Star Blizzard Threat Actor
スターブリザードとして知られるロシアのサイバー脅威グループは、被害者のWhatsAppアカウントを狙った新たなスピアフィッシング攻撃に関与していることが判明した。これは同グループの通常の戦術からの転換であり、おそらく検出を逃れ、監視強化下で活動を維持することが目的であると思われる。
目次
政府と外交における注目のターゲット
スターブリザードは、現職および元職員を含む政府や外交に関係する個人を主な標的としている。また、防衛政策や国際関係を専門とする研究者、特にロシアに関わる研究者も標的としている。標的となっているもう 1 つの重要なグループは、ロシアとの進行中の紛争でウクライナを支援している個人や組織である。
悪名高いスターブリザード：永続的な脅威
以前はSEABORGIUMとして知られていたStar Blizzardは、少なくとも2012年にまで遡る長いサイバー活動の歴史を持っています。Blue Callisto、BlueCharlie (TAG-53)、Calisto、COLDRIVER、Dancing Salome、Gossamer Bear、Iron Frontier、TA446、UNC4057など、複数の別名で活動しています。このグループは、機密性の高いログイン認証情報を盗むために設計されたスピアフィッシングメールを通じて実行される認証情報収集キャンペーンで悪名高いです。
欺瞞戦術の歴史
Star Blizzard は従来、ProtonMail アカウントから送信されるフィッシング メールを使用しており、文書に悪意のあるリンクを埋め込んで、被害者に認証情報を提供させようとしています。これらの攻撃では、多くの場合、Evilginx を利用したページを利用して、中間者攻撃 (AiTM) 技術によって 2 要素認証 (2FA) セキュリティ対策を回避しています。このグループはまた、HubSpot や MailerLite などのメール マーケティング プラットフォームを活用して、送信者の詳細を隠し、セキュリティ フィルターを回避しています。
混乱と適応
スターブリザードの活動を抑制する取り組みは、昨年末、マイクロソフトと米国司法省（DoJ）が同グループに関連する180以上のドメインを押収したことで勢いを増した。これらのドメインは、2023年1月から2024年8月までの間、ジャーナリスト、シンクタンク、NGOを標的に積極的に使用されていた。これらの活動が公に知られるようになったことで、同グループは戦術を調整せざるを得なくなり、最近のWhatsAppを標的としたキャンペーンにつながった可能性がある。
WhatsApp フィッシング詐欺が明らかに
最新の攻撃は、米国政府関係者からのメッセージを装ったスピアフィッシングメールから始まります。この欺瞞的なアプローチにより、信憑性が高まり、ターゲットが関与する可能性が高まります。メールには QR コードが含まれており、受信者をウクライナの NGO 支援専用の WhatsApp グループに参加するよう招待しているとされています。ただし、コードは意図的に解読されており、被害者に応答を促します。
多段階の欺瞞
返信を受け取ると、Star Blizzard は問題を謝罪し、WhatsApp グループへの t.ly 短縮リンクを提供するフォローアップ メールを送信します。リンクをクリックすると、ターゲットは別の QR コードをスキャンするように指示する Web ページにリダイレクトされます。ただし、この QR コードは正当なグループへのアクセスを許可するものではなく、WhatsApp のアカウント リンク機能を悪用するように設計された罠であり、攻撃者にメッセージやデータへの不正アクセスを許可します。
WhatsAppの機能の悪用
詐欺サイト (「aerofluidthermo.org」) の指示に従った被害者は、知らないうちに Star Blizzard が WhatsApp アカウントに侵入することを許可します。この方法により、攻撃者はブラウザ拡張機能を介してメッセージやその他の機密データを盗み出すことができます。
リスクのある個人に対する予防措置
政府、外交、防衛政策、国際関係に携わる人々、特にウクライナと関係のある人々は、外部ソースへのリンクを含むメールを扱う際には警戒を怠らないようにする必要があります。リンクをクリックしたり QR コードをスキャンしたりする前に、予期しないメッセージの真正性を確認することは、侵害を回避するために不可欠です。
持続的かつ進化するサイバー脅威
この最新の攻撃は、度重なる挫折にもかかわらず、スターブリザードがスピアフィッシング攻撃を継続する適応力と決意を浮き彫りにしています。WhatsApp フィッシングに移行することで、同グループは戦術を進化させる能力を示しており、標的の個人や組織におけるサイバーセキュリティの意識と保護対策が今後も必要であることを強調しています。
