を利用しています」とセキュリティ勧告は述べています。「イラン情報機関は一部のケースで、体制の敵とみなす個人を国際的に誘拐したり、殺害工作を計画したりしています」
これらの攻撃は通常、被害者が知っている、あるいは信頼している個人・組織を装ったWhatsAppやTelegramのメッセージから始まります。
イランのスパイたちは、こうしたソーシャルエンジニアリング作戦の準備に相当な労力をかけて調査を行います。当局によると、SNSアプリで最初のメッセージを送る時点で、攻撃者は標的となる人物やその連絡先、関連業界の組織について「膨大な」知識を持っており、偽メッセージの信憑性を高めているといいます。
標的との信頼関係を築いた後、攻撃者は正規のアプリケーションに見せかけたファイルをダウンロードして開くよう仕向けます。具体的には、Pictory、RunwayML、Norton Antivirus、Telegram、Adobe Flash Player、KeePassといった正規アプリケーションを模した悪意あるファイルが確認されている、と各政府機関は述べています。
ファイルを開くと、マルウェアは被害者に気づかれることなく実行され、標的端末を再起動しても生き残ります。Chosen Brickは検出を回避するためMicrosoft Defenderアンチウイルスに除外設定を追加し、その後被害者ごとに専用のTelegramボットを使ってコマンド&コントロール(C2)通信のためTelegramに接続します。
このマルウェアがネットワーク内での横展開を自動化する様子はこれまで確認されていませんが、「技術的には可能」だと勧告は指摘しています。
ただし、Chosen Brick自体がWindowsデバイス上で永続化する際に使用するレジストリキー「HKCU\Software\Microsoft\Windows\CurrentVersion\Run」を用いて、感染端末に追加のマルウェアをダウンロードし、新たなペイロードの永続化を設定することは可能です。
その他の機能として、実行中のプロセスやシステム情報の列挙、画面・音声コンテンツのキャプチャ、メールの窃取、さらにはWebブラウザからのTelegramやWhatsAppデータの窃取、そしてコンピューターシステムの消去などが挙げられます。
「Chosen Brickが実行された疑いがある組織は、社内・社外を問わずITプロバイダーに連絡し、調査を依頼すべきです」と米国、英国、オランダの当局は警告しています。「この攻撃者は企業端末だけでなく個人端末も標的にしているため、標的となる可能性のある従業員にこの情報を周知し、個人所有の端末についても確認するよう支援することを推奨します」
西側諸国の機関による今回のイラン関連の警告に先立ち、イランに関連しているとみられる一連の水道・エネルギー分野へのサイバー攻撃が研究者や報道によって指摘されています。ただし、米英両政府はイランへの正式な帰属認定には至っておらず、イランと米国の軍事的緊張は7カ月目に突入しようとしています。
8月には、米国の主要サイバーセキュリティ機関であるCISAが、12州の米国内水道事業者に混乱をもたらした7月のサイバー攻撃が、インターネットに公開された100以上の水道システムを標的にしていたことを公表しました。ただしCISAは、この攻撃をイランや他の主体によるものと断定してはいません。
同時期には、イラン関連とみられるサイバー攻撃によって英国の小規模発電所が停止に追い込まれた事例もありました。
さらに8月には、米国の5つの政府機関が、攻撃者がAIが生成したエクスプロイトスクリプトを使い、水道、製造、エネルギーなどの重要施設でインターネットに公開されたSiemens S7シリーズのプログラマブルロジックコントローラー(PLC)に侵入していると警告しました。
「これは理論上のリスクではなく、現在進行形の脅威です」と当局は警告しています。 ®
