これまで中国の機密性の高いテクノロジー分野や防衛関連組織を標的としてきたサイバースパイ集団が、活動範囲をロシア企業にも広げていることが、今週公開された最新の調査で明らかになりました。
この集団は「NightEagle」または「APT-Q-95」として知られ、少なくとも2023年から活動しており、これまではアジア地域での攻撃に重点を置いていました。しかしロシアのサイバーセキュリティ企業カスペルスキーによると、過去1年間でロシア企業を標的とした同集団によるインシデントを複数調査したとしています。
多くのケースでは、攻撃者は盗んだ認証情報を使い、VPN(仮想プライベートネットワーク)経由で企業ネットワークへの侵入を果たしていました。ネットワーク内部に侵入した後、NightEagleはMicrosoft Exchangeのメールサーバーを標的とし、「GhostContainer」と呼ばれるバックドアを設置します。このバックドアは、攻撃者が侵害したサーバーを遠隔操作できるほか、Windowsのセキュリティ機構やログ記録の一部を回避し、ネットワークトラフィックをリダイレクトすることも可能にします。
カスペルスキーは、ハッカーがどのようにしてGhostContainerをExchangeサーバーに最初に仕込んだのか、正確には特定できていないとしています。ただし研究者らは、以前にも確認された手法、すなわちExchangeから暗号鍵を抽出し、Microsoftのウェブアプリケーションフレームワークを操作してサーバーのメモリ上で直接バックドアを実行する手法が用いられたとみています。
この集団はまた、ハッキングツールを格納したアーカイブの保存先としてGitHubを利用し、AdobeSyncやTrueConfといった正規のソフトウェアに見せかけた名称でリポジトリやファイルを偽装していました。
侵入の足がかりを得た後、ハッカーらは企業ネットワーク全体でユーザーやコンピューター、権限を管理するMicrosoftのシステムであるActive Directoryの脆弱性を悪用し、より高い権限を取得してシステム間を横断的に移動していました。
カスペルスキーによると、こうした手法によってハッカーらはアクセスを維持し、認証情報を窃取した上で、正規ユーザーになりすますことが可能になっていました。攻撃者は最終的に、組織のネットワーク全体でアクセス管理の中心的な役割を担うサーバーであるドメインコントローラーの侵害を試みていました。
カスペルスキーの研究者は、「標的とする地理的範囲を拡大するため、NightEagleは手法を更新し、持続性維持と横方向移動のための新たな技術を採用している」と述べています。
カスペルスキーは、標的となったロシア企業を特定しておらず、影響を受けた組織の数についても明らかにしていません。また、攻撃の背後にある動機についても言及していません。
NightEagleが初めて公に知られるようになったのは2025年7月のことで、中国のサイバーセキュリティ企業QiAnXinの研究者が、同社が「APT-Q-95」として追跡していたハッキング活動を報告したのがきっかけでした。研究者らによると、この集団は少なくとも2023年から活動しており、防衛、半導体、人工知能、量子技術といった戦略的に機密性の高い産業に従事する中国の組織を標的としてきたとされています。
QiAnXinはこの活動をサイバースパイ活動と位置づけ、ハッカーらは当時の研究者が未知の脆弱性である可能性があるとみていた手法を使い、Microsoft Exchangeサーバーを標的にしていたと述べています。
研究者らがこの集団を「NightEagle(夜の鷹)」と名付けたのは、その運用者が主に中国時間の夜間に攻撃を実行し、作戦に使用するインフラを頻繁に変更していたことに由来します。
中国のサイバーセキュリティ研究者らは、これまでこの集団を北米と関連付けてきました。ただし、こうした見方は他の研究者による独立した検証を経ておらず、集団の帰属については依然として不確かなままです。
翻訳元: https://therecord.media/hacking-group-nighteagle-expands-russia-china
