MeshAgent
ウクライナの国家および地方政府のコンピューター 100 台以上が、ウクライナ保安庁 (SBU) への信頼を悪用したフィッシング キャンペーンで MeshAgent マルウェアに侵入されました。
この攻撃には、SBU から送信されたように見える電子メールが関係しており、その中には「Documents.zip」というファイルをダウンロードするためのリンクが含まれていました。
ただし、リンクをクリックすると、代わりに「Scan_docs#40562153.msi」などの Microsoft ソフトウェア インストーラー (MSI) ファイルがダウンロードされました。この MSI ファイルを開くと、MeshAgent マルウェアとしても知られる ANONVNC のインストールが開始され、攻撃者が侵害されたシステムに秘密裏に不正アクセスできるようになる可能性があります。
目次
攻撃者はオープンソースツールを悪用した可能性がある
セキュリティ研究者が分析したところ、ANONVNC マルウェアは MeshAgent ソフトウェア ツールの構成ファイルによく似た構成ファイルを備えています。
MeshAgent は、主にオープンソース プラットフォーム MeshCentral と連携するように設計されたリモート管理ツールです。Windows、Linux、macOS、FreeBSD など、さまざまなオペレーティング システムをサポートしています。MeshAgent 自体は本質的に悪意のあるものではありませんが、サイバー犯罪者はこれを悪用して、侵害されたエンドポイントにバックドアを作成し、VNC、RDP、SSH などのツールを介したリモート アクセスを可能にしています。
最近、セキュリティ研究者は、侵害されたシステム上での持続性を維持し、リモート コマンドを実行するために攻撃者が MeshAgent を悪用するケースが増加していることを確認しています。
サイバー犯罪者が MeshAgent ツールをハイジャックした理由
- シームレスな接続:インストール後、MeshCentral はユーザーの操作を必要とせずにエンドポイントとの接続を自動的に確立します。
- 不正アクセス: MeshCentral は、エンドポイントからの許可を必要とせずに、MeshAgent に直接またはリモート デスクトップ プロトコル (RDP) 経由でアクセスできます。
- システム制御: エンドポイントをリモートで起動、再起動、またはシャットダウンする機能があります。
- コマンドと制御: MeshCentral はコマンド サーバーとして機能し、ユーザーが気付かないうちにシェル コマンドを実行し、エンドポイントでファイルを転送できます。
- 検出されない操作: MeshCentral によって実行されるアクションは NT AUTHORITY\SYSTEM アカウントで実行されるため、通常のバックグラウンド プロセスに溶け込みます。
- 一意のファイル ハッシュ: MeshAgent の各インスタンスは一意に生成されるため、ファイル ハッシュのみで検出することは困難です。
- フィッシングとファイアウォール回避: 攻撃者はフィッシング メールを介して MeshAgent を配布することがよくあります。通信に 80 や 443 などの一般的なポートを使用すると、ファイアウォールによる検出を回避する可能性が高くなります。
専門家は、より大規模な脅迫キャンペーンの可能性について警告している
研究者たちは、この最新のキャンペーンは2024年7月に始まり、ウクライナ国境を越えて広がる可能性があると考えています。pCloudファイルストレージサービスの分析により、8月1日以降にアップロードされた1,000を超えるEXEファイルとMSIファイルが発見されました。そのうちのいくつかは、このより広範なキャンペーンに関連している可能性があります。
8月6日、ウクライナはクルスク地域で奇襲攻撃を開始した。キエフ軍が現在ロシア領土1,000平方キロメートル（約386平方マイル）以上を支配していることを、上級軍司令官が初めて公に認めた。
政府のコンピュータ システムにバックドア マルウェアを仕掛けた最近のフィッシング キャンペーンは、このウクライナの大規模な攻撃と同時期に発生しました。しかし、キエフはこれらの標的型攻撃をロシアやそのサイバー活動に直接結び付けてはいません。代わりに、このキャンペーンは UAC-0198 として識別される脅威アクターと関連付けられています。
ロシアのハッカーは以前、同様の戦術を使い、合法的なリモート監視・管理（RMM）ソフトウェアを利用してウクライナとその同盟国をスパイしていた。彼らは、RMMソフトウェアをダウンロードして実行するために必要な悪意のあるスクリプトを、マイクロソフトの「マインスイーパ」ゲームの合法的なPythonコード内に隠していた。
