シングルキャンパーRAT

RomComとして知られるロシアの脅威アクターは、少なくとも2023年後半以降、ウクライナ政府機関と未知のポーランド組織を狙った新たな一連のサイバー攻撃に関連しているとされている。

この侵入は、SingleCamper (別名 SnipBot または RomCom 5.0) と呼ばれるRomCom RATの亜種の使用を特徴としています。情報セキュリティ研究者は、UAT-5647 という名前でこのアクティビティ クラスターを監視しています。このバージョンはレジストリから直接メモリにロードされ、ループバック アドレスを使用してローダーと通信します。

この脅威アクターは多数の攻撃キャンペーンを開始している

RomCom は、Storm-0978、Tropical Scorpius、UAC-0180、UNC2596、Void Rabisu などの別名でも知られ、2022 年に出現して以来、さまざまなサイバー活動に関与しています。これらの活動には、ランサムウェア攻撃、恐喝計画、資格情報の標的型収集などが含まれます。

最近の評価では、攻撃頻度が著しく増加していることが示されており、侵入されたネットワークへの長期的なアクセスを確立し、貴重なデータを抜き出すことに重点が置かれており、スパイ活動が目的であることが示唆されています。

これをサポートするために、RomCom はツールキットとインフラストラクチャを拡張し、C++ (ShadyHammock)、Rust (DustyHammock)、Go (GLUEEGG)、Lua (DROPCLUE) など、複数のプログラミング言語とプラットフォームを使用して構築された幅広いマルウェア コンポーネントを組み込んでいると報告されています。

標的を危険にさらすスピアフィッシング戦術

攻撃シーケンスは、C++ (MeltingClaw) または Rust (RustyClaw) で記述されたダウンローダーを配信するスピアフィッシング メールから始まります。このダウンローダーは、ShadyHammock および DustyHammock バックドアを展開する役割を担い、受信者には欺瞞を維持するためにおとり文書が表示されます。

DustyHammock は、コマンド アンド コントロール (C2) サーバーと通信し、任意のコマンドを実行し、そこからファイルをダウンロードするように設計されています。対照的に、ShadyHammock は、SingleCamper を起動し、受信コマンドを監視するためのプラットフォームとして機能します。

ShadyHammock には追加機能があるにもかかわらず、DustyHammock が 2024 年 9 月の攻撃で検出されているため、ShadyHammock は DustyHammock の前身であると考えられています。

SingleCamper RATは最新のイテレーションです

RomCom RAT の最新版である SingleCamper は、侵入後のさまざまなアクティビティを目的として設計されています。これらのアクティビティには、PuTTY から Plink ツールをダウンロードして敵対者が管理するインフラストラクチャとのリモート トンネルを作成すること、ネットワーク偵察を実行すること、横方向の移動を容易にすること、ユーザーとシステムを発見してデータを盗み出すことなどが含まれます。

ウクライナの著名な組織を狙ったこの一連の攻撃は、UAT-5647 の 2 つの戦略と一致しているようです。つまり、長期間のアクセスを確立してデータを抽出し、スパイ活動の目的をサポートすることと、ランサムウェアの展開に転じることで活動を妨害し、侵害から金銭的利益を得ることです。

さらに、マルウェアによって実行されたキーボード言語チェックからわかるように、ポーランドの組織も標的にされた可能性があります。

ウクライナは依然として高度なマルウェア攻撃の標的となっている

この発表は、ウクライナのコンピュータ緊急対応チーム（CERT-UA）が、UAC-0050として知られる脅威アクターによるサイバー攻撃について警告したことを受けて行われた。同アクターは、 Remcos RAT 、 SectopRAT、 Xeno RAT、Lumma Stealer、 Mars Stealer 、 Meduza Stealerなど、さまざまなマルウェアファミリーを使用して機密情報や資金を狙っている。

UAC-0050 の金融窃盗活動は、ウクライナの企業や個人起業家から資金を盗むことに重点を置いています。これは、Remcos や TEKTONITRMS などのリモート コントロール ツールを使用して会計士のコンピューターに不正アクセスすることで実現されます。

2024年9月から10月にかけて、UAC-0050は少なくとも30件の同様の攻撃を実行し、リモートバンキングシステムを通じて数万から数百万UAHに及ぶ偽の金融取引を作成しました。

さらに、CERT-UA は、特別なソフトウェアをインストールするように見せかけて Meduza Stealer マルウェアを展開することを目的として、Telegram メッセージング プラットフォーム上の @reserveplusbot アカウントを介して不正なメッセージを拡散する試みを観察したと報告しています。