Monthly Threat Actor Group Intelligence Report, June 2024 (JPN)

2024年6月には合計12件のハッキンググループの活動が確認され、このグループはSectorJ09、SectorJ25、SectorJ57、SectorJ93、SectorJ94、SectorJ110、SectorJ177、SectorJ178、SectorJ179、SectorJ180、SectorJ181、SectorJ185グループである。

このグループは、他国の政府の支援によって活動を行っているハッキンググループとは異なり、現実世界で金銭的な利益を確保できるような価値があるオンライン情報を奪取し、自ら特定の企業や組織をハッキングして内部ネットワークにランサムウェアを配布したり、重要な機密情報を奪取してそれを口実に金銭を要求する脅迫行為などを行った。

SectorJ09グループはコンテンツ管理システム（CMS）をターゲットとして、ユーザーが入力する支払い情報を奪取するフォームジャッキング攻撃を行い、特にWordPress用の電子取引プラグインであるWooCommerceの一部のファイルに支払い情報を奪取する機能付きの難読化されたスクリプトを挿入したことが確認された。

SectorJ25グループは暗号通貨（Cryptocurrency）の採掘のために、Bashマルウェアを使用してこのグループが使用したBashマルウェアはシステム情報を収集する一方、暗号通貨の採掘のためにシステムの設定を変更したことが確認されている。

SectorJ57グループの活動は、アメリカ、スペイン、イタリア、カナダから確認された。このグループは、ランサムウェアを配布するために、悪性のURLを添付したフィッシングメールを使用した。ターゲットがフィッシングメールに添付されたリンクをクリックすると、ビジュアルベーシックスクリプト（Visual Basic Script、VBS）ファイルが圧縮された圧縮ファイルがダウンロードされる。ターゲットがビジュアルベーシックスクリプトファイルを実行すると、ターゲットシステムに追加分のマルウェアをダウンロードできるDLLファイルがターゲットシステムにダウンロードされることにより、このグループがランサムウェアを配布したことが確認された。

SectorJ93グループは偽のブラウザーアップデートサイトとして偽装したフィッシングページを使用し、ターゲットがフィッシングページから配布しているマルウェアをダウンロードするよう誘導した。ターゲットがマルウェアをダウンロードするボタンをクリックすると、Chrome Updateというタイトルとして偽装されたJavaScriptマルウェアがダウンロードされ、ダウンロードされたJavaScriptファイルはPowerShellを通じてC2サーバーからボットマルウェアをダウンロードしたことが確認される。このグループはボットマルウェアを通じてターゲットシステムの情報を収集し、C2サーバーへの送信を試みたことが確認された。

SectorJ94グループは、ターゲットのシステムのデータを奪取するためにボット（Bot）のマルウェアを使用したことが確認された。このグループは通信するトラフィックをRC4アルゴリズムで暗号化し、HTTPプロトコルを通じてC2サーバーへ奪取したデータを送信した。

SectorJ110グループの活動は、オランダとウクライナから確認された。このグループは、財務の部署から送信したように偽装されたフィッシングメールを通じて、マルウェアが含まれた圧縮ファイルを配布した。ターゲットが圧縮ファイルに含まれたWindows Access Database File（ACCDB）をクリックすると、コンテンツを有効にする（Enable Content）ボタンをクリックするよう誘導する画像ファイルが添付されたテーブルが存在していることが確認できる。ターゲットがコンテンツを有効にするボタンをクリックすると、ドキュメントに添付されたVisual Basic Script（VBS）が実行され、ターゲットシステムに追加分のマルウェアがダウンロードされたことが確認できる。

SectorJ177グループの活動は、ドイツ、ロシア、アメリカから確認された。このグループはMicrosoft Windows Error Reporting Serviceに存在する権限昇格の脆弱性（Privilege Management Vulnerability、CVE-2024-26169）を利用したことが確認でき、続いてこのグループはターゲットシステムにこの脆弱性を利用するためにエクスプロイトツール（Exploit Tool）を使用し、脆弱性を通じてブラックバスタランサムウェア（Black Basta Ransomware）を配布して実行したことが確認された。

SectorJ178グループの活動は、アメリカ、スペイン、中国、カンボジアから確認された。このグループは、Windowsの整合性チェックプログラム（Tiworker.exe）として偽装したマルウェアを実行する方法を使用し、そのマルウェアはC2サーバーから追加分のマルウェアをダウンロードするためにPowerShellを実行した。ダウンロードされたマルウェアは、Windows Defenderを無効にし、ターゲットのシステム上で持続的に暗号資産を採掘するためにタスクスケジューラを作成したことが確認できた。

SectorJ179グループは、データプラットフォームであるスノーフレーク(Snowflake)の製品を利用する顧客の漏洩情報を悪用し、スノーフレークインスタンスにアクセスし、データを奪取したことが確認された。

SectorJ180グループは、採用に関した内容として偽装したフィッシングメールを送信し、フィッシングメールには合法的なページのように偽装したリンクを添付してターゲットがクリックするよう誘導した。ターゲットが添付されたURLにアクセスすると、キャプチャ(CAPCHA)として偽装したファイルをダウンロードするよう誘導し、これをダウンロードすると難読化(Obfuscated)されたJavaScriptファイルがターゲットシステムにダウンロードされる。JavaScriptファイルはC2サーバーと通信する機能を実行するDLLファイルを追加でダウンロードし、継続的に動作するようタスクスケジューラーとコンポーネントオブジェクトモデルオブジェクト (Component Object Model, COM Object)を活用した。

SectorJ181グループの活動は、ブラジル、チリから確認された。このグループはスティーラー（Stealer）マルウェアを配布するためにクラウドプラットフォーム（Cloud Platform）を活用した。また、このグループはクラウドプラットフォームを通じてWindowsショートカット（LNK）ファイルとJPG拡張子として偽装されたBase64エンコードファイルを圧縮した圧縮ファイルを配布した。他にもこのグループはこのような方法で配布したスティーラー・マルウェアを通じて、ターゲットシステムのデータを奪取を試みたことが確認できた。

SectorJ185グループの活動は、ナイジェリア、アメリカ、ウクライナ、インド、中国、香港から確認された。このグループは履歴書に関した内容として偽装された圧縮ファイルを通じてマルウェアを配布したことが確認できた。圧縮ファイルにはWindowsショートカット（LNK）ファイルが圧縮されており、ターゲットがWindowsショートカットファイルを実行すると、囮PDFファイルが実行され、LNKファイル内部にエンコードされたDLLデータがTEMPパスに作成される。デコードされたDLL形式のPEファイルは最終的にPupyリモートアクセスツール（RAT）をメモリにロードし、C2サーバーから受信したコマンドによってシステム情報の収集、キーロギングなど様々なコマンドの実行を試みたことが確認できた。