Loading article…
| 形成 | 2008年頃[ 1] |
|---|---|
| タイプ | 高度で持続的な脅威 |
| 目的 | サイバースパイ活動、サイバー戦争 |
地域 | ロシア |
| 方法 | スピアフィッシング、マルウェア |
公用語 | ロシア |
親組織 | SVR（確定）、FSB（暫定）[2] [3] [4] |
| 所属 | ファンシーベア |
旧称 | APT29、CozyCar、CozyDuke、Dark Halo、The Dukes、Grizzly Steppe（Fancy Bearと組み合わせた場合）、NOBELIUM、Office Monkeys、StellarParticle、UNC2452、YTTRIUM（可能性あり） |
Cozy Bearは、米国や同盟国の諜報機関によってロシアの対外情報機関 と関連があると考えられている、ロシアの高度で持続的な脅威を扱う ハッカー集団である。[4] [5]オランダの信号諜報機関（AIVD）と米国の諜報機関は2014年からこの集団を監視しており、ハッカー集団のオフィスの防犯カメラに侵入した後、ロシア対外情報局（SVR）と結び付けることができた。 [6] CrowdStrikeとエストニアの諜報機関[7]は、ロシア国内外の情報機関（FSB）との暫定的なつながりを報告した。 [2]様々な集団が、この集団をCozyCar、[8] CozyDuke、[9] [10] Dark Halo、The Dukes、[11] Midnight Blizzard、[12] NOBELIUM、[13] Office Monkeys、[14] StellarParticle、UNC2452 [15]と名付けており、ロシアのハッカー集団YTTRIUMとの暫定的なつながりがある。[16]シマンテックは、コージーベアが少なくとも2010年以来、外交機関や各国政府を危険にさらしていたと報告した。 [17]デア・シュピーゲルは2023年にロシアのIT企業NTC Vulkanとコージーベアの活動との関連を主張する文書を公開した。[18]
侵入方法
APT29は、「Duke」と呼ばれるマルウェアプラットフォームを利用していることが確認されている。カスペルスキー研究所は2013年に「MiniDuke」として報告しており、2008年に米国と西ヨーロッパを標的として確認された。[1]当初の開発はアセンブリ言語で行われたと報告されている。[19]カスペルスキーの公表後、後のバージョンではC/C++コンポーネントと追加の分析防止機能が追加され、「Cozyduke」、「Cosmicduke」、「SeaDuke」、「OnionDuke」と呼ばれた。[1] [19]
Cozy Bearは、最初のエクスプロイトまたは悪意のある添付ファイル付きのフィッシングメールを使用してドロッパーをロードし、 Dukeの亜種を永続的なトロイの木馬としてターゲットコンピュータにインストールすることが確認されています。その後、構成や実際のオペレータコマンドに基づいてデータを収集し、コマンドアンドコントロールサーバーに送信します。Cozy Bearは、暗号化、インタラクティブ機能、および分析防止（仮想マシン検出を含む）を改善するためにマルウェアを更新および改良していることが確認されています。 [19] [20]
CosmicDukeは、より柔軟なプラグインフレームワークを備えたMiniDukeのアップデートバージョンとして2013年に確認されました。[21] 2014年にOnionDukeはTorネットワークを利用してコマンドアンドコントロールトラフィックを隠し、 ロシアのTor出口ノードを介して暗号化されていないバイナリ実行ファイルが送信された場合、その実行中にバイナリ実行ファイルに感染することで配布されました。 [22] [23] 「SeaDuke」は、他のツールと組み合わせて高価値ターゲットを侵害するために使用される特殊なトロイの木馬のようです。[17]
このグループは2015年にTwitterやGitHubの秘密チャネルを介してコマンドを中継することで検出を回避する「HAMMERTOSS」トロイの木馬を開発したと伝えられている。[24]
侵入キャンペーン
Cozy Bearは、世界中の組織や外国政府（NATOやファイブアイズなどのロシア反対派の国を含む）や商業部門（特に金融、製造、エネルギー、通信）を標的にし、セキュリティを侵害していることが確認されています。 [19]南米やアジア（特に中国と韓国）も標的にされています。[25]米国は、 2016年のクリントン陣営、政党（民主党全国委員会、共和党全国委員会）、さまざまな行政機関、国務省、ホワイトハウスなど、頻繁に標的にされています。[20]
