ロシア国家と関係するハッカーが、NATO加盟2カ国の造船会社、軍用航空機エンジンメーカー、法執行機関を標的にしたスパイ活動を行っていたことが、研究者の調査で明らかになりました。
サイバーセキュリティ企業のSymantecによると、この攻撃はロシア軍の情報機関であるGRU(参謀本部情報総局)と関係するハッカー集団「APT28」によるものとされています。研究者は、NATO加盟の2カ国や標的となった組織の名称を明らかにしておらず、被害者が欧州に所在するとだけ説明しています。
ハッカーは、最近発見されたバックドア「Hookedge」を使って被害者のシステムに侵入し、認証情報を盗み出すとともに、ネットワークに関する情報を収集していました。このマルウェアは、8月にRecorded FutureのInsikt Groupが初めて報告しています。
造船会社に対する攻撃では、7月に従業員がメールの添付ファイルとして届いた悪意あるMicrosoft Word文書を開いたことで、ハッカーが侵入に成功しました。攻撃者はその後、社内ネットワークを調査し、ログイン認証情報の窃取を試みました。
続く1週間、ハッカーは侵害したコンピューターに繰り返し戻り、これまで報告されていなかったツールを展開しました。このツールは、悪意あるコードを復号し、コンピューターのメモリ上で直接実行するよう設計されています。ツールの最終的な目的は不明です。
感染が最初に確認されたのは7月24日で、関連する悪意ある活動は9月24日になっても検知されていました。この経過から、攻撃は少なくとも2カ月にわたって続いたとみられますが、研究者は、攻撃者がその間ずっと途切れることなくアクセスを維持していたかどうかまでは特定できていません。
Symantecのインテリジェンスアナリスト、Dick O’Brien氏はRecorded Future Newsの取材に対し、攻撃者が機密情報の窃取に成功したかどうかは研究者にも判断できなかったと述べました。
「標的の性質を考えれば、攻撃の目的は防衛関連の情報だったと考えるのが妥当です」とO’Brien氏は語ります。「場合によっては、攻撃者が数週間にわたってネットワーク内に潜伏していました。その間にデータを入手する機会があった可能性があります」
Symantecによると、標的の選定からは、この攻撃が、欧州の政府機関や防衛関連組織に的を絞った、ロシアによる広範な情報収集活動の一環であることがうかがえます。
O’Brien氏は、8月のRecorded Futureによる最初の報告後も9月に活動が確認されたことから、このスパイキャンペーンは現在も続いているとみられると述べました。
APT28は「Fancy Bear」「BlueDelta」「Forest Blizzard」の名でも知られ、10年以上にわたり、欧州や北米の軍、政府、防衛関連組織に対してサイバースパイ活動を行ってきました。同グループは、2016年の米大統領選を前に民主党全国委員会(DNC)へのハッキングに関与したとされ、国際的な注目を集めました。
欧米のサイバーセキュリティ機関は、防衛や軍事物流に関わる組織、特にウクライナを支援する組織への侵害の試みについて、同グループに対して繰り返し警告を発してきました。
4月には、英国の安全保障当局が、APT28がインターネットルーターの脆弱性を悪用してウェブトラフィックをリダイレクトし、被害者を監視していたと警告しました。また今年初めには、ポーランド、スロベニア、トルコ、ギリシャ、アラブ首長国連邦などの海運、運輸、外交関連の組織を標的とする同グループ関連の活動を、研究者らが確認しています。
昨年には、欧米20以上の情報機関・サイバーセキュリティ機関が共同でアドバイザリーを発表し、APT28がウクライナへの外国支援の提供に関わる物流事業者やテクノロジー企業を標的にしていると指摘しました。
翻訳元: https://therecord.media/european-defense-contractors-fancy-bear-espionage
