MirrorFace、ROAMINGMOUSEとアップグレードされたANELマルウェアで日本と台湾を標的に

記事本文（要約）

国家支援のハッカーグループMirrorFaceが、日本と台湾の政府機関や公共機関を狙ったサイバースパイ活動で、ROAMINGMOUSEというマルウェアを使用していることが確認されました。2025年3月にTrend Microが検出したこの活動では、スピアフィッシングメールを介してANELというバックドアの更新版が配布されました。このメールには、Microsoft OneDriveのURLが含まれ、ZIPファイルをダウンロードさせます。ZIP内には、マルウェアを仕込んだExcel文書とROAMINGMOUSEというドロッパーが含まれており、これがANEL関連のコンポーネントを配布します。

このキャンペーンで使用されたANELには、BOF（Beacon Object File）のメモリ内実行をサポートする新しいコマンドが実装されました。また、SharpHideも利用され、NOOPDOORという別のバックドアを起動する例も確認されました。NOOPDOORはDNS-over-HTTPSを使用し、コマンド・コントロール活動中のIPアドレスのルックアップを隠します。

MirrorFaceは中国系の攻撃グループEarth Kashaとも呼ばれ、APT10のサブクラスターとされています。彼らは情報盗難を目的に攻撃の範囲を広げており、日本や台湾の機関に対する攻撃が続いています。組織や企業は、高価値資産を守るためのセキュリティ対策を強化する必要があります。

※この要約はChatGPTを使用して生成されました。

公開日: Thu, 08 May 2025 16:02:00 +0530

Original URL: https://thehackernews.com/2025/05/mirrorface-targets-japan-and-taiwan.html

詳細な技術情報

この文章から、以下の重要なセキュリティに関する詳細情報が抽出されます。

脆弱性とCVE番号

この文章では具体的なCVE番号は特定されていません。しかし、APT10に関連する既存の脆弱性やツール（例えばCobalt StrikeやSharpHide）に関する詳細は別途CVEデータベースで確認する必要があります。

脆弱性の仕組み

バックドアの挿入: ROAMINGMOUSEは、ANELLDRを利用したDLLサイドローディングによりANEバックドアをインストールする。
攻撃の進行: スピアフィッシングメールにより、OneDrive URL経由でマルウェアをダウンロードさせる。
メモリー内実行: 組み込みZIPファイルをBase64デコードし、ZIPアーカイブを展開し、別の悪意あるコンポーネント（BOF）をメモリ内で実行することで、新たなエクスプロイト機能を追加。