APT29のウォーターホール攻撃、数千人のモバイルユーザーが標的に

ロシアの脅威グループAPT29が、ウクライナのSEO・ウェブ解析サービスのウェブサイトを侵害し、そのアクセス権を短期間利用して、デバイスのフィンガープリントを取得する悪意あるコードを、数千人規模とみられるiPhoneおよびAndroidユーザーに配布していたことが、今週明らかになりました。

今年初めに1週間にわたって続いたこの侵害は、APT29（別名Cozy Bear、Midnight Blizzard、The Dukes）によるより大規模なウォーターホール（水飲み場型）攻撃キャンペーンの一部でした。同グループは、他の正規サイトや偽サイトも使ってフィンガープリント型マルウェアを配布し、その後、選別したデバイスから機微な個人情報を収集していました。

AndroidとiPhoneユーザー以外に明確な標的は見えず

このキャンペーンを追跡しているSekoiaの研究者は、国家支援型のAPT（高度で持続的な脅威）グループが特定の標的を想定していたのか、それとも感染可能な脆弱なスマートフォンをできるだけ多く狙っていただけなのか、判断できていません。

Sekoiaの脅威リサーチ・インテリジェンスチームは、「直接侵害されたウェブサイトを分析しても、特定の業種に絞った標的設定のパターンは見えてきません」と述べています。「被害者の傾向を見るとウクライナと米国に重点があるものの、オーストラリアの医療クリニックのような無関係の組織も含まれており、戦略的な意図を大局的に解釈するのは困難です」

APT29は広く知られた脅威アクターで、米国政府はロシア対外情報庁（SVR）との関係を公式に認定しています。主な任務はモスクワのための情報収集で、政府機関、外交組織、シンクタンク、テクノロジー企業、医療、研究機関を重点的に狙っています。

代表的な攻撃には、2016年の民主党全国委員会への侵入、2020年の新型コロナワクチン研究の窃取の試み、そしてSolarWindsのサプライチェーン侵害があります。SolarWindsの事件では、米国の多数の政府機関や民間組織へのアクセスを手に入れました。同グループはステルス性の高い長期的な侵入で知られ、近年はクラウド環境、メールアカウント、テクノロジープロバイダーを狙い、下流の被害者へアクセスする手口を強めています。

APT29の3つの感染経路

今回のキャンペーンでAPT29は、iOSとAndroidのデバイスを狙うため、3種類の感染経路を使いました。1つ目は、正規のウェブサイトを侵害して悪意あるJavaScriptを埋め込み、訪問者にデバイスのフィンガープリント取得スクリプトを読み込ませる手口です。ウォーターホールとして悪用されたサイトには、米国の化学業界団体、ウクライナのガス生産会社、ブルガリアの軍事関連組織のものが含まれます。

正規サイトを侵害できない場合、同グループは本物のサイトになりすました類似ドメインを作成し、そのコンテンツをリアルタイムで改変して悪意あるコードを注入しました。なりすまし先の例としては、America250の全国的な記念行事のサイトや、ロンドンのRaffles hotelがあります。

3つ目は、ウクライナのウェブ解析企業Plerdyに対するサプライチェーン侵害です。Sekoiaによると、同社のトラッキングスクリプトは数千のウェブサイトで使われており、その大半がウクライナのサイトです。APT29はこのスクリプトに悪意あるコードを注入することで、これらのサイトの訪問者を、フィンガープリント取得とエクスプロイト配信のインフラにさらした可能性があるとSekoiaは述べています。

フィンガープリント型マルウェアはAndroidとiOSのデバイスからデバイス情報とブラウザ情報を収集し、APT29のコマンド&コントロール（C2）サービスに送信します。C2サービスは、モバイルプラットフォームやブラウザ・OSのバージョンに応じて、3種類のエクスプロイトチェーンのいずれかを配信しました。各チェーンは、被害デバイスで未修正のまま残っていたiOSまたはAndroidの特定の脆弱性を狙っていました。

デバイスごとに異なる攻撃チェーン

脆弱なiOS 16.7デバイスに対しては、APT29のエクスプロイトチェーンがCVE-2025-43529（DarkSwordエクスプロイトキットが過去に悪用した脆弱性）とCVE-2024-27834を悪用し、iOSブラウザのCookieを盗み出しました。iOS 18.5が動作するデバイスには、5つの脆弱性を組み合わせたDarkSwordのエクスプロイトチェーンをフルで配信し、侵害したデバイスから幅広いデータを外部へ持ち出しました。ペイロードが収集できたデータには、SMSやiMessage、ボイスメール、WhatsAppとTelegramのメッセージ、保存されたパスワードや認証トークン、アカウントの認証情報、通話履歴、連絡先、カレンダーの予定、メモ、写真などの機微な情報が含まれます。

Sekoiaは、このキャンペーンをAPT29に結びつける複数の痕跡を確認したとしています。その中には、研究者が以前から同グループの仕業と分析してきた、2025年の別のウォーターホール作戦の残存物も含まれます。またSekoiaは、攻撃者がエクスプロイトを第三者、おそらく商用監視ベンダー（CSV）から入手した可能性を示す兆候も見つけました。被害者には欧州と米国の組織が含まれますが、大半はウクライナに所在しています。ロシアの脅威グループは、ウクライナでの戦争が始まって以来、同国を絶え間なく攻撃してきました。

今回のAPT29のキャンペーンは、モバイルデバイスが脅威グループにとって魅力的な情報収集の標的になっていることを、改めて示しています。商用スパイウェアベンダーは、モバイルデバイスを通じた大規模な監視とデータ窃取を可能にする技術を提供することで、この傾向を加速させています。APT29がDarkSwordエクスプロイトキットを第三者プロバイダーから調達した可能性が高いことは、かつては標的を絞ったスパイ活動にほぼ限られていた高度なモバイル侵入能力が、より広範なキャンペーンにも使われ始めていることを示唆します。

Sekoiaは次のように警告しています。「パッケージ化されたnデイ・エクスプロイトチェーンの採用により、高度なモバイルエクスプロイトを実行するためのコストと技術的なハードルが下がっています。長期的には、国家支援型の侵入セットの間でCSVのエクスプロイトが拡散し、再利用される頻度が高まっていくと分析しています」