Monthly Threat Actor Group Intelligence Report, December 2024 (JPN)

2024年12月には合計10件のハッキンググループの活動が確認され、このグループはSectorJ09、SectorJ14、SectorJ25、SectorJ39、SectorJ47、SectorJ93、SectorJ115、SectorJ135、SectorJ149、SectorJ194グループである。

このグループは、他国の政府の支援によって活動を行っているハッキンググループとは異なり、現実世界で金銭的な利益を確保できるような価値があるオンライン情報を奪取し、自ら特定の企業や組織をハッキングして内部ネットワークにランサムウェアを配布したり、重要な機密情報を奪取してそれを口実に金銭を要求する脅迫行為などを行った。

SectorJ09グループは、オンライン決済ページをターゲットにスキミング(Skimming)スクリプトを挿入して金融情報を奪取するフォームジャッキング(Formjacking)攻撃を行った。このグループは電子取引のウェブサイトの決済ページに難読化された悪性JavaScriptコードを注入し、ターゲットが入力したカード番号、有効期限、CVCコードなどの機密情報に当てはまる金融データを奪取した分析されている。

SectorJ14グループは、ターゲットに対して、Twitterの短縮URLを添付したテキストメッセージを送信した後、ターゲットが添付されたリンクをクリックするよう誘導した。ターゲットが添付された短縮URLにアクセスすると、Appleのログインページとして偽装したフィッシングページにリダイレクトされ、ターゲットが入力したAppleの資格証明の奪取を試みたと分析されている。

SectorJ25グループの活動は、韓国、クロアチアから確認された。このグループはターゲットシステムに難読化されたシェルスクリプト形式のマルウェアを配布して、そのスクリプトファイルはターゲットシステムに追加のマルウェアをダウンロードする機能を実行することが分析された。このグループがターゲットシステムにダウンロードしたマルウェアは、GitHubを通じてソースコードが公開されたDiamorphineルートキットと暗号通貨採掘機能を実行するXMRigと分析され、このグループはルートキットを通じて検知を回避し、最終的にXMRigを通じて暗号資産の採掘を行い、金銭的な利益の確報を試みたと分析されている。

SectorJ39グループの活動は、ドイツ、アメリカ、ウクライナから確認された。このグループはフィッシングウェブサイトを作成し、このグループが作成したウェブサイトにターゲットがアクセスすると特定の脆弱性を実行できるように設定されたエクスプロイト(Exploit)ホスティングサーバーにリダイレクトした。このグループはサーバーでホスティングされた脆弱性を悪用してロムコム(RomCom)として知られたバックドアマルウェアをターゲットシステムにダウンロード及び実行するシェルコード(Shellcode)を実行したと分析されている。

SectorJ47グループの活動は、ハンガリーから確認された。このグループはWindowsのショートカットファイルをターゲットに配布し、ターゲットがそのファイルを実行するよう誘導した。ターゲットがWindowsのショートカットファイルを実行すると、ファイルに埋め込まれたWindowsのコマンドが実行され、外部サーバーから画像ファイルと追加のマルウェアをダウンロードする機能を実行する。ダウンロードされた画像ファイルは、ターゲットがマルウェアを実行した履歴を認識できないよう誘導するために悪用され、一緒にダウンロードされた追加のマルウェアは、ウェブソケットを使用してコマンド及びコントロール（C2）サーバーと通信するDLL形式のマルウェアである。このマルウェアは、コマンド及びコントロールサーバーとターゲットが通信する機能を実行するに限らず、ターゲットシステムに保存されたブラウザーの資格証明を奪取したり、スクリーンショットをキャプチャしたりする機能を実行すると分析されている。

SectorJ93グループの活動は、ロシア、イギリス、イタリアから確認された。このグループは、フィッシングメールを通じてターゲットに圧縮ファイルを配信し、ターゲットが圧縮ファイル内のHTAスクリプトファイルを実行するよう誘導した。ターゲットがHTAスクリプトファイルを実行すると、外部サーバーから画像ファイルとバッチスクリプトファイルをターゲットシステムにダウンロードする。ダウンロードされた画像ファイルは、ドキュメントファイルを開いたような画面として偽装されており、ターゲットがマルウェアを実行したことを気づかないように誘導するために使用された。画像ファイルと一緒にダウンロードされたバッチスクリプトファイルは、NetSupportとして知られるリモートコントロールのマルウェアであり、これらはターゲットシステムをリモートでコントロールし、悪性のコマンドの実行を試みたと分析されている。

SectorJ115グループの活動は、オランダ、ブラジルから確認された。このグループは、暗号化プロトコルのオープンソースソフトウェアであるOpenSSLを使用しているLinuxサーバーをターゲットに、マルウェアを配布したと分析されている。このグループは、リバースシェル（Reverse Shell）機能を実行するELF形式のマルウェアや、暗号通貨のマイニング機能を実行するクリプトマイナー、さらに追加のマルウェアをダウンロードするシェルスクリプトファイルを配布したと分析されている。

SectorJ135グループは、履歴書として偽装したフィッシングページをターゲットに配布してターゲットがフィッシングページにアップロードされた圧縮ファイルをダウンロードするよう誘導した。ターゲットが圧縮ファイル内のWindowsショートカットファイルを実行すると、ショートカットファイル内に埋め込まれたWindowsコマンドが実行される。実行されるコマンドはWindows Internet Explorerの設定と関連するユーティリティである”ie4uinit.exe”を実行し、悪性のINFファイルをロードする。このグループは最終的にターゲットシステムにバックドアのマルウェアを配布してターゲットシステムでバックドアが継続的に動作できるようにタスクスケジューラを悪用したと分析されている。

SectorJ149グループの活動は、ウクライナから確認された。このグループは、コマンドとコントロール（C2）サーバーからEXE形式の実行ファイルをダウンロードする機能付きのパワーシェル（PowerShell）コマンドが埋め込まれたWindowsのショートカットファイルを使用した。最終的に、ターゲットシステムにダウンロードされたマルウェアは、レムコス（Remcos）として知られるリモートコントロールマルウェアであり、このグループはターゲットシステムをリモートでコントロールし、悪性のコマンドの実行を試みたと分析されている。

SectorJ194グループは、ターゲットにフィッシングサイトのリンクを添付したフィッシングメールを送信して最新のマイクロコードのアップデートが必要である内容を記載し、ターゲットがメールに添付されたリンクをクリックするよう誘導した。ターゲットが添付されたリンクにアクセスすると、リンクから提供されたコマンドを実行するよう説明とともに、Linuxのコマンドが提供された。ターゲットが提供されたコマンドをターゲットシステムで実行すると、GitHubにアップロードされたシェルスクリプトファイルをターゲットシステムにダウンロードする。このグループがダウンロードしたシェルスクリプトファイルは現在削除されていますが、類似の攻撃技術に活用したGitHubでホスティングされたファイルがバックドアマルウェアであったことから、このシェルスクリプトファイルもバックドアマルウェアであったと推測されている。