Monthly Threat Actor Group Intelligence Report, August 2024 (JPN)

2024年8月には合計11件のハッキンググループの活動が確認され、このグループはSectorJ01、SectorJ09、SectorJ22、SectorJ57、SectorJ61、SectorJ64、SectorJ94、SectorJ113、SectorJ177、SectorJ185、SectorJ188グループである。

このグループは、他国の政府の支援によって活動を行っているハッキンググループとは異なり、現実世界で金銭的な利益を確保できるような価値があるオンライン情報を奪取し、自ら特定の企業や組織をハッキングして内部ネットワークにランサムウェアを配布したり、重要な機密情報を奪取してそれを口実に金銭を要求する脅迫行為などを行った。

SectorJ01グループの活動は、ロシア、アメリカで確認された。このグループは、商用プログラムのホームページとして偽装したフィッシングページを通じて、Microsoftアプリパッケージファイル（Microsoft App Package File）形式のマルウェアを配布した。このグループは最終的に、ターゲットシステムにネットサポート（NetSupport）として知られているリモートコントロールマルウェアを実行し、リモートでターゲットシステムをコントロールし、悪性のコマンドを実行を試みたと推定されている。

SectorJ09グループは、暗号化済みのスキミング(Skimming)JavaScriptを通じて、ターゲットが支払いページに入力した金融情報を奪取するフォームジャッキング(Formjacking)攻撃を行った。

SectorJ22グループの活動はロシアから確認された。このグループはフィッシングメールを通じて悪性のリンクを配布し、ターゲットが悪性のリンクから送信された圧縮ファイルをダウンロードするよう誘導した。圧縮ファイルの中にはWindowsショートカット（LNK）ファイルが含まれており、Windowsショートカットファイルを実行すると、JavaScriptローダーのマルウェアがダウンロード及び実行する。このグループはJavaScriptローダーを通じて、コマンド及びC2サーバーからターゲットシステムにJavaScriptのマルウェアをダウンロード及び実行を試みたと推定されている。

SectorJ57グループの活動は、オランダ、ドイツ、アメリカ、エストニア、カナダで確認された。このグループは、フィッシングメールを通じてHTMLファイルを配布し、HTMLファイルはMicrosoft OneDriveのエラーページのように偽装してターゲットがJavaScriptをダウンロードするボタンをクリックするよう誘導した。JavaScriptは、ターゲットシステムにオートイット（Autoit）プログラムとオートイットスクリプトファイルをダウンロード及び実行する機能を実行した。

SectorJ61グループの活動は、ドイツ、ロシア、ルーマニア、ベトナム、ベラルーシ、ブルガリア、アルバニア、ウクライナ、イタリア、ジョージア、トルコ、韓国から確認された。このグループはフィッシングメールを通じて支払い請求書に関した内容で作成されたメールを添付して送信した。ターゲットが添付されたファイルを実行すると、ファイル内に挿入されたマクロが動作し、外部サーバーの画像ファイルパスと通信する機能を実行する。画像ファイルはステガノグラフィー（Steganography）技術でマルウェアが隠されており、このグループはターゲットシステムにレムコス（Remcos）として知られるリモートコントロール機能付きのマルウェアを実行し、コマンド及びC2サーバーから受信したコマンドによってターゲットシステムに様々な悪性行為を行ったと推定されている。

SectorJ64グループの活動はメキシコ、アメリカ、トルコ、香港から確認された。このグループは暗号資産の採掘のためにパワーシェル(PowerShell)スクリプトを通じてマルウェアを配布した。パワーシェルスクリプトを実行すると、パワーシェルスクリプトの変数に定義されたBase64でエンコードされたデータがデコードされる。Base64でエンコードされたデータはEXE形式のファイルで、そのファイルはコマンド及びC2サーバーからDLL形式のマルウェアをダウンロードする。DLLファイルは「AddInProcess.exe」プロセスにXMRigペイロードをロードした後、暗号資産の採掘を行ったと知られている。

SectorJ94グループの活動はドイツ、ロシア、アメリカ、イタリアから確認された。このグループは、JavaScript（JS）形式のマルウェアを配布し、JavaScriptは、ダナボット（DanaBot）として知られているDLL形式のマルウェアをターゲットシステムにダウンロード及び実行する機能を実行する。このグループは、ターゲットシステムの情報を収集し、コマンド及びC2サーバーに送信することを試みたと推定されている。

SectorJ113グループの活動は、ブラジル、ポーランド、香港から確認された。このグループは、金銭的な利益を確保するために、RA Worldランサムウェアを使用してランサムノートを通じて金銭的な問題を議論できる連絡手段を送信したことが確認された。

SectorJ177グループの活動は、デンマーク、ドイツ、アメリカ、シンガポール、イタリア、ポーランド、韓国から確認された。このグループは金銭的な利益を確保するためにブラックバスタ（Black Basta）ランサムウェアを使用したことが確認された。

SectorJ185グループの活動は、ロシア、アメリカ、中国から確認された。このグループは、Windowsショートカットファイル（LNK）を含む圧縮ファイルを配布する方法で攻撃活動を行った。ターゲットがWindowsショートカットファイルを実行すると、ターゲットシステムにDLL形式のマルウェアをドロップし、DLLサイドローディング（Side-loading）技術を使用して実行した。DLLファイルは、ターゲットがマルウェアの実行を検知できないように、おとりのPDFファイルを開く機能を実行した。DLLファイルは、Pupy RATと呼ばれているリモートアクセスマルウェアをロードし、C2サーバーから受信したコマンドによって、システム情報の収集やキーロギングなど、様々なコマンドを実行することが確認された。

SectorJ188グループの活動はイタリア、クウェートから確認された。このグループはフィッシングメールを通じてリモートコントロールマルウェア（RAT）をターゲットシステムに配布し、ターゲットシステムをリモートでコントロールし、様々な悪性行為を行ったことが確認された。