BEARDSHELLマルウェア：デジタルスパイ活動の新たな一章

サイバー空間における新たな脅威

BEARDSHELLとして知られる新たなバックドアが登場し、ロシアと関係のある脅威グループAPT28による新たな巧妙な動きが明らかになった。ウクライナ当局は、このマルウェアが政府インフラを狙った標的型サイバー攻撃に起因すると突き止めた。これは、現代のサイバー攻撃がソーシャルエンジニアリング、ステルス的な配信手法、そして多層的なマルウェアフレームワークをシームレスに融合していることを示している。

BEARDSHELLとは？

BEARDSHELLはC++で書かれた悪意のあるプログラムで、リモートアクセス用のバックドアとして機能します。被害者のマシンにインストールされると、PowerShellスクリプトをオンデマンドで実行し、その結果をIcedriveファイル共有サービスを介してリモートサーバーに密かに送信します。このレベルの機能により、攻撃者は感染したシステム内に永続的に存在し続け、即座に疑われることなく情報を収集することができます。

ウクライナのコンピュータ緊急対応チーム（CERT-UA）による2024年3月から4月にかけての調査で発見されたBEARDSHELLは、スクリーンショットを撮影するために設計された別のツール「SLIMAGENT」と連携して動作していることが判明しました。これらのツールを合わせると、感染したエンドポイントを密かに監視し、データを抽出するという明確な意図が示唆されます。

シグナル、マクロ、マルウェア：異常な配信チェーン

このキャンペーンをさらに警戒すべきものにしているのは、その斬新な配信手法でしょう。攻撃者は、典型的なフィッシングメールではなく、セキュアメッセージングプラットフォームであるSignalを用いて、マクロを有効にしたMicrosoft Word文書を送信しました。これは、従来のメールセキュリティフィルターを回避する、型破りな手法です。問題の文書は「Акт.doc」という紛らわしい名前が付けられており、標的のシステムに複数のマルウェアペイロードをインストールする命令が埋め込まれていました。

ドキュメントを開くと、2つのファイルがドロップされます。1つはctec.dllという悪意のあるDLLファイル、もう1つはwindows.pngという画像ファイルです。このDLLはWindowsファイルエクスプローラーを起動するたびに起動するように設定されており、一見無害なPNGファイルから悪意のあるシェルコードを読み込みます。このシェルコードはメモリ常駐型のCOVENANTフレームワークを起動し、これがBEARDSHELLバックドアのダウンロードと起動において重要な役割を果たします。

なぜそれが重要なのか：より広範な影響

BEARDSHELLの出現は単発の出来事ではありません。その存在は、脅威アクターが重要なデジタルインフラへの侵入と監視に用いる、持続的かつ適応的な戦術を示唆しています。APT28は、マルウェアをマルチメディアファイルに偽装し、Signalのような信頼できるプラットフォームを拡散に利用することで、高度な回避技術への移行を示しています。

さらに、これらの活動は理論上のリスクにとどまりません。ウクライナ政府のメールシステムは、ソーシャルエンジニアリングと、 Roundcube 、Horde、Zimbraといった広く利用されているウェブメールプラットフォームの脆弱性を悪用した攻撃を組み合わせた手法によって侵害されたと報告されています。このマルウェアは不正アクセスを可能にしただけでなく、攻撃者がメール、アドレス帳、セッション情報などのデータを密かに盗み出すことも可能にしました。

攻撃側の戦略を垣間見る

この攻撃キャンペーンが特に巧妙なのは、アクセスの取得、維持、そしてエスカレーションに複数のレイヤーとツールを駆使している点です。BEARDSHELLマルウェアは単独で動作するのではなく、複数の悪意あるコンポーネントを含む大規模な攻撃チェーンの一部です。通常はWord文書やフィッシングメールを介して最初のアクセスが確立されると、攻撃者はWindowsレジストリ設定を操作したり、クロスサイトスクリプティング（XSS）の脆弱性を悪用したり、さらには悪意のあるSQLコマンドを挿入してデータを収集するスクリプトを展開します。

攻撃者は複数のJavaScriptベースのエクスプロイトを駆使し、それぞれに特定の目的があります。ある亜種は受信メールをサードパーティのサーバーにリダイレクトし、別の亜種はデータベース情報を収集し、さらに別の亜種は侵入したメールサーバー上で任意のコマンドを実行します。これらの戦術は、標的のデジタルエコシステムに潜伏し続けるための、綿密かつ綿密に計画された攻撃の手口を浮き彫りにしています。

脅威に先手を打つ：何ができるか

BEARDSHELLの手法は複雑ですが、防御戦略は複雑である必要はありません。CERT-UAは、侵害の兆候を検知するための第一歩として、このキャンペーンに関連するドメイン、特にapp.koofr.netとapi.icedrive.netへのトラフィックを監視することを推奨しています。システムを最新の状態に保ち、メールソフトウェアの既知の脆弱性にパッチを適用し、マクロ実行をデフォルトで無効にすることは、いずれも重要な防御策です。

組織は、ソーシャルエンジニアリングの兆候、特に通常とは異なる文書の要求やSignalのような帯域外通信手段を認識できるよう、従業員を教育することが推奨されます。最も脆弱なリンクがしばしば人間である時代において、教育は依然として最も強力な防御手段の一つです。

進化するサイバー戦場

BEARDSHELLは、現代の諜報活動においてますます一般的になりつつある、多角的かつステルス性の高いサイバー作戦の典型です。その高度な技術は注目に値する一方で、サイバー空間で展開されているより広範な地政学的緊張をも浮き彫りにしています。私たちが頼りにするテクノロジーと同じくらい急速に進化し続ける脅威に対する最善の防御策は、常に情報を入手し、警戒を怠らず、積極的に行動することです。