NCSC、同盟国とともにイランのスパイウェアキャンペーンを警告

英国およびその同盟国は、イラン政権に反対する人々に対し、テヘランが支援するスパイウェアキャンペーンの標的となる可能性があると警告しました。

昨日発表された勧告は、英国国家サイバーセキュリティセンター(NCSC)、FBI、オランダの総合情報保安庁(AIVD)によるもので、イラン政権に批判的な反体制派、活動家、ジャーナリストを支援することを目的としています。

勧告によれば、スパイウェアによって盗まれた情報が親イラン派のリークサイトに掲載された事例もあり、被害者の身の安全に対するリスクが高まっているとのことです。

NCSCの運用責任者であるポール・チチェスター氏は、次のように述べています。「今回のサイバーキャンペーンの詳細は、イランが政権批判者を弾圧するという目的のために、いかに容赦なくデジタル監視を利用しているかを示しています。メールやメッセージを盗み出し、デバイスに不正アクセスしているのです」

「国際的なパートナーとともに、私たちはリスクにさらされている個人に対し、本勧告で説明されているソーシャルエンジニアリングの手口をよく理解し、緩和策のアドバイスを実践するよう強く呼びかけます」

イランの脅威に関する関連記事: 米国、イランのサイバー攻撃を理由にMabna Instituteのハッカーを制裁。

このキャンペーンは、Chosen Brickと呼ばれるスパイウェアの配布を中心に展開されています。このスパイウェアは、標的の連絡先、メール、SNSメッセージを収集するよう設計されており、行動の追跡や弾圧、あるいはそれ以上の目的に利用される恐れがあります。

報告書によれば、このマルウェア自体はWindowsのレジストリキーを利用して永続性を確保し、検出を回避するためにMicrosoft Defenderのウイルス対策に除外設定を追加するとのことです。

コマンド&コントロール(C2)にはTelegramを利用しており、実行中のプロセスやシステム情報の列挙、画面キャプチャ、ブラウザからのTelegramおよびWhatsAppデータの収集、メールの窃取、デバイスのマイクを有効化しての音声キャプチャなど、多岐にわたる機能を備えています。

NCSCによると、ファイルの削除、追加マルウェアのダウンロード、システム全体のワイプも可能だとしています。

Chosen Brickはソーシャルエンジニアリングを通じて配布されます。攻撃者はSNS上で被害者との信頼関係を築きますが、その際、知人やソーシャルメッセージングアプリの技術サポート担当者になりすますのが常套手段です。そして、正規のアプリ(Pictory、RunwayML、Norton Antivirus、Telegram、Adobe Flash Playerなど)やファイル(MRIスキャン画像など)をダウンロードするよう被害者を説得します。

標的となった場合の対策

勧告では、感染の疑いがある組織に対し、社内または社外のITプロバイダーに連絡して調査するよう促しています。

さらに、次のように付け加えています。「この攻撃者は企業のデバイスだけでなく個人のデバイスも標的にするため、組織は標的になりやすい従業員にこの情報を周知し、個人のデバイスについても確認するよう支援することが推奨されます」

一方で朗報もあります。NCSCによれば、このスパイウェアは多数の正規のWebサービスとやり取りするため、DNSやWebプロキシサービスを通じて企業のログに記録される可能性が高いとのことです。

• ダウンロードリンクや添付ファイルをクリックしないなど、オンラインで安全を保つためのNCSCのアドバイスに従う
• デバイスのOSやソフトウェアの自動更新を有効にする
• 信頼できるウイルス対策ソフトを有効にし、常に最新の状態を保つ
• ファイルダウンロード時のスマートスクリーン警告を無効にしたり無視したりしない

報告書ではまた、ネットワーク管理者に対し、フィッシング耐性のあるMFAの有効化、ウイルス対策やアプリの許可リストなどの管理策によるデバイス群の管理・保護、エンドポイントおよびネットワーク監視の導入の検討も推奨しています。

NCSCによると、このキャンペーンは少なくとも2025年から続いているとのことです。