Asylum Ambuscadeは、少なくとも2020年以降、サイバースパイ活動を実施しています。ESETは、過去の攻撃で、中央アジア諸国やアルメニアの政府関係者や国有企業の従業員が標的になっていたことを特定しています。

Proofpointのレポートで公開されているように、同グループは2022年にウクライナと国境を接するヨーロッパ諸国の政府関係者を標的にしています。これらの攻撃者の目的は、政府機関のWebメールシステムから認証情報とWebメールの認証情報を窃取することだった考えられます。

一連の攻撃は、悪意のあるExcelスプレッドシートが添付されたスピアフィッシングメールが起点となっていました。悪意のあるVBAコードにより、リモートサーバーからMSIパッケージがダウンロードされ、Luaで記述されたダウンローダー「SunSeed」がインストールされます。

これらの攻撃では、いくつかの異なる添付ファイルが使用されていました。2022年6月には、同グループは悪意のあるVBAコードではなく、「Follina」と命名された脆弱性（CVE-2022-30190）を攻撃するエクスプロイトを使用しています。この攻撃で使用された文書を、図1に示します。この文書は、ウクライナ語で書かれており、Gamaredon（悪名高い別のサイバースパイ組織）による攻撃がウクライナで発生していると警告し、ユーザーの関心を引き付けています。

Asylum Ambuscadeは、サイバースパイ活動によって衆目を集めることになりましたが、2020年の初めからは主にサイバー犯罪を行ってきました。

2022年1月以降、全世界で4,500人以上の犠牲者が出ています。犠牲者の多くは、図2に示すように、北米に集中していますが、アジア、アフリカ、ヨーロッパ、南米でも被害が確認されています。

標的は多岐にわたっており、個人、仮想通貨トレーダー、さまざまな業種の中小企業などが含まれます。

仮想通貨トレーダーが標的となっているのは、仮想通貨を窃取するためですが、Asylum Ambuscadeが中小企業を攻撃することでどのように収益を得ているかは、今のところわかっていません。同グループは、ランサムウェアを展開している他の犯罪組織などにアクセス情報を販売している可能性がありますが、これはESETのテレメトリ（監視データ）では確認されていません。

Asylum Ambuscadeがクライムウェアを展開するために実行している一連の攻撃は、全体として、ESETが調査して明らかにした同グループによるサイバースパイ活動の手法と多くの共通点があります。主な違いは、最初にセキュリティを侵害する方法であり、以下のような手法が利用されています。

• 悪意のあるGoogle広告を表示し、クリックしたユーザーを悪意のあるJavaScriptファイルを配信するWebサイトにリダイレクトします。（この手法は、SANSのブログに記載されています）。
• TDS（トラフィック配信システム）で、複数のHTTPリダイレクトを発生させます。同グループが使用するTDSは、Proofpointによって「404 TDS」と呼ばれています。Asylum AmbuscadeだけがTDSを利用しているわけではありません。例えば、Qbotを配信するために別のサイバー攻撃組織もTDSを使用していることが確認されています。urlscan.ioが示しているリダイレクトチェーンの例を、図3に示します。

このグループは、さまざまな方法で最初に標的を侵害していますが、さらにTclやVBSなどの他のスクリプト言語を使用してSunSeedと同等のダウンローダーを開発しています。2023年3月には、AHKBOTに相当するセカンドステージダウンローダーをNode.jsを使用して開発しています。ESETは、このダウンローダーを「NODEBOT」と命名しました。これらの変更を行った理由は、セキュリティ製品による検出を回避するためと考えられます。セキュリティを侵害する一連の攻撃の概要については、図4を参照してください。

サイバースパイ活動とサイバー犯罪キャンペーンは、同じグループによって実施されているとESETは考えています。

• セキュリティを侵害するための一連の攻撃は、すべてのキャンペーンでほぼ同じです。特に、SunSeedとAHKBOTは、サイバー犯罪とサイバースパイ活動の両方で広く利用されています。
• SunSeedとAHKBOTは地下市場では販売されていないとESETは考えています。これらのツールは、販売されている他のクライムウェアツールと比べると洗練されておらず、被害者の数も非常に少なくなっています。このツールセットは、いくつかのグループが使用しているだけであり、これらのキャンペーン全体でも同じネットワークインフラが使用されています。

