Impersonation)」と呼ぶソーシャルエンジニアリングの手法を用いた攻撃を展開しました。この手法では、攻撃者が1つのメールスレッドで少なくとも2つのペルソナを用いて、狙ったターゲットにメールの内容が正当なものであると信じさせるように仕向けます。この手法では、ターゲット1人あたりにより多くの時間と手間がかかり、TA453が使用するさまざまなペルソナ間で連携したアプローチが必要となるため、非常に興味深い手法です。これは、これまでのTA453のテクニックを進化させた最新のもので、中東問題や核安全保障を専門とするような標的とされうる人物に対して使われていました。通常、メールの内容が正当であると受け止められるものであったとしても、予想外の人物から接触を受けた場合には、その内容の正当性を疑うことがあります。複数の別の人物からアプローチを受けることにより、メールを受け取る標的が持つ疑いを弱くすることができます。friend"(誰にでも友達が必要)です。今年、イランと連携したスパイ活動をおこなう攻撃グループであるTA453ほど、この感情を真摯に受け止めているAPTはないでしょう。Kitten、PHOSPHORUS、APT42として追跡されている活動と重複する攻撃グループTA453が、諜報活動の優先順位を高めるために継続的にアプローチを進化させていることを確認しています。Impersonation)」と呼ぶ攻撃キャンペーンを実施しました。framework)に定義する「なりすまし」のサブセットです。MPIでは、TA453は標的型ソーシャルエンジニアリングを新たなレベルに引き上げ、攻撃グループが制御するペルソナを1つだけでなく複数使って研究者をターゲットにしています。)という心理学の原理を利用してターゲットを捕食し、攻撃グループのスピアフィッシングの信憑性を高めることができるのです。高度なビジネスメール詐欺を実行する攻撃者からこのテクニックを確認しています。本ブログでは、プルーフポイントは、TA453の各ペルソナを送信者名で表記しています。プルーフポイントは、以前、TA453が侵害されたメールアカウントを使用してフィッシングメールを送信しているのを確認しましたが、これらの偽装された個人がTA453の被害に遭ったという具体的な兆候はありません。プルーフポイントは、TA453が、同じなりすまし人物と、攻撃グループが管理する異なる電子メール・アドレスとを組み合わせているのを定期的に確認しています。ジャーナリストや政策関係者などの個人になりすまし、意図したターゲットに協力するように働きます。ジャーナリスト、人権活動家などを標的としてきました。TA453の活動の特徴は、良識のある会話からはじまり、最終的にクレデンシャル・ハーベスティングのリンクが張られたメールが送信されます。プルーフポイントでは、TA453がマルウェアを展開する事例を限定的に観測しています。ほとんどの場合、TA453はターゲットと1対1で会話をしていましたが、2022年半ばにこの状況が変わりました。時代は変わる:TA453のマルチペルソナプルーフポイントのリサーチャーは、2022年6月からTA453のアプローチに変化があることを観察しました。"を装って会話を開始しました。このメールには、イスラエル、湾岸諸国、アブラハム和平協定合意についての会話をおこなうことを意図したさまざまな質問が含まれていました。これらの質問は、一般に、認証情報取得のためのリンクを送信したり、悪意のある文書を配信したりするための口実を作るためのものですが、TA453に課せられた情報収集のための質問である可能性もあります。Impersonation)を実施しはじめています。Wilke)」がメールのスレッドに返信しており(図2)、要求の信憑性を高め、ターゲットからの応答を求めようとしたものと思われます。このケースでは、悪意のある文書やリンクは確認されませんでした。博士」をCCに入れ、3つのなりすましアカウントを用いたMPIを実施しました。371.docxという悪意のあるWordドキュメントをダウンロードするOneDriveのリンクを配信しました。このファイルのSHA256は、f6456454be8cb77858d24147b1529890cd06d314aed70c07fc0b5725ac84542bです。プルーフポイントは、この文書が、PwCが以前に報告したTA453のリモートテンプレートインジェクションを悪用する最新版であると評価しています。このテンプレートとマクロ(プルーフポイント社では「Korg」と呼んでいます)については、本レポートで後ほど説明します。ゲノム研究に携わる人々を標的とすることはあまりありませんが、この攻撃グループがこの種の研究に関心を示したのは今回が初めてではありません。2020年12月、TA453は、ProofpointのBadBloodのブログで詳述されているように、医療研究者を標的としたフィッシングキャンペーンを実施しました。