中国ハッカーが世界的なスパイ活動で展開したマルウェア「SpiceRAT」と「SugarGh0st」 SneakyChef を暴露
これまで報告されていなかった中国語を話す脅威アクター（現在は SneakyChef として知られている）が、アジア、ヨーロッパ、中東、アフリカ（EMEA）の政府機関を標的とした大規模なスパイ活動に関与していることが判明した。Cisco Talos の研究者 Chetan Raghuprasad 氏と Ashley Shen 氏によると、少なくとも 2023 年 8 月から継続しているこのキャンペーンでは、SugarGh0st マルウェアが使用されているという。
SneakyChef は、政府機関、特に外務省や大使館に関連する文書をスキャンして、欺瞞的な戦術を採用しています。このサイバーセキュリティ企業は、2023 年 11 月下旬に初めてこれらの活動に注目し、Gh0st RAT のカスタム バリアントである SugarGh0st を使用して韓国とウズベキスタンを狙った攻撃キャンペーンを明らかにしました。
2024 年 5 月に Proofpoint がさらに分析した結果、学術界、民間企業、政府部門にわたる人工知能に携わる米国の組織に対して SugarGh0st RAT が展開されていることが明らかになりました。この一連の活動は UNK_SweetSpecter という名前で追跡されています。
注目すべきは、SneakyChef キャンペーンが、Palo Alto Networks Unit 42 が Operation Diplomatic Specter と名付けたキャンペーンに該当することです。Unit 42 によると、この活動は 2022 年後半から継続しており、中東、アフリカ、アジアの政府機関を標的にしています。Cisco Talos はその後、スピアフィッシング キャンペーンで使用されたルアー ドキュメントに基づいて、同じマルウェアがアンゴラ、インド、ラトビア、サウジアラビア、トルクメニスタンのさまざまな政府機関に焦点を合わせているように見えることを確認しました。これは、標的となる国の範囲が拡大していることを示しています。
新しい攻撃の波は、RAR アーカイブに埋め込まれた Windows ショートカット (LNK) ファイルを利用して SugarGh0st を配信し続けるだけでなく、自己解凍型 RAR アーカイブ (SFX) を最初の感染ベクトルとして使用します。この方法では、被害者にデコイ ファイルを表示しながら、ローダーを介してマルウェアを実行する Visual Basic Script (VBS) を起動します。
アンゴラへの攻撃は、SpiceRAT と呼ばれる新しいリモート アクセス トロイの木馬の導入で特に注目されています。これらの攻撃は、トルクメニスタンのロシア語新聞「Neytralny Turkmenistan」からのルアーを使用します。SpiceRAT は 2 つの異なる感染チェーンを通じて広がります。1 つのチェーンは、RAR アーカイブ内の LNK ファイルを使用し、DLL サイドローディング技術によってマルウェアを展開します。RAR ファイルを解凍すると、隠しフォルダーと LNK ファイルが被害者のマシンにドロップされます。PDF に偽装された LNK ファイルを開くと、隠しフォルダーから悪意のある実行可能ファイルを起動する埋め込みコマンドが実行され、おとり文書が表示され、悪意のある DLL がサイドローディングされて SpiceRAT がロードされます。
2 番目の亜種には、Windows バッチ スクリプトと Base64 でエンコードされたダウンローダー バイナリをドロップする HTML アプリケーション (HTA) が含まれます。バッチ スクリプトは、ダウンローダー バイナリを 5 分ごとに実行するようにスケジュールし、別の実行ファイル「ChromeDriver.exe」を 10 分ごとに実行するようにスケジュールします。この実行ファイルは、SpiceRAT をロードする不正な DLL をサイドロードします。各コンポーネント (ChromeDriver.exe、DLL、および RAT ペイロード) は、リモート サーバーから取得した ZIP アーカイブから抽出されます。
SpiceRAT は、DLL サイドローディング技術を使用して、メモリからメインモジュールを実行する前に、デバッグのために実行中のプロセスをチェックする DLL ローダーを起動します。実行可能バイナリと任意のコマンドをダウンロードして実行する機能により、SpiceRAT は被害者のネットワーク上の攻撃対象領域を大幅に拡大し、さらなる侵入への道を開きます。
Cisco Talos は、これらの高度な攻撃方法によってもたらされるリスクの増大を強調し、このような高度な脅威から保護するための警戒的なサイバーセキュリティ対策の重要性を強調しています。
