概要
セキュリティ企業Seqrite Labsは、新たなサイバー諜報キャンペーン「Operation CamelClone」を発見しました。このキャンペーンは、政府や戦略的なセクターを標的とし、合法的なツールや公開ファイル共有サイトを利用してマルウェアを配布し、機密情報を盗み出しています。
標的となるセクター
- 政府機関
- 国防・軍事組織
- 外務・外交機関
- 政策・国際協力部門
- エネルギー・戦略資源セクター
攻撃の手口
このキャンペーンは、標的型フィッシングメールを用いて開始されます。攻撃者は、標的組織の関連性を示すファイル名を付けたZIPアーカイブを送信します。アーカイブには、合法的な組織のロゴを使用した偽装画像が含まれています。
攻撃の流れ
標的がZIPアーカイブ内のショートカットファイルを開くと、PowerShellコマンドが実行され、ファイル共有サイトから追加のペイロードがダウンロードされます。その後、JavaScriptローダーが実行され、RcloneとMEGAクラウドストレージを使用してデータを不正にエクスフィレートします。
標的となった国
- アルジェリア
- モンゴル
- ウクライナ
- クウェート
データエクスフィレートの詳細
攻撃者は、匿名のメールアドレスを使用してMEGAクラウドストレージにアクセスし、標的のデスクトップディレクトリからドキュメントを収集します。これらのファイルは、ドキュメント、PDF、テキストファイル、およびTelegramデスクトップのセッションデータを含みます。
インフラストラクチャ
攻撃者は、ファイル共有サイト「filebulldogs[.]com」を使用してペイロードをホストし、匿名のメールアドレスを使用してMEGAクラウドストレージにデータをアップロードします。
インフラストラクチャの詳細
- filebulldogs[.]com
- onionmail[.]org
結論
Seqrite Labsは、このキャンペーンが政府や国防、外交、エネルギーセクターを標的としており、サイバー諜報活動の一部である可能性が高いと結論付けています。