iPhoneとAndroidスマートフォンの脆弱性を悪用し、ユーザーの端末にマルウェアを感染させようとする大規模なサイバー攻撃が確認されました。攻撃者は複数のWebサイトに不正なJavaScriptを仕込み、サイトを訪問したユーザーの端末情報を収集したうえで、OSに応じた攻撃を仕掛けていたとされています。
セキュリティ企業Sekoiaの調査によると、この攻撃グループはロシアの対外情報機関（SVR）の関係者である可能性があり、ロシア政府の支援を受けて活動していた疑いも指摘されています。
米国独立250周年の関連サイトなどを偽装
今回の攻撃で特徴的なのは、実在するWebサイトを装った偽サイトが複数利用されていたことです。
その一つが、米国独立250周年に関連する公式サイト「america250.org」です。攻撃者は「america250[.]holiday」という偽ドメインを取得し、本物のサイトのコンテンツを中継するリバースプロキシとして利用していました。
一見すると正規サイトと同じページが表示されますが、その通信には不正なJavaScriptが追加されており、訪問者のスマートフォンを調査する仕組みが組み込まれていました。
Sekoiaは、米国の国家的な記念行事との関連性を利用し、招待状などを装った標的型フィッシング攻撃につなげる狙いがあった可能性を指摘しています。
また、英国ロンドンの高級ホテル「Raffles London at The OWO」を装った偽サイトも確認されました。
このホテルは英国国防省や首相官邸の近くに位置しており、外交関係者や政府関係者などが利用する可能性があります。10月14日にはウクライナのゼレンスキー大統領が滞在したことも報じられており、攻撃者が外交関係者や要人を狙っていた可能性があります。
DarkSwordなどの攻撃ツールで端末情報を窃取
攻撃の仕組みは、ユーザーが対象のWebサイトを訪問すると、不正なJavaScriptによってブラウザーや端末の情報が収集されるというものです。
その後、アクセス元がiPhoneなのかAndroidなのかなど、端末の情報に応じて異なる攻撃プログラムが送り込まれます。
今回確認された攻撃には、ユーザーがリンクをクリックしたり、ファイルをダウンロードしたりする操作を必要としない、いわゆるゼロクリック型のエクスプロイトチェーンが使用されていました。
攻撃に利用された手法の一つが、iOS向けの攻撃ツール「DarkSword」です。これはGoogleの脅威インテリジェンス部門も過去に分析しており、トルコの商用監視ソフトウェア企業PARS Defenseの顧客など、複数の攻撃主体による利用が確認されています。
今回の攻撃では、DarkSwordに加えて、名称が公表されていない2種類のエクスプロイトチェーンも使用されていたとのことです。
最終的な攻撃プログラムは、ブラウザーのCookieを盗み取るほか、一部のケースではWi-Fiのパスワードやスマートフォン内のデータ全体を窃取しようとしていました。
ウクライナのWebサービスも攻撃経路に利用
今回の攻撃では、偽サイトだけでなく、正規のWebサイトが侵害されて攻撃経路として利用されるケースも確認されています。
対象には、ウクライナの大手天然ガス生産企業のWebサイトや、数千のWebサイトにサービスを提供しているウクライナのWeb解析サービスも含まれていました。
Sekoiaによると、攻撃者は主に以下の3つの方法で不正なJavaScriptを配信していました。
- 正規Webサイトの通信にJavaScriptを直接挿入
- 本物のWebサイトを装った偽ドメインを経由
- ウクライナのWeb解析サービスを侵害し、そこから不正コードを配信
いずれの経路でも、基本的には同じJavaScriptが使用されていたとのことです。
また、攻撃対象の選定や過去の攻撃との類似性から、Sekoiaは今回の攻撃グループがロシアの情報機関と関係している可能性を中程度から高い確度で評価しています。過去にロシアの関与が指摘されたAPT29と呼ばれる攻撃グループとの共通点も確認されたとしています。
最新OSへの更新が重要、修正済みの脆弱性を悪用
今回の攻撃で注意したいのは、悪用された脆弱性がすべて、すでに修正プログラムが提供されている既知の脆弱性だったという点です。
セキュリティ業界では、修正済みでありながら、アップデートを適用していない端末が攻撃対象となる脆弱性を「N-day脆弱性」と呼びます。
つまり、今回の攻撃は最新のiOSやAndroidを利用している端末を無差別に突破するものではなく、古いOSを使い続けている端末を主な標的としていました。
特に、ユーザー側で特別な操作をしなくても攻撃が進行する仕組みが使われていたことから、OSの更新を後回しにしている場合は注意が必要です。
今回の事例は、普段利用している正規サイトであっても、侵害されれば攻撃の入り口になり得ることを示しています。iPhoneとAndroidのどちらを利用している場合でも、OSを最新の状態に保つことが重要です。