米国政府機関への侵入（2014年）
Cozy Carマルウェアは、2014年3月にワシントンDCに拠点を置く民間研究機関で発見されました。この組織で侵害されたアカウントを使用して、彼らは「面白いオフィスの猿」を表示すると主張する悪意のあるFlashファイルを利用して、他の米国政府機関を標的としたフィッシングメールを送信しました。 [17] [1] 7月までに、このグループは複数の政府ネットワークに侵入しました。[17]
オランダ諜報機関による暴露（2014年）
2014年夏、オランダ総合情報保安局（AIVD）がコージーベアのオフィスで使用されていたカメラネットワークに侵入した。この映像は米国民主党、国務省、ホワイトハウスが標的にされていたことを裏付けており、2016年のロシアの選挙介入に関するFBIの捜査に使用された可能性がある。[6] [26]
ペンタゴンの電子メールサーバーへの侵入（2015 年）
2015年8月、Cozy Bearは国防総省に対するスピアフィッシング攻撃に関与していることが判明し、調査の結果、統合参謀本部の非機密扱いの電子メールシステム全体が停止された。[27] [28]
米国民主党全国委員会への侵入（2016年）
コージー・ベアとロシアのハッキンググループであるファンシー・ベア（おそらくGRU）は、民主党全国委員会への侵入を継続させていたことが確認されている。[2] 2つのグループは同時にDNCのサーバーに存在していたが、独立して活動していたようだった。[29]コンピューターフォレンジックにより、ファンシー・ベアがDNCに侵入したのは数週間だけであったのに対し、コージー・ベアは1年以上侵入を続けていたことがさらに確認された。[30]
米国のシンクタンクとNGOへの侵入未遂（2016年）
2016年の米国大統領選挙後、コージーベアは、国家安全保障、防衛、国際問題、公共政策、欧州およびアジア研究に関連する複数の米国シンクタンクや非政府組織（NGO）に対するスピアフィッシングキャンペーンに関連付けられました。一部のメールは、侵害されたハーバード大学のアカウントから送信されました。 [31]
ノルウェー政府への侵入未遂（2017年）
2017年2月3日、ノルウェー警察保安局（PST）は、コージーベアが2017年1月に国防省、外務省、労働党の少なくとも9人に対してスピアフィッシング攻撃を開始したと報告した。[32]その他の標的には、ノルウェー放射線防護局やノルウェー警察保安局のアルネ・クリスチャン・ハウグストイル課長を含むメンバーが含まれていた。ノルウェーのエルナ・ソルベルグ首相は、この行為を「私たちの民主的制度に対する深刻な攻撃」と呼んだ。[33]
オランダ省庁への侵入未遂（2016-2017年）
2017年2月に報じられたところによると、コージーベアとファンシーベアは2016年からオランダの省庁への侵入を試みていた。標的には総務省も含まれていた。当時オランダ諜報機関AIVDの長官だったロブ・ベルトレーは、EenVandaagテレビで、ロシアの侵入は政府文書を標的にしていたと述べた。[34]
これに対して、オランダの内務・王国関係大臣 ロナルド・プラスタークは、2017年3月のオランダ総選挙は手作業で集計すると発表した。[35]
デュークの亜種とゴースト作戦（2019）
2019年にESETは、Cozy Bearに起因する3つのマルウェア亜種、PolyglotDuke、RegDuke、FatDukeを報告した。このマルウェアは分析回避手法を改良したと報告されており、「Operation Ghost」と呼ばれる侵入キャンペーンで使用されていることが確認されている。[36]
COVID-19ワクチンデータの盗難未遂（2020年）
2020年7月、ファイブアイズ諜報機関のNSA、NCSC、CSEは、コージーベアが侵入キャンペーンを通じてCOVID-19ワクチンのデータを入手しようとしたと報告した。 [37] [38] [39] [40] [4]
SUNBURST マルウェア サプライ チェーン攻撃 (2020)
