Contents
- イントロダクション
- 主なターゲット
- 影響を受ける業界
- 地理的焦点
- 地政学的背景
- 感染連鎖
- 活動のタイムライン
- 初期の調査結果
- おとり文書の調査
- テクニカル分析
- ステージ1 – 悪意のあるアーカイブの配信
- ステージ2 – 悪意のあるショートカットの実行
- ステージ3 – ホッピングアントJavaScriptローダー
- インフラストラクチャとアトリビューション
- 結論
- SEQRITE 保護性能
- 侵害の兆候（IOC）
- MITRE ATT&CK マッピング
- 著者
イントロダクション
Seqrite Labs APTチームは世界中の脅威を監視しており、最近、複数の国を標的とした攻撃キャンペーンを特定しました。現在の地政学的緊張を考慮し、中東地域にも目を向けています。このキャンペーンの興味深い点は、同じ感染手法を用いながら、ほぼ同時期に異なる地域を標的にしていることです。
このブログでは、今回の攻撃キャンペーンで使用された感染経路を分析します。感染経路は悪意のあるアーカイブから始まり、最終的には攻撃者によって悪用される正規ツールの展開へと繋がります。また、攻撃者が匿名性の高い公開ファイル共有サイトを利用してペイロードをホストおよび配布している、このキャンペーンで使用されたインフラストラクチャについても見ていきます。
最後に、今回の攻撃キャンペーンで確認された手法をMITRE ATT&CKフレームワークに照らし合わせて分析し、攻撃者が使用したインフラストラクチャについても考察します。
主なターゲット
影響を受ける業界
- 政府機関
- 防衛および軍事組織
- 外務・国際協力部
- 政策および外交機関
- エネルギーおよび戦略資源分野
地理的焦点
- アルジェリア
- モンゴル
- ウクライナ
- クウェート
地政学的背景
このキャンペーンの標的となっている国々は、一見すると関連性がないように見えるかもしれないが、それぞれが現在の地政学的環境において重要な位置を占めている。ウクライナは依然としてロシアとの激しい紛争の中心にあり、2026年に向けてハイブリッド戦術がエスカレートしている。北アフリカ最大のエネルギー輸出国の一つであるアルジェリアは、欧州、ロシア、中国の利害が交錯する地点に位置している。これは特に 関連した アルジェリアとモロッコが関係構築に向けて歩みを進め、北アフリカが米国の地域政策の中心へと近づいている。
モンゴルの立場はますます複雑化しており、 最近 中国やロシアとの関係を深める一方で、西側諸国とのパートナーシップも維持しているため、複数の競合する国家主体にとって価値の高い情報収集対象となっている。モンゴルに対して用いられた「中国との協力拡大」という誘い文句は、まさにこの緊張関係を反映している。クウェートは防衛装備品の調達活動を継続しており、湾岸地域における重要な安全保障パートナーであり続けている。湾岸地域全体は、不安定化を招く軍事活動と戦略的競争に引き続き直面している。
感染連鎖
活動のタイムライン
以下のタイムラインは、我々の調査中に観察されたキャンペーンの順序を示しています。
初期の調査結果
悪意のあるスピアフィッシングの脅威アーティファクトを捜索する中で、このキャンペーンに関連する最初の興味深い脅威がVirusTotalで発見されました。そこでは、وزارة_السكن_والعمران_والمدينة.png.zipという名前のファイルが確認されました。入手可能な情報によると、このファイルは2月24日にアルジェリアから送信されました。ファイル名は「住宅、都市開発、および都市省」と訳され、この誘いが公式の政府機関になりすましていることを示唆しています。この命名規則に基づくと、攻撃者は住宅、都市開発、または地方自治体の行政を担当する政府機関で働く個人を標的にしていました。このスピアフィッシング要素に最初に遭遇したとき、私たちは当初、特定の国を標的とした地域的な活動かもしれないと考えました。
しかし、調査を続けるうちに、同じインフラストラクチャと同様の技術を使用している別のサンプルが特定されました。このサンプルはモンゴルをターゲットにしており、ルアー Хятад улстай хамтын ажиллагаагаа ãргежͯͯлж байна.zip を使用しました。ファイル名を翻訳すると、 「中国との協力関係の拡大」 これは、この誘い文句が、政府機関、外交機関、または国際協力や外交問題に関わる組織で働く個人を標的としていることを示唆している。
3月に実施した追加監視で、同じキャンペーンの一部と思われる2つのサンプルが見つかりました。そのうちの1つは「Algerian Ukrainian proposals for cooperation.zip」という名前で、国間の協力関係に言及しており、外交関係、政府機関、または国際的なパートナーシップに関与する組織に関わる個人を標的にしている可能性が高いです。最近確認されたもう1つのサンプルは「Weapons requirements for the Kuwait Air Force.zip」という名前で、攻撃者が防衛または軍事関連の組織、特に調達、兵站、または戦略計画に関わる組織を標的にしようとしている可能性を示唆しています。
おとり文書の調査
