イラン国家と結びついたハッカーが、CHOSEN BRICKと呼ばれるWindowsマルウェアファミリーを使い、反体制派や活動家、ジャーナリスト、その他イラン政権にとって脅威とみなされる人物を監視しています。
このマルウェアは少なくとも2025年から活動しており、英国、米国、オランダなどの国々で標的が確認されています。
英国国家サイバーセキュリティセンター(NCSC)、FBI、オランダの情報機関AIVDによる共同の勧告によると、CHOSEN BRICKはメールやソーシャルメディアのメッセージ、連絡先、スクリーンショット、音声録音、システム情報を窃取できるとされています。
収集されたデータは、被害者の通信内容や行動、日常の活動を追跡する手段として攻撃者に利用される可能性があります。
今回の警告は、イランが海外の批判者を特定し、監視・威嚇・嫌がらせを行うためにサイバー作戦を利用しているという懸念が続く中で発表されました。
これまでの複数の事例では、被害者から窃取された個人情報が親イラン派のリークサイトに公開されており、プライバシーと個人の安全に関する追加的なリスクを生んでいます。
攻撃者はまずWhatsAppを通じて攻撃を開始し、Telegramなど他のメッセージングプラットフォームも利用します。
彼らは時間をかけて標的との信頼関係を築き、被害者の既知の人物や、メッセージングサービスのテクニカルサポート担当者を装うことがよくあります。
その後、攻撃者は標的を説得し、正当なものに見えるファイルをダウンロードして開かせます。
確認されているおとりファイルには、Pictory、RunwayML、Norton Antivirus、Telegram、Adobe Flash Player、KeePassといったアプリケーションを装ったものがあります。また、MRI検査結果など医療文書に偽装されたファイルも見つかっています。
攻撃者は最初に業務用デバイスを通じて標的に接触することがあります。企業のセキュリティ対策によって感染の試みがブロックされた場合は、標的に個人所有のWindowsデバイスでファイルを開くよう圧力をかけることがあります。
この手法により、雇用主が導入している管理対象エンドポイント保護を回避できます。
ファイルが開かれると、おとりは主張していた内容に関連する説得力のある画面を表示します。その裏側では、CHOSEN BRICKのコア部分となるマルウェアがダウンロードされ、実行されます。今回のキャンペーンでは、標的はWindowsシステムのみであることが確認されています。
CHOSEN BRICKは、Windowsレジストリのランキーにエントリを作成することで永続性を確立します。
これにより、対象のユーザーがログインするたびにマルウェアが起動するようになります。また、検出される可能性を減らすため、Microsoft Defenderのアンチウイルス除外設定を追加することもあります。
コマンド&コントロール通信については、各被害者に固有のTelegramボットIDが割り当てられます。Telegramを利用することで、攻撃者は悪意のある通信を広く使われている正規サービスのトラフィックに紛れ込ませることができます。また、このマルウェアはHTTPSやSOCKS5プロキシサービスを使い、Telegram接続を隠すこともあります。
活動を開始すると、CHOSEN BRICKは実行中のプロセスやデバイス情報を列挙し、スクリーンショットの取得やマイクを通じた音声の録音、TelegramやWhatsAppのWebブラウザデータの収集を行うことができます。さらに、メールの内容を窃取したり、追加のマルウェアをダウンロードしたり、ファイルを削除したりすることが可能で、侵害されたシステムを消去する能力を持つ場合もあります。
窃取されたファイルやデータは、Telegramボットや、VultrObjects、StorjShareを含むクラウドストレージサービスを通じて外部に送信されます。
調査担当者は、api.telegram.org、backblazeb2.com、vultrobjects.com、storjshare.io、iproyal.com、lightningproxies.netへの予期しない接続を確認するべきだと、NCSCは述べています。
組織は、不審なランキーのエントリを調査し、異常なメッセージングプラットフォームの通信を確認し、公開された侵害指標(IoC)を使ってエンドポイントをスキャンする必要があります。
16,000以上のSOCチームがANY.RUNを利用し、脅威調査を効率化して手作業の負担を減らしています。チーム向けに詳しく見る
翻訳元: https://cyberpress.org/chosen-brick-steals-messaging-data/
