Dream Securityによると、DarkBlindersのハッカー集団は、イスラエルとイラクのクルディスタン地域を標的としたサイバースパイ活動で、GitHubリポジトリを悪用してマルウェアを制御していました。
研究者らは2026年8月から10月にかけてこの活動を確認しており、レポートの公開時点でも活動は続いていたといいます。被害が確認されたのは、イラク・クルディスタンの政府クラウド環境と、セキュリティ分野に関わるイスラエルの著名人1人です。
攻撃者は認証情報を盗み出し、この政府クラウド環境から少なくとも1GBのデータを持ち出しました。また、攻撃インフラはクウェート外務省と湾岸協力会議(GCC)事務局にもなりすましていました。政府や外交分野の標的にも、より広く関心を寄せていた可能性があります。
この攻撃では、認証情報のフィッシングとマルウェアの配布が組み合わされていました。偽のOutlook Web Appのページでユーザー名とパスワードを収集し、Google Driveを模倣したページではアーカイブのダウンロードに誘導していました。
もう一つの誘い文句が、偽のビデオ会議アプリ「StarkMeet」です。インストーラーは通常のセットアップ手順を表示し、本物らしい会議画面を開きます。しかし、「参加」をクリックしても必ず接続エラーになります。StarkMeetのアーカイブを配布する際に使われた元のメッセージは、研究者らも確認できていません。
インストーラーは、%LOCALAPPDATA%\Microsoft\RuntimeBrokerの配下に、複数の悪意あるコンポーネントを個別に配置します。目に見える会議アプリを削除した後も、これらのコンポーネントは動作し続ける可能性があります。
RuntimeBroker.exeという名前に変更された正規の署名付き実行ファイルが、RuntimeBroker.dllを読み込みます。MicrosoftRuntimeという名前のレジストリRunエントリが、永続化を維持します。
ローダーは埋め込まれたGitHubトークンを使い、システム情報をPeakyBlindersTeam/myLicリポジトリに送信します。報告される情報には、ユーザー名、マシン名、ドメイン、キーボードレイアウト、セキュリティ分析の結果が含まれていました。
その後、攻撃者側のオペレーターが各システムを確認したうえで、アクティベーション用の情報を提供します。研究者らは、最初のホスト登録を約10件確認しました。ただし、第2段階のタスク指示用チャネルに現れた被害者は、特定できた2件だけでした。
選ばれたシステムでは、ローダーがAES-256-CBCでRuntimeBrokerApi.dllを復号し、復号したバックドアをディスクに保存せず、メモリ上に直接読み込みます。
このバックドアは、別のトークンを使ってPeakyBlindersTeam/myCodeと通信します。約63秒ごとにコマンドを確認し、リポジトリ内のファイルを通じて実行結果を返します。
埋め込まれたヘルパーのPsProxy.dllは、powershell.exeを起動せずに、既存のプロセス内でPowerShellコマンドを実行します。このため、その子プロセスに着目した検知ルールでは見つけにくくなります。
このほか、ファイルのアップロードとダウンロード、ZIPの展開、GitHub APIの制限確認にも対応していました。Cloudflare Workerは、フォールバック用の通信中継として使われました。
2つのマルウェアは、公開されているMicrosoft/vscodeのissueのコメントに隠された暗号化コンテンツから、代替のリポジトリ設定やトークンを取得することもできました。この仕組みにより、トークンが失効したりインフラが遮断されたりしても、通信を回復できた可能性があります。
Dreamの研究者らは、Gitの履歴から復号用の情報を回収し、読み取り専用のアクセスで既存のリポジトリの内容を調べました。dreamgroupによると、ファイルの変更やマルウェアへのコマンド送信は行っていません。
調査では、今回の攻撃が過去の4件の攻撃キャンペーンと関連していることが分かりました。Dreamは、調査対象の活動がUNC5795およびDust Specterと同じ運用クラスターに属すると、中〜高程度の確度で評価しています。UNC5187やAPT34との関連の可能性については、確度は中程度の評価にとどまります。
ANY.RUNを活用して脅威調査を効率化し、手作業を減らしている16,000以上のSOCチームに加わりませんか。チームでの利用を検討する
翻訳元: https://cyberpress.org/darkblinders-exploits-github-repositories/