実際に確認されたキャンペーン関連の最初のファイルは、وزارة_السكن_والعمران_والمدينة.png.zip でした。ファイル名はアラビア語で書かれており、「住宅・都市開発・都市省」という意味です。
ZIPアーカイブには2つのファイルが含まれています。1つは「参加のご案内.lnk」という意味のدعوة للمشاركة.lnk、もう1つは「住宅・都市開発・都市省.png」という意味のوزارة_السكن_والعمران_والمدينة.pngです。ファイル名から判断すると、どちらの文書も正規の文書のように見え、被害者を騙して開かせることを目的としている可能性が高いです。
おとり画像を詳しく調べたところ、そのロゴはアルジェリアの政府機関のものであることが判明しました。このことから、攻撃者は政府機関や関連組織に関係する可能性のある人物を標的にするために、このロゴを使用した可能性が高いと考えられます。
私たちが見つけた 2 番目のサンプルは、最初のサンプルが共有された直後に送信されました。サンプルは当初、「中国との協力の拡大」を意味する Хятад улстай хамтын ажиллагаагаа улстай хамтын ажиллагаагаа Ʃргraiseжͯͯлж байна.zip という名前の ZIP ファイルに圧縮されていました。 ZIP ファイルには 2 つのファイルが含まれています。「中国との協力拡大」を意味する Хятад улстай хамтын ажиллагаагаа ãргуом жƯƯлж байна.lnk (「中国との協力拡大」を意味) と、Мон-Атом ХХК.jpg という名前のルアー画像です。
画像にはロゴが含まれています MonAtom LLCモンゴルの国営企業で、ウラン探査と原子力開発を担当している。これは、攻撃者がモンゴルの原子力またはエネルギー部門に関連する組織を参照またはなりすまそうとしていたことを示唆している。3番目に見つかったペイロードは3月の初めにあり、「Algerian Ukrainian proposals for cooperation.zip」という名前だった。
zipファイルをさらに詳しく調べたところ、Algerian Ukrainian proposals for cooperation.lnkとMHUV.pngという2つのファイルが含まれていることがわかりました。データによると、このファイルはウクライナからアップロードされたものです。興味深いことに、このファイルには、アルジェリアを標的とし、住宅都市開発省と都市に言及した最初のサンプルで確認されたロゴと同じものが含まれています。タイムラインと誘引テーマを調べた結果、同じ脅威アクターがウクライナとアルジェリアの両方を標的にしており、同じ誘引手法を用い、攻撃対象地域も類似している可能性が高いことがわかりました。
さて、3月4日に発見された最新のサンプルは WeaponsrequirementsfortheKuwaitAirForce.zip で、元々はイタリアからアップロードされたものでした。しかし、さらに詳しく調べてみると、ターゲットは別の地理的な場所であることがわかりました。発見された ZIP ファイルには、Weapons requirements for the Kuwait Air Force.lnk と Kuwait Armed Forces.png という 2 つのファイルが含まれています。
誘い出しに使われた画像にはクウェート軍の公式エンブレムが含まれており、これはファイルを正当なものに見せかけ、この脅威グループの標的となった被害者の信頼を得るために使用された可能性が高い。
上記で述べた画像ベースのおとりに加えて、攻撃者はリモートのC2サーバーから別のおとり文書も展開します。これは感染チェーンの後期段階の一部です。
しかし、おとり文書は完全にヌルパディングされており、これは被害者の注意をそらすために使用された可能性が高いと考えられます。このセクションでは、画像とヌルパディングされた文書の形で提示された一連のおとり文書について説明しました。次のセクションでは、攻撃者が使用した感染チェーン全体の技術的な分析について見ていきます。
テクニカル分析
このセクションでは、今回のキャンペーンで使用された感染経路の技術的な詳細について説明します。前述のとおり、私たちが観察したキャンペーンは、誘引文書は異なっていても、ほぼ同じ手法を用いています。その挙動を明確に説明するために、最新のサンプルに焦点を当てます。
感染は、ショートカットファイルと誘引画像を含むZIPアーカイブから始まります。被害者がショートカットファイルを操作すると、攻撃の次の段階が開始されます。感染チェーンの後期段階では、追加のコンポーネントが公開ファイル共有Webサイトからダウンロードされます。攻撃者は最終的に、 Rclone合法的なツールであり、情報漏洩の目的で使用されます。
ステージ1 – 悪意のあるアーカイブの配信
最初に確認されたフィッシング攻撃の手法は、「クウェート空軍の武器要件.zip」という名前のZIPファイルでした。
ZIPファイルには、「クウェート空軍の武器要件.lnk」と「クウェート軍の公式ロゴ」という2つのファイルが含まれています。LNKファイルには、次の実行段階をトリガーする悪意のあるPowerShellコマンドが含まれており、これについては次のセクションで詳しく見ていきます。