2020年12月8日、米国のサイバーセキュリティ企業FireEyeは、自社の内部ツールが国家によって盗まれたことを明らかにした。 [41] [42]その後の調査で、 SolarWinds Orion IT管理製品のソフトウェア展開 の内部侵害が、FireEyeがSUNBURSTと名付けたトロイの木馬を配布するために行われたことが判明した。[43] SolarWindsは後に、外国の国家によって侵害されたことを確認した。[44]また、米国サイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）は、米国政府機関が影響を受けたソフトウェアを信頼できるソースから再構築するよう緊急指令を発令した。また、侵入キャンペーンはロシアのSVRによるものだとしている。[45]約18,000のSolarWindsクライアントが、侵害されたOrionソフトウェアの影響を受けていた。[46]ワシントンポストは、 Cozy Bearが犯人であるとする匿名の情報源を引用した。[47] [4]
マイクロソフトによると、[48]ハッカーはSolarwindsのコード署名証明書を侵害し、悪意のあるセキュリティアサーションマークアップ言語定義を介してターゲットのユーザーアカウントの偽装を可能にするバックドアを展開した。[49]
米国の民間機関への侵入（2020年）
2020年12月20日、米国政府は、コージーベアが商務省と財務省の民間機関のネットワークを侵害したと報告した。[50]
米国共和党全国委員会への侵入（2021年）
2021年7月、コージーベアは共和党全国委員会のシステムに侵入した。[51] [52]当局は、この攻撃は侵入されたサードパーティのITベンダーであるSynnexを通じて行われたと考えていると述べた 。[51]
Active Directory 認証バイパス (2021～2022)
2021年にマイクロソフトは、Cozy Bearが「FoggyWeb」ツールを利用して、侵害されたActive Directoryインスタンスから認証トークンをダンプしていると報告しました。これは、標的のネットワーク上のマシンにアクセスし、AD管理者の資格情報を取得した後に実行されました。[53] 2022年8月24日、マイクロソフトは、このグループが同様のツール「MagicWeb」を展開し、影響を受けるActive Directoryフェデレーションサービスサーバーでユーザー認証をバイパスしたと報告しました 。[54]
マイクロソフトへの侵入（2024）
2024年1月、マイクロソフトは、昨年11月から始まったブルートフォース攻撃の一種である「パスワードスプレー」を使用した法務およびサイバーセキュリティチームの上級管理職および他の従業員の電子メールアカウントへの侵入を最近発見し、終了したと報告した。ミッドナイトブリザードが行ったこのハッキングは、ハッキング作戦について同社が何を知っていたかを見つけることを目的としていたようだ。[55]
TeamViewerへの侵入（2024）
ドイツのテクノロジー企業TeamViewer SEは2024年6月28日、同社の企業ITネットワークがCozy Bearによって侵害されたと報告した。[56]同社は、ユーザーデータとTeamViewer リモートデスクトップソフトウェア製品は影響を受けていないと述べた。[57]
参照
参考文献
- ^ abcd 「MiniDuke関係の「CozyDuke」がホワイトハウスを標的に」Threat Intelligence Times 2015年4月27日。2018年6月11日時点のオリジナルよりアーカイブ。 2016年12月15日閲覧。
- ^ abc Alperovitch, Dmitri. 「Bears in the Midst: Inruption into the Democratic National Committee」CrowdStrike ブログ。2019年5月24日時点のオリジナルよりアーカイブ。2016年9月27日閲覧。
- ^ 「国際安全保障とエストニア」（PDF）www.valisluureamet.ee 2018年。2023年2月2日時点のオリジナル（PDF）からアーカイブ。 2020年12月15日閲覧。
- ^ abcd Andrew S. Bowen (2021年1月4日). ロシアのサイバーユニット（レポート）.議会調査局. p. 1. 2021年8月5日時点のオリジナルよりアーカイブ。 2021年7月25日閲覧。
- ^ Zettl-Scabath, Kerstin; Bund, Jakob; Gschwend, Timothy; Borrett, Camille (2023年2月23日). 「Advanced Threat Profile - APT29」(PDF) .欧州サイバーインシデントリポジトリ. 2023年4月19日時点のオリジナルよりアーカイブ(PDF) . 2024年10月3日閲覧。
