Dark Pink APT Group Targets Governments and Military in APAC Region
2023/01/11 TheHackerNews — アジア太平洋地域における政府機関／軍事組織などが、未知の高度持続的脅威 (APT：Advanced Persistent Threat) アクターの標的にされていることが、最新の調査により明らかになった。シンガポールに本社を置く Group-IB は、The Hacker News と共有したレポートの中で、「Dark Pinkと命名された進行中のキャンペーンを追跡しており、同グループは 2022年6月〜12月の間に７つの攻撃を成功させた」と述べている。
攻撃の大部分は、カンボジア／インドネシア／マレーシア／フィリピン／ベトナム／ボスニア／ヘルツェゴビナなどの軍事機関や、政府省庁／宗教／非営利団体などを標的にしている。また、ベトナムに拠点を置く無名の欧州国家開発機関に対する１件の侵入が、失敗したとも報告されている。
Dark Pink は、2021年半ばに活動を開始したと推定され、その１年後には、感染させたネットワークから貴重な情報を略奪するために設計された、未知のカスタム・ツールキットを用いて攻撃を激化させている。
Group-IB のリサーチャーである Andrey Polovinkin は、「Dark Pink APT の主目的は、企業スパイ活動／文書の窃盗などだが、それに加えて、感染させたデバイスのマイクからの音声キャプチャ／メッセンジャーからのデータ流出なども観察されている。一連のアクティビティからは、熟練した脅威アクターが開始した、非常に複雑な APT キャンペーンが示唆される」と述べている。
同グループは、その洗練されたマルウェアに加えて、攻撃開始のためのスピアフィッシング・メールや、Command and Control (C2) 通信のための Telegram API なども活用している。
また、悪意のモジュールをホスティングするために、単一の GitHub アカウントを使用しており、2021年5月からアクティブになっていることから、Dark Pink は１年半以上にわたって検知されずに活動していることが示唆される。
さらに Dark Pink のキャンペーンでは、複数の感染チェーンが採用されており、フィッシング・メッセージに、マルウェアの展開プロセスを起動させるための、ブービートラップ ISO イメージ・ファイルへのリンクを含むことが特徴的だ。ある事例では、PR のインターンシップに応募する候補者を装っていたという。
さらに同グループは、メッセージをカスタマイズすることで、ソーシャル・エンジニアリング攻撃の成功確率を高めるために、求人情報サイトを漁っている可能性も疑われている。
彼らの最終的な目標は、彼らが操作する Telegram ボットを介して送信されたコマンドを実行する TelePowerBot／KamiKakaBot の展開に加えて、Ctealer／Cucky といったカスタム・ツールを用いて、Web ブラウザから認証情報とクッキーを吸い上げることにある。
Ctealer が C/C++ で書かれているのに対して、Cucky は .NET のプログラムだ。そして、もう１つのカスタム・マルウェアは、.NET ベースのアプリ ZMsg であり。それらを用いる Dark Pink は、Telegram／Viver／Zalo などのメッセージ・アプリで送信されるメッセージを採取する。
Group-IB が確認した別のキルチェーンでは、ISO ファイルに含まれるデコイ文書を利用して、不正なマクロ対応テンプレートを GitHub から取得していたという。そのテンプレートに、PowerShell スクリプト・マルウェアである、TelePowerBot が格納されていたという。
それだけではない。2022年12月に発見された３つ目の手口は、TelePowerBot の .NET 版である KamiKakaBot が、暗号化された Word 文書の末尾にある MSBuild プロジェクトを含む XML ファイルにより起動するというものだ。スピアフィッシング・メールで被害者に送られる ISO イメージの中に、この Word ファイルは存在する。
Polovinkin は、「この攻撃の背後にある脅威アクターは、複数のプログラミング言語でツールを作成することで、防御インフラに柔軟に対応しながら突破し、被害者のネットワーク上で永続性を獲得していた」と説明している。
侵入に成功すると、偵察／横移動／情報漏えいなどの活動が行われ、さらには、Dropbox や電子メールを介して目的のファイルが送信されることもあるようだ。また、一般に公開されている PowerSploit モジュールを用いたマイク音声の録音や、接続された USB ディスクへの増殖もあるようだ。
Polovinkin は、「ほぼ完全にカスタム化されたツールキットの使用／高度な回避技術に加えて、マルウェアを作り直すことで最大の効果を確保する、この脅威アクターの能力と標的組織のプロファイルなどにより、このグループの脅威が実証されている」と述べている。
この Dark Pink という APT ですが、なかなか手強そうですね。いまは、カンボジア／インドネシア／マレーシア／フィリピン／ベトナム／ボスニア／ヘルツェゴビナなどの国々が狙われているようですが、対象が日本にまで広がらないという保証はありません。最近のアジアにおける気になる記事は、以下の通りです。よろしければ、ご参照ください。
2022/12/27：BlueNoroff APT ：日本への強い関心と MoTW 回避
2022/12/15：MirrorFace というAPT：参院選 2022 を狙っていた
2022/11/15：中国のBillbug：標的はアジア諸国における政府と防衛
IoT OT Security News 
You must be logged in to post a comment.