Monthly Threat Actor Group Intelligence Report, October 2023 (JPN)

2023年10月には合計15件のハッキンググループの活動が確認され、このグループはSectorJ03、SectorJ06、SectorJ09、SectorJ12、SectorJ39、SectorJ55、SectorJ64、SectorJ68、SectorJ90、SectorJ94、SectorJ110、SectorJ125、SectorJ127、SectorJ128、SectorJ130である。

このグループは、政府の支援によって活動を行っているハッキンググループとは異なって、現実の世界で金銭的な利益を確保できる価値があるオンライン上の情報を奪取したり、直接的に特定の企業及び組織をハッキングした後、内部ネットワークにランサムウェアを配布したり、重要な産業機密を奪取してそれを口実にして金銭を要求する脅迫活動を行う。

このグループは、他の政府の支援によって活動を行っているハッキンググループとは異なり、現実の世界で金銭的な利益を確保できるオンライン情報を奪取したり、特定の企業や組織をハッキングして内部のネットワークにランサムウェアを配布したり、重要な産業機密を奪取してそれを口実にして金銭を要求する行為などを実行した。

SectorJ03グループの活動は、パレスチナとアメリカから確認された。このグループはWindows Media Provisioning Pluginとして偽装したマルウェアを使用し、最終的に実行されるマルウェアは追加のマルウェアをダウンロードして実行したり、キーロギング（Keylogging）、画面キャプチャ（Screen Capture）などの攻撃者のサーバーのコマンドによって様々な機能を実行する仕組みとなっている。

SectorJ06グループの活動は、ロシア、アメリカ、香港から確認された。このグループは、医療分野に努めている関係者をターゲットにして、RaaS（Ransomware-as-a-Service）を使用してサイバー攻撃を試みた。

SectorJ09グループは、食品や小売業界を含んだ広い範囲のウェブサイトをターゲットにして、難読化されたスキミング(Skimming)スクリプトを挿入し、支払いページからユーザー名、住所、メール、クレジットカード支払い情報を含む様々な情報奪取を試みた。

SectorJ12 グループは過去に使用したドメイン及びIPアドレスに基づき、追加的な分析を通じてavast で始まるドメイン及び debian 文字列を含むドメインが追加で確保された。

SectorJ39グループの活動はアゼルバイジャンから確認された。このグループはアゼルバイジャンとアルメニアとの紛争関係のPDFファイルとして偽装したHTMLファイル形式のマルウェアを使用し、最終的に実行されるマルウェアはシステム情報を収集して送信するような仕組みとなっている。

SectorJ55グループの活動は、アメリカ、韓国、中国、カナダ、イランから確認された。このグループは、外部インターネットからアクセスできるDockerとRedisサーバーをターゲットにして、仮想資産のマイニングのためのクリプトマイナーマルウェアを使用した。

SectorJ64グループの活動は、中国、メキシコ、韓国、ペルーから確認された。このグループはセキュリティ設定の不備により、外部のインターネットから認証せずアクセスできるRadisサーバーをターゲットにして無断アクセスを試み、WebShellを使用した。

SectorJ68グループの活動はフランスから確認された。このグループはクラウドベースのインターネットメッセンジャーであるTelegramのBotをC2サーバーとして使用するマルウェアを使用し、システムの情報を収集して奪取する機能が導入されている。

SectorJ90グループの活動は、アメリカ、ドイツ、ルクセンブルク、インド、ウクライナから確認された。このグループはタタールスタン共和国の日に関したイメージファイルとして偽装したPE（Portable Executable）形式のマルウェアを使用し、システム情報を収集し、追加分の攻撃が必要であると判断された場合は、リモートコントロール機能が導入されている追加分のマルウェアを配布した。

SectorJ94グループの活動はオーストラリアから確認された。このグループは製造技術に関したPDFファイルとして偽装したWindowsのショートカット(LNK)形式のマルウェアを使用した。

SectorJ110グループの活動はウクライナ、香港、ドイツ、イギリスから確認された。このグループは請求書として偽装したJavaScriptファイル形式のマルウェアが含まれている圧縮ファイルを添付したフィッシングメールを送信し、最終的に追加分のマルウェアをダウンロードして実行する機能が導入されたつマルウェアを使用した。

SectorJ125グループの活動はアメリカから確認された。このグループはMicrosoft Teamsを通じて、WSF (Windows Script File)ファイル形式のマルウェアが含まれたフィッシングメッセージを送信し、最終的にはコマンドコントロール機能が導入されたマルウェアを使用してターゲットのシステムの権限を奪取した。

SectorJ127 グループの活動は中国から確認された。このグループは赤十字の献血宣伝の文書として偽装したMS Word（Word）マルウェアを使用し、ターゲットがMS Word（Word）マルウェアを実行すると、内部にて暗号化されたマクロが実行される。最終的に実行されるマルウェアは、様々なシステム情報を収集し、攻撃者のサーバーコマンドによって様々な機能を実行する。

SectorJ128グループの活動は、中国とフランスから確認された。このグループは、内部に圧縮ファイルのダウンロードリンクが含まれた履歴書として偽装したPDFファイルを使用し、圧縮ファイルの内部に存在するWindowsショートカット(LNK)形式のマルウェアを通じてDLLファイル形式のマルウェアを実行する仕組みなっている。

SectorJ130グループの活動は、アメリカ、イギリス、トルコ、ウクライナ、イスラエル、マレーシア、ロシア、ポーランド、キプロス、フィリピン、イタリアから確認された。このグループは、Skype、Microsoft Teamsなどのインスタントメッセンジャーを使用してマルウェアを配布し、VBS（Visual Basic Script）ファイル形式のマルウェアとWindowsショートカット（LNK）形式のマルウェアを配布した。