イランの国家支援型サイバー脅威グループが、マルウェアの配布やサイバースパイ活動を支えるため、米国内に置いたコマンド＆コントロール（C2）サーバーを使用していることが明らかになりました。
この活動を特定したのは、Semperisのセキュリティ研究者です。研究成果は10月22日に公開されました。問題のイラン系グループは「Prince of Persia」と呼ばれ、約20年にわたって活動を続けています。
Prince of Persiaは、米国、欧州、中東の官民組織のほか、イラン政権に反対する反体制派などを標的にしています。
同グループの攻撃では複数種類のマルウェアが使われ、攻撃者は強力なデータ窃取機能を手にしています。機密文書を盗み出すだけでなく、感染した端末の画面を密かに撮影したり、録音された音声を取得したりすることも可能です。
今回の攻撃キャンペーンで確認されたマルウェアには、第1段階のローダーである「Foudre」と、第2段階のマルウェア「Tonnerre」があります。研究者によると、Tonnerreは攻撃者に完全な監視能力をもたらすといいます。
さらに、最近確認された「Tornado」というマルウェアも使われています。これは過去のマルウェアのコードベースを土台にしたものです。TornadoはHTTPSとTelegram APIの両方を秘匿C2チャネルとして利用でき、正規のネットワークトラフィックに紛れ込むことでファイアウォールを回避し、検知を免れます。
高度な検知回避機能
Prince of Persiaは、欧州のホスティングサービスや仮想専用サーバー（VPS）に活動を隠してきたことで知られています。しかし、マルウェアの検知回避機能のため、研究者は当初、今回の攻撃キャンペーンがどこでホストされているのかを突き止められませんでした。
Semperisでセキュリティ研究担当AVPを務めるTomer Bar氏によると、Prince of Persiaは今年2月、米国とイスラエルによるイランへの攻撃と時を同じくして活動を停止したように見えたといいます。
「イランが絡む地政学的紛争が起きると、このグループが活動を休止するのは珍しくありません」とBar氏は話します。
しかし、Tornadoマルウェア内の情報により、研究者は攻撃キャンペーンのホスト先を特定できました。それは米国のホスティング企業でした。
脅威グループが米国のホスティング事業者に活動を隠すこと自体は珍しくありません。ただ、イランの脅威グループが米国内のサーバーで活動をホストしていると特定されたのは、少なくとも12年ぶりで初めてのことです。
「Prince of Persiaが潜んでいるとは、最も予想していなかった場所です」とBar氏は付け加えました。
Prince of Persiaの活動は広範囲に及ぶものではなく、標的を絞ったものです。しかし、同グループは約20年にわたり、組織にとって継続的なサイバー脅威となってきました。同グループの攻撃から身を守るため、Semperisは次の対策を推奨しています。
- セキュリティ対策を最新の状態に保つ
- Telegramの不審な通信を監視する
- OSを完全にアップデートする
翻訳元: https://www.infosecurity-magazine.com/news/iranian-hacking-group-hosting-c2/
