ミッドナイト・ブリザードが、大使館を狙ったフィッシング攻撃で新たなマルウェア「GrapeLoader」を展開

Security

記事本文（要約）

ロシアの国家支援スパイグループ「Midnight Blizzard」（別名「Cozy Bear」または「APT29」）が、ヨーロッパの外交機関、特に大使館を標的にした新しいスピアフィッシングキャンペーンを開始しました。このキャンペーンでは、新たに発見されたマルウェアローダー「GrapeLoader」と「WineLoader」バックドアの新しいバリアントを使用しています。フィッシングメールは、偽の外務省からワインテイスティングイベントへの招待を装い、悪意のあるリンクを含んでいます。リンクをクリックすると、条件を満たす場合に悪意のあるアーカイブ（wine.zip）がダウンロードされ、GrapeLoaderペイロードが実行されます。GrapeLoaderはホスト情報の収集、持続性の確立、およびバックドア「WineLoader」の配信を主な任務とし、高度なステルス技術を使用しています。この新しいバックドアは、情報収集やエスピオナージ活動に利用されますが、完全な機能や能力はまだ不明です。APT29の戦術とツールセットが進化し続けているため、多層的な防御と警戒が求められます。

※この要約はChatGPTを使用して生成されました。

公開日: Tue, 15 Apr 2025 16:25:57 -0400

Original URL: https://www.bleepingcomputer.com/news/security/midnight-blizzard-deploys-new-grapeloader-malware-in-embassy-phishing/

詳細な技術情報

  • 脆弱性の仕組み
    • この攻撃は、高度なフィッシングメールを使用して始まり、正規の団体（外務省）を装い、受取人をワイン試飲イベントに招待するふりをします。そのメールに含まれるリンクから、特定の条件を満たすターゲットに対しては、悪意のあるZIPアーカイブがダウンロードされます。このアーカイブには、以下の要素が含まれています：
      • 正規のPowerPoint実行ファイル（wine.exe）
      • 正規のDLL（動作に必要）
      • 悪意のあるDLLペイロードであるGrapeLoader（ppcore.dll）
  • 攻撃手法
    • GrapeLoaderはDLLサイドローディング技法を利用して実行されます。これは正規のアプリケーションを利用し、悪意のあるDLLをロードさせる手法です。これにより、以下を実現します：
      • 1. ホスト情報の収集
      • 2. Windowsレジストリを介した持続性の確立
      • 3. コマンド・アンド・コントロール（C2）サーバーへの接続し、シェルコードをメモリ上にロードする また、GrapeLoaderはセキュリティ製品を回避するため、メモリ内でステルス性を高める手法（例：PAGE_NOACCESSメモリ保護、ResumeThreadを使った10秒の遅延）を活用します。
  • 潜在的な影響
    • 1. データ漏洩: ホストの詳細情報が取得され、それに基づいて攻撃者がさらなる攻撃を行うための基礎が提供されます。
    • 2. 持続的な攻撃の基盤: WineLoaderを通じて、情報収集や追加ペイロードの配布が可能となります。
    • 3. 標的型攻撃: 重要な外交機関や関係者を狙った攻撃が成功した場合、国家安全保障や外交に影響を与える可能性があります。
  • 推奨される対策
    • 1. 多層防御の実施: ウイルス対策ソフトやEDR（Endpoint Detection and Response）を利用し、脅威検知の層を増やす。
    • 2. フィッシングメールの教育: 従業員に対するフィッシング攻撃に対する教育を強化し、疑わしいメールへの警戒心を高めます。
    • 3. ネットワーク監視の強化: 不審なネットワーク活動やC2通信の兆候を監視し、異常検知システムを活用する。
    • 4. レジストリ変更の監視: 予期しないレジストリの変更に関するアラートを設定し、持続性の試みを早期に発見できるようにします。
    • 5. サンドボックス環境の利用: 受信ファイルの実行前に隔離し、安全性を確認するためにサンドボックスを活用します。