PicassoLoader JavaScript バリアント
Ghostwriterとして知られる脅威グループは、ウクライナの政府機関を標的とした新たなサイバー攻撃の波に関与していることが明らかになった。少なくとも2016年から活動しているこのグループは、東ヨーロッパ全域でサイバー諜報活動と影響力工作の両方を実施することで悪名高く、特にウクライナとその近隣諸国に重点を置いて活動している。
この攻撃者は、FrostyNeighbor、PUSHCHA、Storm-0257、TA445、UAC-0057、Umbral Bison、UNC1151、White Lynxなど、複数の別名でも追跡されています。このグループは長年にわたり、セキュリティ対策を回避し、長期的な運用効率を維持するために、インフラストラクチャ、攻撃チェーン、回避手法を継続的に改良してきました。
目次
絶えず進化するマルウェアの武器庫
Ghostwriterは、マルウェアのエコシステムと配信手法を継続的に近代化してきた。初期のキャンペーンでは、PicassoLoaderマルウェアファミリーに大きく依存しており、これはCobalt Strike BeaconやnjRATなどの追加ペイロードの配信メカニズムとして機能していた。
2023年後半、このグループはWinRARの脆弱性CVE-2023-38831を悪用してPicassoLoaderとCobalt Strikeを配布することで、その能力を拡大した。翌年、ポーランドの組織は、Roundcubeのクロスサイトスクリプティングの脆弱性（CVE-2024-42009）を悪用したフィッシング攻撃の標的となった。この悪意のある活動により、攻撃者は被害者からメール認証情報を収集できるJavaScriptを実行できた。
侵害されたアカウントはその後、2025年6月中にメールボックスの内容を調べたり、連絡先リストを盗んだり、追加のフィッシングメッセージを配信したりするために使用されました。2025年末までに、このグループは高度な分析対策技術も運用に組み込んでいました。特定の誘引文書では、動的なCAPTCHA認証を使用して悪意のある感染チェーンを選択的に活性化し、自動分析環境を妨害するようになりました。
高度なスピアフィッシング攻撃がウクライナを標的に
2026年3月以降、研究者らは、悪意のあるPDF添付ファイルを含むスピアフィッシングメールを通じて、ウクライナ政府機関を標的とした新たな攻撃キャンペーンを確認している。これらの偽装文書は、ウクライナの通信事業者であるUkrtelecomを装い、正当な企業であるかのように見せかけ、被害者の関与を促すことを目的としている。
この攻撃は、PDFファイル内に埋め込まれたリンクを利用して、被害者をJavaScriptベースのペイロードを含む悪意のあるRARアーカイブにリダイレクトする仕組みです。マルウェアが実行されると、正規の文書を装うために偽のドキュメントを表示しつつ、バックグラウンドでPicassoLoaderのJavaScript版を密かに起動します。その後、ローダーは侵害されたシステムにCobalt Strike Beaconを展開します。
ジオフェンシングと被害者検証によりステルス性が向上
今回のキャンペーンで最も注目すべき点の1つは、ジオフェンシングと多層的な被害者検証メカニズムの導入です。ウクライナ国外のIPアドレスから接続するシステムは、悪意のあるペイロードではなく無害なPDFコンテンツを受信するため、研究者や自動スキャンシステムへの露出が大幅に軽減されます。
このマルウェアは、追加のペイロードを配信する前に、侵害されたホストの詳細なフィンガープリンティングも実行します。収集されたシステム情報は10分ごとに攻撃者が制御するインフラストラクチャに送信され、オペレーターは被害者がさらなる攻撃に値するかどうかを手動で判断できます。この検証プロセスが完了した後、インフラストラクチャはCobalt Strike Beaconをインストールする第3段階のJavaScriptドロッパーを配信します。
この作戦は、ユーザーエージェントやIPアドレスに基づく検証を含む自動フィルタリング手法と、オペレーターによる手動レビューを組み合わせたものであり、高度に規律づけられた成熟した攻撃手法を際立たせている。
東欧全域に地域ターゲティング戦略を拡大
現在の活動は主にウクライナの軍事、防衛、政府機関を標的としているようだ。しかし、ポーランドとリトアニアでゴーストライターによるものとされる作戦は、複数の重要分野に及ぶより広範な標的戦略を示している。
- 産業および製造業組織
- 医療機関および製薬機関
- 物流業者
- 政府機関
Ghostwriterのツール、配信メカニズム、および運用上のセキュリティ対策の継続的な進化は、同グループの粘り強さと適応力の高さを物語っている。カスタマイズされたおとり文書、選択的なペイロード配信、分析回避技術、そして手動による被害者検証を組み合わせる能力は、検知を回避しつつ作戦効果を最大化するように設計された、高度なサイバー諜報能力を示している。
