Tencent QQ ユーザーが謎のマルウェア攻撃でハッキングされたと、ESET が発表

「Evasive Panda」として知られる中国の APT ハッキンググループが、Tencent QQ メッセージングアプリの自動更新の一部として MsgBot マルウェアを配布した謎の攻撃に関与しています。

Evasive Panda は少なくとも 2012 年から活動しているサイバースパイグループで、以前は中国本土、香港、マカオ、ナイジェリア、および東南アジアと東アジアのさまざまな国の組織や個人を標的にしていました。

脅威アクターの最新のキャンペーンは、2022 年 1 月に ESET のセキュリティ研究者によって発見され、2020 年に活動が開始された兆候が見られたと報告しています。

キャンペーンの犠牲者のほとんどは、国際 NGO (非政府組織) のメンバーであり、甘粛省、広東省、江蘇省に居住しており、かなり具体的で焦点を絞った標的を示しています。

サプライチェーンかAITMか？
MgBot マルウェア

サプライチェーンかAITMか？

ESET は、悪意のある MsgBot マルウェアペイロードが、ソフトウェア開発者に属する正規の URL と IP アドレスから Tencent QQ ソフトウェアアップデートとして被害者に配信されたと報告しています。

これは、サプライチェーン攻撃または敵対者 (AITM) 攻撃という 2 つの攻撃シナリオが考えられることを意味します。

最初のシナリオでは、Evasive Panda は Tencent QQ のアップデート配布サーバーに侵入し、正規のソフトウェアアップデートを装って被害者に配布された「QQUrlMgr.exe」ファイルをトロイの木馬化する必要があります。

観測された悪意のある URL — **観察された悪意のある URL、IP、およびファイル***(ESET)*

ESET は、アップデータファイルのトロイの木馬化されたバージョンが、ハードコードされた URL (「update.browser.qq[.]com」) からマルウェアを取得し、サーバーによって提供された正しい MD5 ハッシュと一致するハードコードされた復号化キーを使用していることに気付きました。ただし、この URL の正当性はまだ検証されておらず、Tencent は ESET の質問に回答していません。

また、アナリストは XML 更新データのサンプルをサーバーから取得できませんでした。これにより、マルウェア配信メカニズムが明らかになります。

仮定されたサプライチェーンの攻撃図 — **仮定されたサプライチェーンアタックダイアグラム***(ESET)*

AiTM のシナリオで、ESET はこの戦術を使用した過去のキャンペーンとのいくつかの顕著な類似点に気付きました。これには、Kaspersky が2022 年のレポートで強調した LuoYu APT の 1 つが含まれます。

その古いキャンペーンでは、China Telecom からランダムな IP アドレスを生成する「WinDealer」マルウェアを使用して、AITM または攻撃側の傍受を実行していました。これらの IP は、Evasive Panda キャンペーンで MgBot マルウェアを配信した IP と同じ範囲にあるようです。

観察された偶然の一致と考えられる説明に基づいて、どちらのシナリオももっともらしいものですが、ESET は明確な方向性を示す証拠を見つけることができず、多くの疑問が未解決のままです。

ESET と Tencent の両方に問い合わせて、攻撃に関する追加の質問をしました。