Operation In(ter)ceptionの攻撃者は、初期の侵入の段階で、航空宇宙・防衛業界の大手企業の人事担当者を装った偽のLinkedInアカウントを作成していました。ESETの調査では、コリンズ・エアロスペース社（旧ロックウェル・コリンズ社）とジェネラル・ダイナミクス社の担当者になりすましたプロフィールが確認されています。両社はこの分野における米国の大手企業です。

攻撃者は、これらの大手企業のプロファイルを設定すると、標的企業の従業員を探し出し、図1に示すようにLinkedInのメッセージ機能を使用して嘘の求人情報を送信します(注：偽のこのLinkedInアカウントはすでに存在しません)

攻撃者が、標的となったユーザーの関心を引くと、求人情報に関連する文書に見せかけた悪意のあるファイルを忍び込ませます。このようなやりとりの例を図2に示します。

Operation In(ter)ceptionの攻撃者は、独自の多段型のマルウェアや改変したオープンソースツールなど、悪意のある多くのツールを使用しています。

ESETは、これまで次のコンポーネントが攻撃で使用されていることを確認しています。

•    カスタムダウンローダー（ステージ1）
•    カスタムバックドア（ステージ2）
•    PowerShdllの改変バージョン – powershell.exeを使用せずにPowerShellコードを実行するためのツール
•    独自のマルウェアを実行するために使用される独自のDLLローダー
•    ビーコンDLL。リモートサーバーとの接続の確認に使用されていると考えられます。
•    dbxcliのカスタムビルド– Dropbox用のオープンソースのコマンドラインクライアント。データの引き出しに使用

一般的なシナリオでは、ステージ1のマルウェア（カスタムダウンローダー）がリモートXSLスクリプト（「初期の侵入段階」のセクションで説明）によってダウンロードされ、rundll32ユーティリティによって実行されます。ただし、攻撃者が独自のDLLローダーを使用してステージ1のマルウェアを実行した例も確認されています。独自のダウンローダーの主な目的は、ステージ2のペイロードをダウンロードして、インメモリで実行することです。

ステージ2のペイロードは、C++で記述されたDLL形式のモジュラーバックドアです。定期的にサーバーにリクエストを送信し、受信したコマンドに基づいて、コンピュータに関する基本情報の送信、モジュールのロード、構成の変更などのアクションを実行します。バックドアモジュールがC&Cサーバーから受信したモジュールを復元できませんでしたが、PowerShdllをダウンロードするためにこのモジュールが使用されていたことがわかりました。

攻撃者は、マルウェアに加えて、環境寄生型の手法を利用し、正規のツールとOSの機能を使用して、さまざまな悪意のある操作を実行し、検出を回避しようとしています。たとえば、WMICを使用してリモートXSLスクリプトを解釈し、certutilがbase64でエンコードされたダウンロードペイロードをデコードし、rundll32とregsvr32が独自のマルウェアを実行している場合がありました。

図4は、マルウェアが実行されるときに、さまざまなコンポーネントがどのように連携しているかを示しています。

環境寄生型の手法の他に、攻撃者は検出を回避し続けるために細心の注意を払っていることがわかりました。

まず、攻撃者は正当に見えるような名前を付けて、ファイルとフォルダを偽装します。このために、攻撃者はIntel、NVidia、Skype、OneDrive、Mozillaなどのよく知られたソフトウェアや企業の名前を悪用しました。たとえば、悪意のあるファイルが次のパスで見つかっています。

•    C:\ProgramData\DellTPad\DellTPadRepair.exe
•    C:\Intel\IntelV.cgi

興味深いことに、名前が変更されているのは悪意のあるファイルだけではありません。攻撃者はWindowsユーティリティを操作して悪用しています。攻撃者は、ユーティリティを新しいフォルダ（C:\NVIDIAなど）にコピーして名前を変更します。たとえば、regsvr32.exeはNvDaemon.exeに名前が変更されています。

次に、攻撃者はマルウェアの一部のコンポーネント、つまり独自のダウンローダーとバックドア、およびdbxcliツールにデジタル署名を行います。証明書は、攻撃が積極的に実行されていた期間の2019年10月に16:20 Software, LLCに発行されています。ESETの調査によると、16：20 Software, LLCは、米国ペンシルベニア州を拠点とする既存の会社であり、2010年5月に設立されています。

3番目に、ステージ1のマルウェアが作戦全体を通じて、複数回再コンパイルされていることがわかっています。

最後に、攻撃者は、独自のマルウェアに、制御フローの破壊や動的なAPIローディングなどの分析対策の手法も実装しています。

ESETの調査によると、攻撃者は、Dropboxのオープンソースコマンドラインクライアントであるdbxcliのカスタムビルドを使用して、標的から収集したデータを盗み出します。残念ながら、マルウェア分析や今回の調査からは、Operation In(ter)ceptionの攻撃者がどのようなファイルを狙っているのかは把握できませんでしたが、LinkedInから標的にされた従業員の役職から、攻撃者が技術およびビジネス関連の情報に関心があると考えられます。

調査した事例のひとつでは、攻撃者はデータを盗み出しただけではなく、作戦の最終段階として、ビジネスメール詐欺（BEC）により、被害者のメールアカウントを利用して不正に金銭を得ようとしていました。

まず、図5に示すように、被害者の電子メールアカウントにおけるやりとりを利用して、標的となった会社の顧客に請求書を送り、攻撃者の銀行口座に振り込ませようとしました。顧客とのやりとりをさらに進めるときには、被害者になりすましながら、攻撃者自身の電子メールアドレスを使用しています。

ここでは、攻撃者は失敗を犯します。この顧客は、請求された金額を振り込むのではなく、要求額について問い合わせました。この攻撃者が顧客に支払い急がせると、顧客はこの被害者の正規の電子メールアドレスに連絡し、被害者に警戒するように伝えました。

ESETの調査では、この攻撃をこれまでに把握されている攻撃者や攻撃組織と結びつける説得力のある証拠は見つかっていませんが、Lazarusグループとの結びつき示唆するいくつかの情報が特定されています。特に、標的企業、偽のLinkedInアカウントの使用、開発環境、および使用された分析を妨害する手法に類似点があることがわかっています。さらに、Lazarusグループが使用している悪意のあるツールセットの1つであるWin32/NukeSped.FXの検体を実行しているステージ1のマルウェアの亜種を、ESETは確認しています。

ESETの調査により、LinkedInアカウントを悪用した高度なソーシャルエンジニアリングスキーム、独自のモジュール型マルウェア、巧妙な検出回避手法という特徴のある、標的型のサイバー攻撃が明らかになりました。興味深いことに、Operation In(ter)ceptionではサイバースパイのあらゆる要素が確認されていますが、ビジネスメール詐欺（BEC）が試行されていることから、金銭的な利益を得ることも目的としていたと考えられます。

本調査に尽力したMichalCebákに感謝の意を表します。

攻撃の詳細な説明、および今回明らかになったマルウェアとセキュリティ侵害の痕跡（IoC）に関する技術的な分析については、ESETのホワイトペーパー『Operation In(ter)ception: Targeted attacks against European aerospace and military companies:イン(ター)セプション作戦　ヨーロッパの航空宇宙・軍事企業を狙った標的型攻撃』（英語のみ）を参照してください。

攻撃について収集されたIoCは、ESET GitHubリポジトリにもあります。