Monthly Threat Actor Group Intelligence Report, July 2024 (JPN)

2024年7月には合計11件のハッキンググループの活動が確認され、このグループはSectorJ01、SectorJ09、SectorJ64、SectorJ74、SectorJ146、SectorJ149、SectorJ154、SectorJ164、SectorJ168、SectorJ184、SectorJ187グループである。

このグループは、他国の政府の支援によって活動を行っているハッキンググループとは異なり、現実世界で金銭的な利益を確保できるような価値があるオンライン情報を奪取し、自ら特定の企業や組織をハッキングして内部ネットワークにランサムウェアを配布したり、重要な機密情報を奪取してそれを口実に金銭を要求する脅迫行為などを行った。

SectorJ01グループの活動は、オランダ、台湾、ドイツ、ロシア、ルーマニア、マレーシア、アメリカ、オーストリア、イタリア、インド、カナダ、ポルトガル、フランス、オーストラリアから確認された。このグループは、フィッシングサイトを通じてマイクロソフトアプリパッケージファイル（Microsoft App Package File、MSIX）を配布し、ターゲットがそのファイルを実行すると、MSIXファイル内に含まれたパワーシェル（PowerShell）スクリプトが作動する。パワーシェルスクリプトは、外部サーバーからターゲットシステムにネットサポート（NetSupport）RATマルウェアをダウンロードして実行し、リモートでターゲットシステムをコントロールし、悪性行為を試みたことが確認された。

SectorJ09グループは、暗号化済みのスキミング(Skimming)のJavaScriptを通じて、 ターゲットが支払いページに入力した金融情報を奪取するフォームジャッキング(Formjacking)攻撃を行った。

SectorJ64グループの活動は、イタリアで確認された。このグループは、Oracle WebLogic Serverのリモートコード実行脆弱性（RCE）を悪用してターゲットシステムにELF（Executable and Linkable Format）形式のマルウェアを実行した。実行されたELFマルウェアは、DDoSボットネット(Botnet)とマイニングマルウェアをダウンロードするスクリプトを追加でダウンロードした。 最終的に、このグループは ターゲットシステムにダウンロードされたDDoSボットネットとマイニングマルウェアを使用して、リモートでターゲットシステムをコントロールし、DDoS攻撃を実行したり、Monero暗号通貨をマイニングしたことが確認されている。

SectorJ74グループの活動は、台湾、ドイツ、アメリカ、ベトナム、サウジアラビア、スペイン、イスラエル、日本、タイから確認された。このグループは購入注文書に関した内容として偽装したフィッシングメールを通じてインターネットのショートカットファイル(URL)を配布した。ターゲットが添付されたインターネットのショートカットファイルを実行すると、Microsft Windowsの MSHTMLプラットフォームのスプーフィング(Spoofing)脆弱性(CVE-2024-38112)により、インターネットエクスプローラー(Internet Explorer)を通じて攻撃者がコントロールするURLに接続され、ターゲットがHTMLアプリケーション(HTML Application HTA)ファイル形式の追加分のマルウェアをダウンロードするよう誘導した。

SectorJ146グループの活動は、南アフリカ共和国、ドイツ、ルーマニア、アメリカ、ベトナム、アラブ首長国連邦、イギリス、イスラエル、インド、ジャマイカ、チェコ共和国、カナダ、ケニア、フィリピンから確認された。このグループは税金の請求書に関した内容として偽装したフィッシングメールを通じて、バッチファイル形式のスクリプトが含まれた圧縮ファイルを配布した。ターゲットがバッチスクリプトファイルを実行すると、バッチスクリプト内に含まれた難読化済みのパワーシェル(PowerShell)コマンドが実行される。難読化済みのパワーシェルコマンドは、ターゲットシステムにスティーラー(Stealer)マルウェアをダウンロードして実行し、このグループはターゲットシステムのデータを収集し、C2サーバーに送信したことが確認された。

SectorJ149グループの活動は、オランダ、ドイツ、アメリカ、ベネズエラ、ブラジル、アルゼンチン、アイルランド、エストニア、ウクライナ、日本、ポーランド、コロンビアから確認された。このグループは、Windowsショートカット（LNK）ファイルが含まれた圧縮ファイルを配布し、ターゲットがWindowsショートカットファイルを実行するよう誘導した。ターゲットがWindowsショートカットファイルを実行すると、ファイルに含まれたPowerShellコマンドが実行され、外部サーバーから圧縮ファイルとおとりファイルがダウンロードされる。圧縮ファイルに含まれたDLLファイルは、DLLサイドローディング（Side-Loading）技術を使用してターゲットシステムで実行され、これによりシステムデータの奪取、DDoS攻撃、ランサムウェアの配布などの追加の悪性行為が行われた。

SectorJ154グループの活動は、ロシア、チェコ共和国、タイから確認された。このグループは、会計部署から送信したメールのように偽装したフィッシングメールを通じて、パスワードが設定された圧縮ファイルを送信した。このグループは、PDFファイルに偽装されたEXE形式の実行ファイルをターゲットが実行するように誘導した。他にも、リモートコントロールのマルウェアを通じてC2サーバーから受信したコマンドによって、システム情報の収集、画面キャプチャー、キーロギングなどの悪性行為を行った。

SectorJ164グループの活動は、オランダ、モルドバ、アメリカ、スウェーデン、イタリア、カナダ、キプロス、トルコ、フランスで確認された。このグループは、金銭的な利益を得るためにメデューサランサムウェア（Medusa Ransomware）を配布し、システム内のファイルを暗号化した後、ランサムノート（RansomNote）を作成して金銭的な問題を議論するための連絡手段を送信した。

SectorJ168グループの活動はウクライナ、チリで確認された。このグループは、Veeamバックアップサーバーをターゲットにアキラランサムウェア(Akira Ransomware)を配布するために脆弱性を利用しました。

SectorJ184グループの活動は韓国、ドイツ、アメリカ、スペイン、ロシア、インド、中国、チェコ共和国、カナダ、トルコから確認された。このグループはターゲットシステムに複数のマルウェアを一括で配布するために、Windows Cabinetファイルを実行する際に使用されるWindowsプログラム「Wextract」として偽装したローダー（Loader）マルウェアを使用した。このマルウェアを通じてC2サーバーからターゲットシステムにボットネット（Botnet）マルウェア、スティーラー（Stealer）マルウェアなどの追加分マルウェアをダウンロード及び実行したことが確認されている。

SectorJ187グループの活動は、オランダ、ドイツ、ルーマニア、アメリカ、イギリス、中国、カナダ、タイ、オーストラリアから確認された。このグループは、GitHubを通じてAIに関したPythonスクリプトとして偽装されたマルウェアを配布した。ターゲットがPythonスクリプトを実行すると、ターゲットのデータを収集し、DiscordのWebHookで収集されたデータを送信したする仕組みで攻撃が行われる。また、このグループは自動車シミュレーションゲーム「BeamNG」に関したコミュニティフォーラムを通じて、Luaで作成されたマルウェアが含まれた圧縮ファイルを配布した。そして、このLuaマルウェアから実行されるPowerShellによって、追加のリモートコントロール機能付きのマルウェアを通じてLockbitランサムウェアを配布したことが確認された。