ステージ2 – 悪意のあるショートカットの実行
LNKファイルの内容を調べたところ、匿名ファイル共有ウェブサイトfilebulldogs[.]comに接続して、さらに最終的なファイルをダウンロードするPowerShellコマンドが含まれていることがわかりました。 ペイロードこれはJavaScriptローダーであり、HOPPINGANTという別名で追跡しています。
悪意のある LNK ファイルのコマンドライン引数を調べたところ、このコマンドはディレクトリを $ENV:Temp に変更し、Invoke-WebRequest を使用して hxxps://filebulldogs[.]com/uploads/AVQB61TVOX/f.js から f.js という名前の JavaScript ファイルをダウンロードし、それを Temp ディレクトリに保存し、ダウンロードしたスクリプトを実行して攻撃の次の段階に進むことがわかりました。
次のセクションでは、JavaScriptローダーについて見ていきます。 ホッピングガント このファイルは、これまで述べてきたすべてのキャンペーンで共通して使用されていることが分かりました。つまり、キャンペーンの実行において一貫性が保たれているということです。それでは、ローダーの内部動作を見ていきましょう。
ステージ3 – ホッピングアントJavaScriptローダー
HOPPINGANTローダーと名付けたファイルf.jsを調べたところ、このファイルにはWscript.Shellobjectを作成し、Base64エンコードされた64つのPowerShellコマンドを実行するWindows Script Host (WSH) JavaScriptが含まれていることがわかりました。これらのコマンドはpowershell -enc引数を使用して実行され、攻撃者はエンコードされたデータの中に実際のPowerShell命令を隠すことができます。 ホッピングガント ローダーを解析した結果、スクリプトが複数のアクションを実行して追加のペイロードを取得し、データ漏洩に備えてシステムを準備していることが分かりました。
まず、スクリプトは作業ディレクトリをTempフォルダに変更し、filebulldogs.comでホストされているリモートサーバーからdocument.pdfという名前のファイルをダウンロードします。これは、先ほど説明したおとり文書と同じもので、被害者の注意をそらすためにヌルバイトが詰め込まれています。
このスクリプトは、同じリモートサーバーから a.zip という名前の別のアーカイブもダウンロードし、その内容を解凍します。ZIP ファイルを解凍すると、l.exe という名前の実行可能ファイルが見つかり、これは後でユーザープロファイルディレクトリにコピーされ、実行されます。さらに分析した結果、l.exe は正規のソフトウェアである Rclone、具体的にはバージョンであることがわかりました。 v1.70.3.
バイナリを実行した後、スクリプトは整数値の配列から単純なXORベースの復号ルーチンを使用してパスワードを再構築します。この復号されたパスワードを使用して、スクリプトは公開されているリモートストレージサービスMegaにログインし、ユーザー名oliwiagibbons@onionmail[.]orgと復号されたパスワードで新しいリモートプロファイルを作成します。4つのキャンペーンすべてで使用されているメールアドレスはそれぞれ異なります。
リモート接続が確立されると、実行ファイルl.exeを使用して、被害者のシステムからファイルを収集してアップロードします。このスクリプトは特に、デスクトップディレクトリにある.doc、.docx、.pdf、.txtファイルなどのドキュメントを標的としています。さらに、Telegram Desktop\\tdataディレクトリからTelegramセッションデータを抜き取ろうとします。収集されたファイルはMegaストレージアカウントにアップロードされ、攻撃者は盗んだデータをリモートで取得できるようになります。この脅威は、正規のソフトウェアと公開されているサービスを悪用して、被害者のシステムからデータを抜き取ります。次のセクションでは、このキャンペーンに関連するインフラストラクチャと帰属について見ていきます。
インフラストラクチャとアトリビューション
調査の結果、この攻撃キャンペーンは、悪意のあるペイロードをホストおよび配信するために、一般にアクセス可能なサービスを利用していることが分かりました。専用のC2インフラストラクチャを構築する従来のAPT攻撃とは異なり、この攻撃者は正規の公開プラットフォーム上に完全に活動を構築しているため、ネットワークベースの検出が著しく困難になっています。
