ロシア政府と関係するハッカーが、北大西洋条約機構（NATO）加盟国の防衛関連企業2社と法執行機関1つに侵入していたことが分かりました。スパイ活動の一環とみられます。Symantecの研究者が火曜日、ブログ記事で明らかにしました。
2016年の米大統領選期間中に民主党全国委員会（DNC）をハッキングしたことで悪名高いグループが、Symantecが特定した、ここ数カ月の攻撃の背後にいます。このグループはSwallowtailで、APT28、Fancy Bear、Forest Blizzardとも呼ばれ、ロシア軍の情報機関GRUとのつながりで知られています。
ハッカーは標的を慎重に選んだようです。標的には、海軍向けの造船会社、軍用航空機エンジンのメーカー、そして法執行機関が含まれます。造船会社への攻撃では、Symantecが「ハンズオンキーボード」型の活動を確認しました。ハッカーは1週間にわたって侵害したホストに繰り返し戻り、認証情報を盗み出していました。
「ハンズオンキーボードの活動は、マルウェアが決まった処理を実行しているのではなく、人間のオペレーターが次の行動を判断していることを意味します」と、Symantec Threat Hunter Teamのプリンシパル・インテリジェンス・アナリスト、ディック・オブライエン（Dick O’Brien）氏はCyberScoopに語りました。「その組織が偶発的な感染ではなく、オペレーターにとって本物の標的であることを裏付けるものです。最初の感染にとどまらず、さらなる悪用が少なくとも試みられたことも確認できます」
オブライエン氏によると、今回の攻撃は欧州の政府機関や防衛関連の標的を狙った、より広範な情報収集活動を反映しています。ただ、動機は確定していません。同氏は、ロシアとの戦争でウクライナを支援する国々を狙う一連の攻撃の一部だった可能性があるとの見方を示しました。
ハッカーはHookedgeバックドアを使用していました。このバックドアは、Recorded FutureのInsikt Groupが8月に初めて確認したものです。同社は、同じグループが昨年9月にさかのぼって同じバックドアを使い、ルーマニア、スペイン、トルコの防衛・外交関連の標的を攻撃していたことを確認しています。
Symantecはまた、ハッカーがこれまで文書化されていなかったローダーを展開していたことも確認しました。
「驚いたのは、攻撃者が最も機微なフォローアップ活動を専用サーバーに移していた点です。Recorded Futureは、攻撃者が無料サービスを渡り歩き続けると予想していました」とオブライエン氏は述べました。「ローダーの『ld.exe』は、これまで公には文書化されていませんでした。ペイロードをメモリ上で復号し、コマンドラインで実行時にのみ渡される鍵を必要とします。暗号化されたファイルと鍵の両方がなければ、ペイロードは復元できません。今回は復元できなかったため、その機能は分かっていません」
今年の春、研究者と米政府機関は、Forest Blizzardによるスパイ活動を阻止したと発表しました。西側諸国の政府は昨年、このグループがウクライナを支援する企業を狙っていると警告していました。
翻訳元: https://cyberscoop.com/russian-hackers-apt28-target-nato-defense-firms/
