AnvilEcho インフォスティーラー
イラン政府が支援する脅威アクターが、2024年7月下旬からユダヤ人の著名人を狙ったスピアフィッシング攻撃に関与していることが判明した。攻撃者の目的は、AnvilEchoと呼ばれる新しい情報収集ツールを展開することだった。
サイバーセキュリティ研究者は、この活動を TA453 と特定しました。このグループは、サイバーセキュリティ コミュニティではAPT42 (Mandiant)、Charming Kitten (CrowdStrike)、Damselfly (Symantec)、Mint Sandstorm (Microsoft)、Yellow Garuda (PwC) など、さまざまな名前でも知られています。
攻撃者は当初、無害な電子メールを通じて標的とのコミュニケーションを確立し、信頼関係を構築しようと試み、その後、脅迫的なリンクをクリックするよう説得しようとしました。
目次
脅威アクターはこれまで知られていなかったマルウェアを展開する
この攻撃チェーンは、BlackSmith と呼ばれる新しいマルウェア ツールキットを展開することを目的としており、これにより AnvilEcho と呼ばれる PowerShell トロイの木馬が配信されました。
TA453はイランのイスラム革命防衛隊（IRGC）と関連があると考えられており、同国の政治的および軍事的目的を推進するために標的型フィッシング攻撃を行っている。調査データによると、APT42の地理的標的の約60％は米国とイスラエルに向けられており、イランと英国も標的となっている。
彼らのソーシャル エンジニアリング戦術は執拗かつ説得力があります。攻撃者は正当な組織やジャーナリストになりすまして潜在的な被害者を誘い込み、徐々に信頼を築いてからマルウェアを仕込んだ文書や偽の認証情報フィッシング ページで罠にかけます。
多段階のフィッシングとソーシャルエンジニアリングの連鎖
APT42 は、まずソーシャル エンジニアリング戦術を使ってターゲットと接触し、ビデオ会議を手配します。ターゲットをランディング ページに誘導し、ログインを促してからフィッシング ページに誘導します。別のアプローチでは、ソーシャル エンジニアリング スキームの一環として正規の PDF 添付ファイルを送信し、信頼関係を構築して Signal、Telegram、WhatsApp などのプラットフォームでのやり取りを促進します。
最近の攻撃は2024年7月22日に始まり、攻撃者は名前の明かされていないユダヤ人の人物に関連する複数のメールアドレスに連絡を取りました。彼らは戦争研究研究所（ISW）の研究ディレクターを装い、ターゲットをポッドキャストのゲストとして参加するよう招待しました。
TA453 は、ターゲットの問い合わせに応じて、パスワードで保護された DocSend URL を送信したと報告されています。この URL は、ISW がホストする正規のポッドキャストへのリンクを含むテキスト ファイルにつながります。詐欺メールは、実際の ISW Web サイト (understandingwar.org) を模倣する目的で、understandingthewar.org というドメインから送信されました。
研究者らは、TA453 の戦略は、ターゲットをリンクのクリックやパスワードの入力に慣れさせ、将来のマルウェア配信に引っかかりやすくすることだったと考えています。その後のメッセージでは、脅威アクターは、ZIP アーカイブ (「Podcast Plan-2024.zip」) をホストする Google ドライブの URL を送信しました。このアーカイブには、BlackSmith ツールキットを展開するように設計された Windows ショートカット (LNK) ファイルが含まれていました。
AnvilEcho は強力なデータ収集の脅威です
BlackSmith ツールキットを介して配信される AnvilEcho は、CharmPower、GorjolEcho、 POWERSTAR 、PowerLess などの以前の PowerShell インプラントの後継であると考えられています。BlackSmith は、注意をそらすためにルアー ドキュメントを表示するようにも設計されています。
注目すべきは、「BlackSmith」という名前が、今年初めに情報セキュリティの専門家によって特定されたブラウザ窃盗コンポーネントと以前から関連付けられてきたことです。このコンポーネントは、中東情勢に関与する著名人をターゲットにした、BASICSTAR を配布するキャンペーンにリンクされていました。
AnvilEcho は、主に情報収集とデータ流出を目的とした、幅広い機能を備えた高度な PowerShell トロイの木馬です。主な機能には、システムの偵察、スクリーンショットの撮影、リモート ファイルのダウンロード、FTP および Dropbox 経由の機密データのアップロードなどがあります。
TA453 のフィッシング キャンペーンは、IRGC の諜報活動の優先事項と一貫して一致しています。著名なユダヤ人をターゲットにしたこの特定のマルウェアの展開は、イスラエルの利益に対するイランのより広範なサイバー活動の一部であると思われます。TA453 は、政治家、人権擁護者、反体制派、学者を標的とした、根強い脅威であり続けています。
