中国のハッカーが、欧州でのサイバー攻撃に新たなマルウェア「Atlas RAT」を使用している

中国語圏のサイバー犯罪グループが、これまで報告されていなかったマルウェアやバックドア「Atlas」を展開し、標的を欧州地域へと拡大している。

TA4922として追跡されているこの脅威アクターは、詐欺、データ窃取、およびアクセス権の販売を目的として標的ネットワークへの侵入を図る、金銭的動機に基づく攻撃に関与している。

TA4922は以前、東アジアの組織を標的にしていたが、最近のキャンペーンではドイツ、イタリア、英国、南アフリカの組織に焦点を当てている。

サイバーセキュリティ企業Proofpointの研究者は、TA4922の活動が、以前「Silver Fox」や「Void Arachne」として報告された活動と重複する点があると指摘している。しかし、この活動クラスターは、スパイ活動というよりはサイバー犯罪の性質が強いことから、別個に追跡されている。

3月以降、TA4922の活動は急激に増加しており、4月以降は前例のない活動の多様性と高いペースを見せている。

「TA4922は現在、Proofpointの脅威データで追跡されている他のどのサイバー犯罪脅威アクターよりも多くの独自のキャンペーンを展開しており、高い活動ペース、多様な誘引手法、そして複数の目的を示している」と、Proofpointは本日の報告書で述べている。

「このアクターは金銭的動機によるものと評価されているが、マルウェアの機能には監視の可能性も含まれており、これはスパイ活動グループによって利用されたり、販売されたりする可能性がある」

攻撃者は、給与明細、税務調査、VAT申告、政府のコンプライアンス通知、請求書、人事関連の連絡などに見せかけるよう巧妙に作成された、地域に特化したフィッシングの餌を使用している。

また、この脅威グループは、WhatsApp、LINE、Microsoft Teamsを通じて被害者に接触を試みている。

Proofpointの報告によると、TA4922はマルウェアの兵器庫を大幅に拡大しており、ハッカーらはマルウェア開発を加速させるために大規模言語モデル（LLM）を使用している可能性があるとしています。

この結論は、プレースホルダー値、コードコメント、および AI 生成コードに一般的に見られるパターンの存在に基づいています。

Proofpointのレポートでは、最近特定されたリモートアクセス型トロイの木馬「Atlas RAT」に焦点を当てており、このマルウェアは攻撃者に以下の機能を提供します：

このマルウェアは、Microsoft Defender Application Guardに関連するユーザー名やレジストリキー、「CExecSvc」サービス、OSのUUIDの検索など、いくつかのアンチサンドボックスおよびアンチ分析チェック機能を備えています。

また、研究者らは「RomulusLoader」という新しいマルウェアローダーを発見しました。これは、プロセスホーリング、シェルコードの注入、および直接実行を使用して、追加のペイロードをダウンロードし実行します。

RomulusLoaderは、AnyDeskや、中国で普及しているリモート監視ソフトウェアであるSyncFutureといった正当なリモート管理ツールを起動するために展開されました。奇妙なことに、後者はドイツの組織を標的とした攻撃で使用されていました。

Proofpointはまた、SilentRunLoaderと呼ばれるPythonベースのローダー兼情報窃取型マルウェアを特定した。これはGoogle Chromeの認証情報、Cookie、閲覧データを窃取する。

このマルウェアは、政府機関を装ったおとりサイトを利用して、英国および東南アジアの組織に対して展開されました。

最後に、研究者らは「Winos4.0」の展開を確認した。これは以前より記録されているマルウェアファミリーであり、Proofpointでは「ValleyRAT」として追跡しており、オペレーターにリモートアクセス機能のフルセットを提供するものである。

Proofpointによると、TA4922は同社が追跡している他のどの脅威アクターよりも「より多くの独自のキャンペーン」を展開している。このグループは迅速に活動しており、複数の餌（ルアー）を使用している。

研究者らによると、このアクターが使用するマルウェアの機能には、「諜報グループによって利用されるか、あるいはそれらに販売される可能性のある監視能力」が備わっているという。

Proofpointのレポートには、TA4922の攻撃で使用されたマルウェアおよびコマンド＆コントロール（C2）インフラに関する侵害の兆候（IoC）が含まれている。

出典：https://www.bleepingcomputer.com/news/security/chinese-hackers-use-new-atlas-rat-malware-in-european-cyberattacks/

Comments