これらの背景から、Asylum Ambuscadeは、サイバースパイ活動も同時に行っている、サイバー犯罪組織と考えられます。

また、以下の3つの記事は、いずれも同グループが実行したインシデントであるとESETは考えています。

• 2020年のTrendMicroの記事：米国とカナダの銀行の顧客を標的とする認証情報窃取ツール
• 2022年のProofpointの記事：Asylum Ambuscade： 国家の支援を受けているサイバー組織が、Luaベースのマルウェア「Sunseed」を使用し、EU各国政府と難民活動を標的に
• 2023年のProofpointの記事：スクショで誰かに見張られる

悪意のあるJavaScriptファイル

同グループが実施する多くのクライムウェアキャンペーンでは、侵害の方法として悪意のある文書ではなく、TDSからダウンロードされるJavaScriptファイルが使用されています。このJavaScriptファイルは被害者に手動で実行させる必要があるため、この攻撃者はDocument_12_dec-1532825.js、TeamViewer_Setup.js、AnyDeskInstall.jsなど、ユーザーの関心の引きやすいファイル名にしてクリックさせようとしています。

これらのスクリプトは、ランダムな変数名とジャンクコードを使用して難読化されていますが、これは検出を回避することを目的としていると考えられます。難読化の例を図5に示します。

難読化を解除すると、このスクリプトは以下の2行にまとめることができます。

ファーストステージのダウンローダーは、悪意のある文書またはJavaScriptファイルのいずれかによってダウンロードされたMSIパッケージによってドロップされます。このダウンローダーには、以下の3つのバージョンがあります。

• Lua（SunSeed）
• Tcl
• VBS

SunSeedはLua言語で記述されたダウンローダーで、図6に示すように、多くの部分が難読化されています。

難読化を手動で解除すると、スクリプトの主な関数は次のようになっています。

move（図8）は、さらにシンプルなLuaスクリプトです。攻撃したコンピュータを管理するC&Cサーバーを別のサーバーに切り替えるために使用されます。ハードコードされているSunSeedのC&Cサーバーは更新できません。そのため、C&Cを切り替えるには、マシンのセキュリティを最初に侵害したときと同じように、新しいMSIインストーラーをダウンロードし、実行しなければなりません。

ESETは、Luaの代わりにTcl言語を使用して開発されたSunSeedの別の亜種を発見しています（図9を参照）。この亜種の主な違いは、GETリクエストでC:ドライブのシリアル番号を送信していないことです。

メインのセカンドステージダウンローダーは、AutoHotkeyで開発されたAHKBOTです。図11に示すように、User-Agent AutoHotkey （AutoHotkeyが使用するデフォルト値）で、http://<C&C>/<serial_number_of_C_drive>-RPにGETリクエストを送信します。その後の処理は、SunSeedとほぼ同じです。RPは、検体によって変わっているため、キャンペーンのIDである可能性があります。

AHKBOTは、C:\ProgramData\mscoree.ahkやC:\ProgramData\adb.ahkなどのディスクのさまざまな場所で見つかっています。同じくAutoHotkeyで開発されたスパイ用のプラグインをダウンロードし、読み取ります。21個のプラグインの概要を表 1に示します。

Asylum Ambuscadeは、主に北米と欧州の中小企業や個人を標的としているサイバー犯罪組織ですが、最近では、中央アジアやヨーロッパの政府機関に対して、サイバースパイ活動を展開するなど、活動範囲を広げています。

サイバースパイ活動を専門とするサイバー犯罪組織は非常に少なく、セキュリティ研究者はAsylum Ambuscadeの活動を注意深く追跡する必要があります。

ファイル

ネットワーク

ネットワーク