PowerModul Implant
Paper Werewolf（別名GOFFEE）として知られる脅威アクターは、PowerModulと呼ばれる新しいインプラントを使用して、ロシアの組織を標的としています。2024年7月から12月にかけて、彼らの攻撃はマスメディア、通信、建設、政府機関、エネルギー部門など、主要産業に的を絞りました。
目次
執拗な敵：2022年以降のキャンペーン
Paper Werewolfは2022年以降、少なくとも7回の攻撃キャンペーンを実施しています。同グループは一貫して、政府、エネルギー、金融、メディアの各セクターにおける価値の高いターゲットに重点を置いています。
スパイ活動以上のもの：攻撃チェーンにおける破壊的な展開
Paper Werewolf の活動は、従来のサイバースパイ活動の域を超えています。攻撃チェーンには、従業員アカウントのパスワード変更といった破壊的な要素が組み込まれており、データの窃取だけでなく、業務を麻痺させようとする意図が伺えます。
エントリーポイント: フィッシング詐欺と PowerRAT
攻撃は通常、マクロが仕込まれた文書を含むフィッシングメールから始まります。被害者がファイルにアクセスし、マクロを有効にすると、PowerShellベースのリモートアクセス型トロイの木馬「PowerRAT 」が展開されます。このマルウェアは、より高度なペイロードの実行準備を整えます。
カスタムマルウェアアーセナル：PowerTaskel、QwakMyAgent、Owowa
次の段階のペイロードには、Mythicフレームワークに基づくエージェントのカスタムバージョンであるPowerTaskelとQwakMyAgentが含まれることがよくあります。また、悪意のあるIISモジュールであるOwowaというツールは、Webクライアントから入力されたMicrosoft Outlookの認証情報を盗むために使用されます。
新たな感染戦術：RARアーカイブ内の偽装実行ファイル
最新の攻撃では、二重の拡張子（例：*.pdf.exe）を使用してPDFまたはWord文書に偽装した実行ファイルを含む悪意のあるRARアーカイブが特徴的です。実行すると、ユーザーにはおとり文書が表示され、システムはバックグラウンドで静かに感染します。
実行ファイルは実際にはパッチが適用された Windows システム ファイル (explorer.exe など) であり、難読化された Mythic エージェントを含む悪意のあるシェルコードが埋め込まれており、さらに指示を得るために C2 サーバーに接続します。
代替攻撃ルート：PowerModulが主役に
別の方法として、Paper Werewolfはマクロが組み込まれたOfficeドキュメントを含むRARアーカイブを使用します。このドキュメントはPowerModulのドロッパーとして機能します。このPowerShellスクリプトはC2サーバーから追加のスクリプトを実行できるため、多用途のバックドアとして機能します。
ペイロードパレード：スパイ活動と感染のためのツールキット
PowerModulは2024年初頭から使用されており、主にPowerTaskelのダウンロードと実行に使用されています。その他の注目すべきペイロードには以下が含まれます。
- FlashFileGrabber : フラッシュドライブからファイルを盗み出し、抽出します。
- FlashFileGrabberOffline : フラッシュ メディア上で特定の拡張子を持つファイルを検索し、後で抽出できるようにローカルに保存します。
- USB ワーム: PowerModul のコピーをフラッシュ ドライブに感染させて、マルウェアをさらに拡散します。
PowerTaskelの機能：単なるスクリプト実行以上のもの
PowerModulに類似していますが、PowerTaskelはより高機能です。システム情報を含む「チェックイン」メッセージを送信し、C2サーバーからコマンドを実行し、PsExecを使用して権限を昇格できます。あるケースでは、ハードコードされたSMBネットワークパスを使用してリモートシステムからファイルを収集するFolderFileGrabberスクリプトを実行するのが確認されました。
戦術の進化：PowerTaskelからの脱却
Paper Werewolfは初めて、VBAスクリプトを組み込んだ偽造Word文書を初期アクセスに使用しました。最近の調査結果では、同グループがPowerTaskelから離れ、標的ネットワーク内での横方向の移動にバイナリMythicエージェントをますます利用しているという戦術的変化も示されています。
結論：進化する技術による脅威の増大
Paper Werewolf は、その技術を洗練させ、武器庫を拡大し続けています。ロシアの組織に特化していること、破壊的な能力、そして進化する感染戦略が相まって、深刻かつ持続的なサイバー脅威となりつつあります。