当初、このキャンペーンに関連する主要なネットワークアーティファクトは、匿名ファイル共有ウェブサイト filebulldogs[.]com であることが判明しました。これは、感染チェーン全体を通して唯一のステージングサーバーとして機能しています。アルジェリア、モンゴル、ウクライナ、クウェートのいずれを標的としたキャンペーンであっても、この同じドメインを使用して HOPPINGANT JavaScript ローダー (f.js)、ペイロードアーカイブ (a.zip)、およびデコイ文書 (document.pdf) をホストしています。しかし、攻撃者は /uploads/AVQB61TVOX/、/uploads/OKW5RN48ZJ/、/uploads/F1OQY9GU84/ など、異なるディレクトリ名を使用することで、各キャンペーンのアップロードパスを変更しています。これにより、各キャンペーンを分離し、すべてのペイロードが同時に削除されるリスクを軽減できると考えられます。また、攻撃者は短期間に複数のキャンペーンを実行することも可能になります。
次に、作戦のデータ流出について見ていくと、攻撃者は盗んだデータの遠隔エンドポイントとして、一般に利用可能なクラウドストレージサービスであるMEGA[.]nzを悪用していることがわかりました。キャンペーン全体で使用されているMEGAアカウントはすべて、 onionmail.org メールアドレスは、本人確認が不要なため、脅威アクターの間で人気のある匿名メールサービスです。分析した亜種全体で、最近登録された4つの異なるMEGAアカウントを特定しました。
- coreyroberson@onionmail[.]org – 2026年2月17日登録
- keatonwalls@onionmail[.]org – 2026年2月20日登録
- oliwiagibbons@onionmail[.]org
- theresaunderwood@onionmail[.]org
これらのアカウントに使用される認証情報は、HOPPINGANTローダー内に保存され、同じキー値56を用いた単純なXORエンコード方式で隠蔽されています。このキーは、分析したすべてのキャンペーンサンプルで再利用されています。さらに、Rcloneの設定パラメータも、12スレッド、12転送、帯域幅制限100Mなど、キャンペーン間で同じままです。同じエンコードキーと同一のRclone設定が再利用されていることから、観測されたすべてのサンプルは、同一の協調型キャンペーンの一部である可能性が高いと考えられます。
ストレージ内に約4KBのファイルを保持していたのは、「Corey Roberson」というアカウントのみでした。これらのファイルには、ランダムな名前の文書の中に意味不明なデータが書き込まれていました。
現段階では、このキャンペーンを既知の脅威アクターに帰属させることはできません。しかし、アルジェリア、モンゴル、ウクライナ、クウェートなどの国々の政府、防衛、外交、エネルギー部門を標的としたパターンと、地政学的なテーマを装った誘い文句の使用は、この活動が金融サイバー犯罪というよりも、情報収集と概ね一致していることを示唆しています。私たちはこれらのキャンペーンを「オペレーション」の下で追跡しています。 キャメルクローン標的のパターンから判断すると、大国間の対立の中で各国が取る外交政策上の立場、防衛能力、外交関係を監視することに関心を持つ主体が存在すると考えられる。
結論
Seqrite Labsは、追跡している複数のキャンペーンを特定しました。 キャメルクローン作戦調査の結果、アルジェリア、モンゴル、ウクライナ、クウェートにおいて、政府、国防、外交関連のテーマを標的とした複数のマルウェアが短期間のうちに発見されました。攻撃者は、感染経路を開始するために、おとりとなる文書を含むZIPアーカイブを利用しています。
この攻撃キャンペーンの興味深い点の1つは、攻撃者が従来のコマンド＆コントロールインフラストラクチャに依存していないことです。代わりに、ペイロードは公開ファイル共有サービスであるfilebulldogs[.]comにホストされ、盗まれたデータは正規のツールであるRcloneを使用してMEGAストレージにアップロードされます。
分析した4つのキャンペーン全体で、同じことが観察されました。 ホッピングガント ローダーの類似性、パスワード復号に同じXORキーが再利用されていること、そしてRcloneの設定パラメータが類似していることなどが挙げられます。これらの類似性から、これらのサンプルは同一の操作の一部である可能性が高いと考えられます。
現時点では、この活動を既知の脅威グループに結びつけることはできません。しかし、おとりに使用された手段や、おとり文書で言及された分野から、情報収集が目的であった可能性が示唆されます。引き続きこの活動を監視し、重複する事例がないか確認するとともに、この作戦に関連する追加のキャンペーンが確認された場合は、最新情報をお伝えします。
SEQRITE 保護性能
Lnk.Trojan.50485
リンク.トロイの木馬.50481.GC
スクリプト.トロイの木馬.50480.GC
侵害の兆候（IOC）
ハッシュ（SHA-256）File
| 31f1a97c72f596162f0946df74838d3bef89289ce630adba8791c0f3220980ee | وزارة_السكن_والعمران_والمدينة.png.zip |
| 51af876b0f7fde362c69219f7dec39f7fb667fb53dc5fe2cbdf841d6c5951460 | Weapons%20requirements%20for%20the%20Kuwait%20Air%20Force.zip |
