イランのサイバー攻撃インフラを利用か情報収集を目的としたサイバースパイTurlaはサイバーセキュリティの世界でよく知られている。少なくとも2007年には活動をしており、世界中で継続的にスパイ活動を展開している。(NSC)と英サイバーセキュリティセンター(NCSC)はこのほどTurlaに関するレポートを公表、Turlaは中東地域の情報収集にイランのAPTインフラを利用していたことがわかったという。NCSCによると、Turlaによるサイバースパイ活動ではNeuronとNautilusというツールが使用されている。Server(VPS)IPアドレスから接続され、その後、Turlaグループによって利用されていたことがわかったという。イラン起因とみられるサイバー攻撃でターゲットに埋め込まれたマルウェアに後からTurlaがアクセスをして、イラン由来のNeuronとNautilusを利用してTurlaが情報を盗み取っていた実態があったということのようだ。NCSCによると、NeuronまたはNautilusの背後にいる人々は、Turlaによって使用されている実態を認識していないとのことなので、ロシアに拠点があるとされるTurlaの活動とイランのAPTグループの活動は連携しているものではなく、Turlaが自らのサイバースパイ活動にイランのAPTインフラを一方的に利用していたということのようだ。アメリカのサイバーセキュリティ企業、シマンテックは今年6月にTurlaの攻撃には3つの波があることを指摘。1つはNeptunと呼ばれるバックドアが使用されているもので、この攻撃のインフラにはAPT34(別名oilRig)として知られるスパイグループのインフラが使用されていた。シマンテックのブログは指摘していないが、APT34(別名oilRig)はイランのサイバー攻撃グループとみられている。1つはMeterpreterを使った攻撃で、Turlaは少なくとも2018年初頭からMeterpreterを使用しているという。3つめはMeterpreterを使用した攻撃とは異なるカスタムRPCバックドアを展開したもの。コメントをキャンセルコメントを投稿するにはログインしてください。