- ^ ab Satter, Raphael; Corder, Mike (2018年1月26日). 「報告：オランダのスパイがロシアのハッカーをテープで捕まえた」AP通信。2024年10月2日時点のオリジナルよりアーカイブ。 2024年10月3日閲覧。
- ^ 「国際安全保障とエストニア」（PDF）。エストニア対外情報局。2018年。 2023年2月2日時点のオリジナル（PDF）よりアーカイブ。2024年10月3日閲覧。
- ^ “Who Is COZY BEAR?”. CrowdStrike . 2016年9月19日. 2020年12月15日時点のオリジナルよりアーカイブ。 2016年12月15日閲覧。
- ^ 「F-Secure の調査で CozyDuke と高レベルのスパイ活動との関連性が明らかに」（プレスリリース） 2015 年 4 月 30 日。2017 年 1 月 7 日時点のオリジナルよりアーカイブ。2017年1 月 6 日閲覧。
- ^ 「サイバー攻撃はロシアの情報収集と関連している」（プレスリリース）。F-Secure。2015年9月17日。2017年1月7日時点のオリジナルよりアーカイブ。2017年1月6日閲覧。
- ^ 「Dukes Archives」Volexity . 2024年10月3日閲覧。
- ^ Weise, Karen (2024年1月19日). 「Microsoft Executives' Emails Hacked by Group Tied to Russian Intelligence」. The New York Times . 2024年1月20日時点のオリジナルよりアーカイブ。 2024年1月20日閲覧。
- ^ 「Midnight Blizzard」. www.microsoft.com . 2024年10月3日閲覧。
- ^ 「The CozyDuke APT」. securelist.com . 2015-04-21 . 2024-10-03閲覧。
- ^ 「UNC2452 が APT29 に統合 | ロシアを拠点とするスパイグループ」。Google Cloud ブログ。2024 年 10 月 3 日閲覧。
- ^ チーム、Microsoft Defender セキュリティ リサーチ (2018 年 12 月 3 日)。「身元不明の攻撃者による米国のシンクタンク、非営利団体、公共部門へのサイバー攻撃の分析」。Microsoftセキュリティ ブログ。2024 年 10 月 3 日閲覧。
- ^ abcd 「"Forkmeiamfamous": Seaduke、Duke 社の最新兵器」。Symantec Security Response。2015年 7 月 13 日。2016 年 12 月 14 日時点のオリジナルよりアーカイブ。2016年12 月 15 日閲覧。
- ^ ハーディング、ルーク、ガングリー、マニシャ、サバグ、ダン（2023年3月30日）。「『ヴァルカンファイル』の漏洩でプーチンの世界および国内のサイバー戦争戦術が明らかに」 ガーディアン。ISSN 0261-3077 。 2024年10月3日閲覧。
- ^ abcd Kaspersky LabのGlobal Research & Analysis Team (2014年7月3日). 「Minidukeが復活：Nemesis GeminaとBotgen Studio」. Securelist . 2020年5月12日時点のオリジナルよりアーカイブ。 2020年5月19日閲覧。
- ^ ab Baumgartner, Kurt; Raiu, Costin (2015年4月21日). 「The CozyDuke APT」. Securelist. 2018年1月30日時点のオリジナルよりアーカイブ。 2020年5月19日閲覧。
- ^ 「CosmicDuke は MiniDuke バックドアの新しいバージョンです」。APT Kaspersky Securelist。2024年 10 月 3 日閲覧。
- ^ 「修正されたバイナリのケース」。Leviathan Security Group - 侵入テスト、セキュリティ評価、リスクアドバイザリ。 2024年10月3日閲覧。
- ^ 「OnionDuke: Tor ネットワークを介した APT 攻撃」F-Secure Labs 2014 年 11 月 14 日2024 年 10 月 3 日閲覧。
- ^ 「HAMMERTOSS: ステルス戦術がロシアのサイバー脅威グループを定義」FireEye 2015年7月9日。2019年3月23日時点のオリジナルよりアーカイブ。2015年8月7日閲覧。