Doherty)」は、核軍備管理に携わる著名な学者に、米国とロシアの衝突の可能性について働きかけました。この攻撃キャンペーンは、TA453のMPI手法を進化させたもので、ペルソナは1人のターゲットにリーチするだけでなく、同じ大学の2人のターゲットにリーチしました。)」は、TA453の他の3人のペルソナにもメールをCCしています。)」に対して連絡をしなくなくなりました。)」は親切にも元の電子メールで参照された記事へのOneDriveリンクを提供しました(図5)。clash.docx」というタイトルの文書がダウンロードされました(SHA256:16a961475a88313478bc2406d6b442be9809e64a9e2a4754debcce9200cf36b)。)」はターゲットにフォローアップメールを送り、パスワードがなければ読むことができないことを伝えています。ドキュメントが安全であることを知らせていいます。)」からすでに送られていることを伝えつつも、再度同じOneDriveのリンクとパスワードを再送信しました(図6)。(Harald)」から送られた文書と同様に、この文書もリモートテンプレートインジェクションを使用してKORGをダウンロードするものでした。最新のリモートテンプレートインジェクション上述の通り、TA453のキャンペーンの一部は、悪意のあるドキュメントをホストするOneDriveのリンクを配信しました。この文書は、2022年7月にPwCが取り上げたTA453のリモートテンプレートインジェクション文書の最新版です。パスワードで保護されたドキュメントは、354pstw4a5f8.filecloudonline[.]comからマクロを有効にしたテンプレートドキュメントをダウンロードするものでした。プルーフポイントは、この特定のfilecloudonline[.]comのホストを再利用する複数のキャンペーンを確認しています。ダウンロードされたテンプレートは、Proofpointによって「Korg」と呼ばれ、3つのマクロを備えています。Module1.bas、Module2.bas、およびThisDocument.clsです。APIを使用してその情報を流出させます。現時点では、プルーフポイントはビーコン情報のみを観測しており、後続のエクスプロイト機能は観測していません。マクロにコード実行やコマンド&コントロールの機能がないのは異常です。プルーフポイントは、感染したユーザーが、そのマシン上で確認されたソフトウェアに基づき、さらなる悪用にさらされる可能性があると判断しています。アトリビューションプルーフポイントは、TA453がイスラム革命防衛隊(IRGC)を支援するために活動していると引き続き評価しています。WittおよびIRGC関連攻撃グループの米国司法省による起訴、報告されたIRGC-IOの優先順位と比較したTA453の標的の分析などのさまざまな証拠に基づいて行われています。プルーフポイントは、主に被害者像、テクニック、インフラによって区別されるTA453の複数のサブグループを追跡しています。典型的な攻撃キャンペーンでは、悪意のあるリンクを送信する前に、数週間にわたってターゲットと穏便な会話をするサブグループがあります。逆に、別のサブグループは、最初の電子メールですぐに悪意のあるリンクを送信する傾向があります。特定の指標があるだけでは、そのメールがTA453であると断定することはできませんが、TA453に関連するペルソナの可能性を示す指標は以下の通りです。コーポレートの電子メールではなく、Gmail、Outlook、Hotmail、AOLの電子メールアドレスを使用すること他の「個人メールアカウント」を会話に含めること空メールに返信する中東に関連する問題についての共同研究を依頼するZoomコールを提案する(多くの場合、クレデンシャル・ハーベスティング・リンクが表示される)未承諾の共同研究の「草稿」を添付して送信する結論すべての攻撃グループは、ツール、戦術、テクニック(TTP)を常に繰り返し、あるものは進化させ、あるものは衰退させています。TA453によるMPIの使用は、同グループの最新の手法ではありますが、同グループがIRGCを支援するために情報を収集する中で、今後も進化・変容を続ける可能性があります。プルーフポイントのリサーチャーは、TA453が空メールを送信し、その空メールに返信しながら、CCラインにすべての「友人」を含めるという、この次のステップの可能性をすでに観察し始めています。これは、攻撃グループがセキュリティ検出を回避するための試みであると考えられます。国際安全保障に携わる研究者、特に中東研究や核安全保障を専門とする研究者は、迷惑メールを受信した際に、より高い意識を持つ必要があります。ジャーナリストからコンタクトを受けた専門家は、ジャーナリストのウェブサイトをチェックし、そのメールアドレスがそのジャーナリストのものであるかどうかを確認する必要があります。