Monthly Threat Actor Group Intelligence Report, April 2024 (JPN)

2024年4月には合計10件のハッキンググループの活動が確認され、このグループはSectorJ09、SectorJ16、SectorJ61、SectorJ72、SectorJ94、SectorJ149、SectorJ160、SectorJ172、SectorJ174、SectorJ175グループである。

このグループは、他の政府の支援によって活動を行っているハッキンググループとは異なり、現実の世界で金銭的な利益を確保できるオンライン情報を奪取したり、特定の企業や組織をハッキングして内部のネットワークにランサムウェアを配布したり、重要な産業機密を奪取してそれを口実にして金銭を要求する行為などを実行した。

SectorJ09グループは、Webサイトに難読化済みのスキミングスクリプトを挿入し、お支払いページでユーザー名、クレジットカード情報などの情報を収集した。

SectorJ16グループの活動は、ドイツ、アメリカ、スイス、オーストリアから確認された。このグループは小売業者として偽装した伝票関係ののフィッシングメールを送信し、ターゲットがWindowsのショートカットファイル（LNK）を実行するとスティーラー（Stealer）マルウェアをダウンロードする機能を実行するパワーシェル（PowerShell）コマンドが実行される。また、このグループはスティーラー（Stealer）マルウェアを通じてターゲットのシステムからデータを奪取し、C2サーバーに送信した。

SectorJ61グループの活動は、グアテマラ、ギリシャ、オランダ、台湾、ドミニカ共和国、ドイツ、リトアニア、ラトビア、ロシア、ルーマニア、マケドニア、メキシコ、モロッコ、アメリカ、ベトナム、ブルガリア、ブラジル、キプロス、セルビア、スウェーデン、スイス、スペイン、スロバキア、シンガポール、アルゼンチン、アイルランド、エクアドル、イギリス、ヨルダン、ウルグアイ、ウクライナ、イタリア、インド、インドネシア、中国、チェコ共和国、チリ、カザフスタン、カナダ、コスタリカ、コロンビア、キルギススタン、タイ、トルコ、パキスタン、ペルー、ポーランド、フランス、韓国から確認された。このグループは見積書として偽装した悪性ドキュメント(RTF)ファイルをフィッシングメールを通じて配布した。このドキュメントファイルには悪性のマクロ(Macro)が挿入されており、ターゲットがこのドキュメントファイルを開くと外部ダウンロードサーバーからリモートアクセスツール(Remote Access Tool, RAT)をダウンロードし、ターゲットから奪取したデータをFTPプロトコルを通じてC2サーバーに送信した。

SectorJ72グループの活動は、アメリカ、エクアドル、韓国から確認された。このグループは、Windowsショートカット（LNK）ファイルを通じてWindowsインストーラー（msiexec）を実行し、ターゲットがWindowsショートカット（LNK）ファイルを実行すると、ターゲットのシステムの情報がC2サーバーに送信される仕組みとなっていることがわかった。

SectorJ94グループの活動は、ドイツ、アメリカ、オーストリア、イタリア、カナダ、フランス、香港から確認された。このグループはフィッシングメールを通じてMS Excelファイルを配布し、ターゲットが悪性のJavaScriptをダウンロードするハイパーリンクをクリックするよう誘導した。このJavaScriptは画像ファイルとして偽装されたスティーラーDLLファイルを追加でダウンロード及び実行し、ターゲットのシステムから収集したデータをC2サーバーに送信した。

SectorJ149グループの活動は、ロシア、スロバキア、ウクライナから確認された。このグループは、Windowsショートカット（LNK）ファイルを利用し、ターゲットが自らWindowsショートカット（LNK）ファイルを実行すると、ダウンロードサーバーから実行ファイルをダウンロードするPowerShellコマンドが実行される。ダウンロードされた実行ファイルは、オープンソースベースのリモートアクセスツール（Remote Access Tool、RAT）であり、このグループはリモートアクセスツールを利用してC2サーバーら受信したコマンドを通じてキーロギング、画面スクリーンショット、クリップボード（Clipboard）データの収集などの様々な悪性行為を試みたことが確認された。

SectorJ160グループは中間者攻撃（Adversary-in-The-Middle、AiTM）技術をベースにしたフィッシングキット（Phishing Kit）を販売する方法を利用した。このグループが販売したフィッシングキット（Phishing Kit）はメール本文や添付ファイルにフィッシングページへリダイレクション（Redirection）されるURLまたはQR（Quick Response）コードを添付する方法で動作し、ボット（Bot）トラフィック（Traffic）検知から保護するためにクラウドフレアキャプチャ（Cloudflare Captcha）ページを活用したものと確認される。ターゲットがキャプチャ（Captcha）認証を通るとMicrosoftの認証ページとして偽装したフィッシングページにアクセスし、ターゲットがフィッシングページに入力したメールアドレス、パス Word、2段階認証（Two-factor authentication、2FA）コードをC2サーバーに送信した。

SectorJ172グループの活動は、オランダ、アメリカ、バングラデシュ、ベトナム、スペイン、インド、インドネシア、中国、パキスタン、韓国から確認された。このグループは、ソーシャルネットワークのアカウントを奪取するために、Windowsのショートカット（LNK）ファイルを使用し、ターゲットがこのファイルを自ら実行すると、外部のダウンロードサーバーから悪性のHTMLアプリケーション（HTML Application、HTA）ファイルをダウンロードするPowerShellコマンドが実行される。ダウンロードされたマルウェアは、Windowsプリンターのサブシステムアプリケーション（Spoolsv.exe）として偽装されたPE形式のマルウェアが追加でダウンロード及び実行される。実行されたマルウェアは、ターゲットのシステムから奪取したデータをTelegramで送信したことが確認された。

SectorJ174グループは金銭的な利益を確保するために、ゴーストロッカーランサムウェア（Ghost Locker Ransomware）を使用し、このグループはランサムウェア（Ransomware）に感染したターゲットのシステム情報をC2サーバーに送信した。

SectorJ175グループの活動は、ロシア、アメリカ、アルメニア、エクアドル、韓国から確認された。このグループは、金銭的な利益を確保するために、ドラゴンフォースランサムウェアを使用し、電子メールアドレスとトクスを通じてターゲットが連絡できるようにランサムノートをターゲットのシステムに残した。