- ^ 「脅威プロファイル: APT29」(PDF) . Blackpoint Cyber . 2024年6月. 2024年10月3日閲覧。
- ^ Noack, Rick (2018年1月26日). 「オランダ人はロシアのハッカーとの戦いで秘密裏に米国の同盟国だった、と地元メディアが明らかに」ワシントンポスト。2018年1月26日時点のオリジナルよりアーカイブ。2023年2月15日閲覧。
- ^ Kube, Courtney (2015年8月7日). 「ロシアがペンタゴンのコンピューターをハッキング：NBC、情報源を引用」。2019年8月8日時点のオリジナルよりアーカイブ。2015年8月7日閲覧。
- ^ Starr, Barbara (2015年8月7日). “Official: Russia suspected in Joint Chiefs email server instruction”. 2019年8月8日時点のオリジナルよりアーカイブ。2015年8月7日閲覧。
- ^ “Bear on bear”.エコノミスト. 2016年9月22日. 2017年5月20日時点のオリジナルよりアーカイブ。 2016年12月14日閲覧。
- ^ Ward, Vicky (2016年10月24日). 「ロシアのハッカーに対するアメリカの闘いを率いる男はプーチンにとって最悪の悪夢」. Esquire . 2018年1月26日時点のオリジナルよりアーカイブ。 2016年12月15日閲覧。
- ^ 「PowerDuke: シンクタンクやNGOを狙った選挙後のスピアフィッシングキャンペーンが広範囲に」Volexity 2016年11月9日。2016年12月20日時点のオリジナルよりアーカイブ。 2016年12月14日閲覧。
- ^ "ハッケラングレップを実行するためのノルジ utsatt". NRK。 2017年2月3日。2017年2月5日のオリジナルからアーカイブ。2017 年2 月 4 日に取得。
- ^ Stanglin, Doug (2017年2月3日). 「ノルウェー：ロシアのハッカーがスパイ機関、国防、労働党を攻撃」USA Today。2017年4月5日時点のオリジナルよりアーカイブ。 2017年8月26日閲覧。
- ^ Modderkolk、Huib (2017 年 2 月 4 日)。 「Russen faalden bij hackpogingen ambtenaren op Nederlandse 閣僚」。デ・フォルクスクラント（オランダ語）。 2017 年 2 月 4 日のオリジナルからアーカイブ。2017 年2 月 4 日に取得。
- ^ Cluskey, Peter (2017年2月3日). 「ロシアのハッキングの報告を受けて、オランダ人は手動カウントを選択」The Irish Times。2017年2月3日時点のオリジナルよりアーカイブ。 2017年2月4日閲覧。
- ^ 「オペレーション・ゴースト：デュークスは戻っていない。彼らは決して去らなかった」ESETリサーチ2019年10月17日。2020年3月11日時点のオリジナルよりアーカイブ。 2020年2月8日閲覧。
- ^ 「NSAがNCSC、CSE、DHS CISAと連携し、COVIDを標的とするロシア諜報機関を摘発」。国家安全保障局中央安全保障局。2020年12月11日時点のオリジナルよりアーカイブ。 2020年7月25日閲覧。
- ^ 「COVID-19ワクチン開発を標的とした脅威活動に関するCSE声明 – 2020年7月16日木曜日」。cse-cst.gc.ca。通信保安局。2020年7月14日。2020年7月16日時点のオリジナルよりアーカイブ。 2020年7月16日閲覧。
- ^ ジェームズ・ウィリアム（2020年7月16日）。「ロシア、COVID-19ワクチンデータをハッキングして盗もうとしている、と英国が主張」ロイターUK。2020年7月17日時点のオリジナルよりアーカイブ。2020年7月16日閲覧。
- ^ 「英国と同盟国、コロナウイルスワクチン開発に対するロシアの攻撃を暴露」国立サイバーセキュリティセンター。2020年7月16日。2020年7月16日時点のオリジナルよりアーカイブ。 2020年7月16日閲覧。
- ^ サンガー、デイビッド・E.、パールロス、ニコール（2020年12月8日）。「トップサイバーセキュリティ企業ファイア・アイ、国家によるハッキングと主張」ニューヨーク・タイムズ。2020年12月15日時点のオリジナルよりアーカイブ。 2020年12月15日閲覧。