| 27d7a398a58c12093bc49f7144dac2f079232768096d0558c226ea5c53782e29 | アルジェリアとウクライナの協力に関する提案.zip |
| 4a0e2649f89e11121ffe55546ee081ac07472db650d094314414ebf26fcb7a8e | Хятад улстай хамтын ажиллагаагаа улстай байна.zip |
| 92962bfa6df48ec0f13713c437af021f4138dc5a419bc92bc8a376d625a6519a | دعوة للمشاركة.lnk |
| 1d0ea66d347325902e20a12e1f2f084be45d3d6045264e513dcc420b9928013c | クウェート空軍の兵器要件。 |
| 2671e1f43b2e5911310c5b3f124c076055eec5dee4e596854332ffcf791fd740 | アルジェリアとウクライナの協力に関する提案。 |
| 2902cdee050a60c3129b4bb84e74ddda7b129c3473556f689d83609d9a5981a7 | Хятад улстай хамтын ажиллагаагаа улстай байна.lnk |
| 630ac67d8db777ae0b93e066bd13b21908e79f23a41a64448f0a4ea38c063a44 | f.js |
| 230a22a1f1800f11718b43a7ce9390d2ef0fa9dc212d954c8fafbfbe997bbbef | f.js |
| 62c477c0827752ffeb8ea243497eef1c666fc41025d287909d021bceb5b8e699 | f.js |
| 2dcaaedfad798dad87f27aef39885d2879825c4c8bed1dcd9e863aba0d463103 | f.js |
| 3e36b396c4cb71b8eaae2300c21bec26700b27ce5f6be83ef6b86d214e294c8b | l.exe |
電子メールアドレス
| oliwiagibbons@onionmail[.]org |
| theresaunderwood@onionmail[.]org |
| keatonwalls@onionmail[.]org |
| coreyroberson@onionmail[.]org |
URLは
| hxxps://filebulldogs[.]com/uploads/AVQB61TVOX/f.js |
| hxxps://filebulldogs[.]com/uploads/OKW5RN48ZJ/f.js |
| hxxps://filebulldogs[.]com/uploads/F1OQY9GU84/f.js |
| hxxps://filebulldogs[.]com/uploads/82WX5GP8CI/f.js |
| hxxps://filebulldogs[.]com/uploads/AVQB61TVOX/document.pdf |
| hxxps://filebulldogs[.]com/uploads/OKW5RN48ZJ/document.pdf |
| hxxps://filebulldogs[.]com/uploads/F1OQY9GU84/document.pdf |
| hxxps://filebulldogs[.]com/uploads/82WX5GP8CI/document.pdf |
| hxxps://filebulldogs[.]com/uploads/AVQB61TVOX/a.zip |
| hxxps://filebulldogs[.]com/uploads/OKW5RN48ZJ/a.zip |
| hxxps://filebulldogs[.]com/uploads/F1OQY9GU84/a.zip |
| hxxps://filebulldogs[.]com/uploads/82WX5GP8CI/a.zip |
MITRE ATT&CK マッピング
戦略テクニックID技名
| 初期アクセス | T1566.001 | フィッシング：スピアフィッシングアタッチメント |
| 実行 | T1204.002 | ユーザーの実行：悪意のあるファイル |
| T1059.001 | コマンドおよびスクリプト インタープリター: PowerShell | |
| T1059.007 | コマンドおよびスクリプト インタープリター: JavaScript | |
| 防衛回避 | T1027 | 難読化されたファイルまたは情報 |
| T1218 | システムバイナリプロキシ実行 | |
| コマンドおよび制御 | T1071.001 | アプリケーション層プロトコル：Webプロトコル |
| T1105 | 入力ツール転送 | |
| 収集 | T1005 | ローカルシステムからのデータ |
| T1213 | 情報リポジトリからのデータ | |
| exfiltration | T1567.002 | クラウドストレージへの流出 |
著者
- プリヤ・パテル
- カルティック・ジヴァニ
- サトウィック・ラム・プラッキ
