誰がどこで関連ツールを入手し、技術を取得してどんな手口を使うのかといった疑問が挙がってくるでしょう。1つとして、少なくとも従来のサイバー犯罪者が関与していることは疑いの余地はありません。トレンドマイクロは、リビアに拠点を置くサイバー犯罪者が、通常のサイバー犯罪と同時にサイバープロバガンダの活動も実行している事例を確認し、本稿で報告します。VBSスクリプト系マルウェアの解析トレンドマイクロは、欧州の各国大使館に送られた標的型メールを確認したことが発端となり、今回の事例に気づきました。attack!!」という警告をする件名を使っており、通常、複数の外務省から送信されたように偽装されていました。VBSファイルが含まれていました。難読化が復号されると、実際の不正活動を実行する「njRAT/Njw0rm」なります。1つで、2015年に確認されています。難読化の手法に関して、特別な手法が利用されているわけではなく、スクリプトには多段階の難読化が施されていました。」といった基本的な文字列操作関数の組み合わせを用いて復号されます。スクリプトファイルを探し出すことができます。N7r」という北アフリカのハッキング集団により作成されたと考えています。操作方法などの動画を提供していることで知られています。ついては、現時点では動画内で言及されていません。弊社は、当初、このハッキング集団、あるいは、この集団が提供するツールを利用する人物が今回の攻撃を実行したと考えていました。攻撃が活発化するにつれて、問題の不正なスクリプトファイルのセキュリティ対策ソフトウェアによる検出率も改善されてきます。そのため、今回の攻撃の背後にいる攻撃者は、北アフリカ圏内の他の外交官およびホテル産業などに狙いを変え、支払い確認の要求といった従来のフィッシングメールを新しく送り始めました。1つは、ハリケーン「イルマ」により甚大な被害を受けたサンマルタン島の外交官に、このハリケーン襲来後に送られていました。この攻撃者は、自身のサイバー犯罪者としての「キャリア」において転換期にいるようです。従来型の詐欺で金銭を得る一方で、自身の技術を向上させ標的型サイバー攻撃も仕掛けています。VBSファイルにもう一段階の難読化が追加されていたことでした。N7r」が提供するものではないことを特定しました。この攻撃者は、セキュリティ企業やリサーチャからの検出を回避するために、さまざまなフォーラムで難読化ツールを入手し、それらツールを組み合わせて自身の攻撃に利用したと考えます。Yaraルールは、以下の通りとなります。拡散する検体収集を可能にします。確認した検体が接続するコマンド&コントロール(C&C)サーバは、こうした攻撃の背後にいる攻撃者の特定に役立ちます。C&Cサーバは、オンライン銀行詐欺ツール関連マルウェアにも関連しており、このことから、攻撃者は、対象を大使館などに限定していないことがうかがえます。Eメールに添付されたファイルの解析に加えて、他の構成要素についても検証し、いくつか言及すべき点を確認しました。IPアドレスからメールを送信していました。IPアドレスを隠ぺいするサービスを利用する考えはなかったようです。IPアドレスから攻撃者が利用したダイナミックDNSドメインを特定することができました。弊社は、また、攻撃者が利用するドメインの登録者情報を確認しました。アカウントを複数確認することができました。攻撃者自身の身元および拠点がリビアであることを確認しました。この攻撃者は、驚くべきことに、不正に入手した書類をソーシャルメディア上で公開していました。Webサイトのスクリーンショットについても投稿していました。図2:不正に入手したクレジットカードの投稿この攻撃者が不正入手した書類を初めて投稿したのは、2016年4月でした。動機については、公開された書類に特に注目すべき情報が含まれていないことから、まだ不明な点が残ります。機密情報の可能性がある関連文書が流出することは、被害に遭った組織の評価を下げ世論に影響を与えます。した不正活動は、たとえ、流出した書類の価値が限られたものであるとしても、サイバープロパガンダに分類されます。攻撃者は、リビア政府の名声失墜を狙った可能性があります。Facebook上で公開していることから、自身の名を知らしめ、他のサービスを販売しようとした可能性も否めません。今回の事例は、サイバー犯罪とサイバープロバガンダがどのように結びついてるのか示す好事例だといえるでしょう。関連ツールおよび手法は、双方において効果的でした。各企業・組織は、こうした攻撃を防御するために、どのようなツールおよび手法が使われているのかに焦点を当ててください。したセキュリティ対策への施策が攻撃者に対しても有効となり、予期しない攻撃から組織を保護することとなります。Underground(英語)」を公開しています。中東および北アフリカで活動するサイバー犯罪アンダーグラウンド市場については、こちらのレポートもご参照ください。posts:ロシアのアンダーグラウンドで活動するブラジル系サイバー犯罪者を確認。