- ^ 機関、ガーディアンスタッフ、（2020年12月9日）。「米国のサイバーセキュリティ企業FireEye、外国政府にハッキングされたと主張」ガーディアン。2020年12月16日時点のオリジナルよりアーカイブ。 2020年12月15日閲覧。
- ^ 「非常に回避能力の高い攻撃者がSolarWindsのサプライチェーンを利用してSUNBURSTバックドアで世界中の複数の被害者を侵害」FireEye。2020年12月15日時点のオリジナルよりアーカイブ。 2020年12月15日閲覧。
- ^ 「セキュリティアドバイザリ | SolarWinds」www.solarwinds.com。 2020年12月15日時点のオリジナルよりアーカイブ。2020年12月15日閲覧。
- ^ “cyber.dhs.gov - Emergency Directive 21-01”. cyber.dhs.gov . 2020年12月13日. 2020年12月15日時点のオリジナルよりアーカイブ。 2020年12月15日閲覧。
- ^ Cimpanu、Catalin。「SEC提出書類：SolarWinds、最近のハッキングで18,000人の顧客が影響を受けたと発表」ZDNet。2020年12月15日時点のオリジナルよりアーカイブ。 2020年12月15日閲覧。
- ^ ナカシマ、エレン、ティンバーグ、クレイグ。「ロシア政府のハッカーは、財務省や商務省を含む米国政府機関を侵害した広範なスパイ活動の背後にいる」ワシントンポスト。ISSN 0190-8286 。2020年12月13日時点のオリジナルよりアーカイブ。 2020年12月14日閲覧。
- ^ 「最近の国家によるサイバー攻撃から顧客を守るための重要な手順」。2020年12月14日。2020年12月20日時点のオリジナルよりアーカイブ。2020年12月16日閲覧。
- ^ Goodin, Dan; Timberg. 「~18,000の組織がCozy Bearハッカーによって仕掛けられたバックドアをダウンロード」Ars Technica。2020年12月16日時点のオリジナルよりアーカイブ。2020年12月15日閲覧。
- ^ Sanger, David E. (2020-12-13). 「ロシアのハッカーが連邦機関に侵入、米当局が容疑」。ニューヨーク・タイムズ。ISSN 0362-4331。2020-12-13 時点のオリジナルよりアーカイブ。2021-10-03閲覧。
- ^ ab Turton, William; Jacobs, Jennifer (2021年7月6日). 「ロシアの『Cozy Bear』がランサムウェア攻撃で共和党を侵害」ブルームバーグニュース。2021年7月6日時点のオリジナルよりアーカイブ。 2021年7月7日閲覧。
- ^ Campbell, Ian Carlos (2021年7月6日). 「ロシアのハッカーがGOPのコンピューターシステムを攻撃したと報じられる」The Verge。2021年7月7日時点のオリジナルよりアーカイブ。 2021年7月7日閲覧。
- ^ Nafisi, Ramin (2021-09-27). 「FoggyWeb: 標的型 NOBELIUM マルウェアが永続的なバックドアにつながる」Microsoft セキュリティ ブログ。2024年 10 月 3 日閲覧。
- ^ 「MagicWeb: NOBELIUM の侵害後のトリックで誰でも認証」。Microsoftセキュリティ ブログ。Microsoft。2022 年 8 月 24 日。2022 年 8 月 26 日時点のオリジナルよりアーカイブ。2022年8 月 26 日閲覧。
- ^ Franceschi-Bicchierai, Lorenzo (2024年1月19日). 「ハッカーがマイクロソフトに侵入し、マイクロソフトが彼らについて何を知っているか調べる」. Techcrunch . 2024年1月20日時点のオリジナルよりアーカイブ。 2024年1月22日閲覧。
- ^ 「Teamviewer、ロシア関連のハッカーによるサイバー攻撃を非難」ロイター2024年6月28日2024年6月30日閲覧。
- ^ クリストファー・クンツ (2024-06-28)。 「TeamViewer-Angriff: Die Spur führ nach Russland」。Heise オンライン(ドイツ語) 。2024 年 10 月 2 日に取得。
外部リンク
- ロシア政府職員がハッキング活動で起訴