BlueBravoが外交機関を標的とするグラフィカルプロトンマルウェアに適応

Recorded FutureのInsikt Groupは、正規のインターネットサービス(LIS)を使用してコマンドアンドコントロールネットワークトラフィックを隠す取り組みを強化し、この目的のために悪用されるサービスの範囲を拡大しているロシアの国家主体の活動を監視してきました。 BlueBravoはInsikt Groupが追跡している脅威グループで、その行動はロシアのAPT29やMidnight Blizzard(いずれもロシア対外情報局(SVR)のものとされるAPT29やMidnight Blizzardの行動と一致しています。

(BlueBravoの攻撃フローの概要(出典:Recorded Future)

2023 年 1 月、Insikt Group は、BlueBravo が GraphicalNeutrino と呼ばれるマルウェアを配信するためにテーマ別のルアーを使用していることを報告しました。 彼らは、侵害されたインフラストラクチャ、既知のマルウェアファミリ、コマンドアンドコントロール(C2)用のサードパーティサービス、ルアーテーマの再利用など、グループが採用しているいくつかの一貫した戦術を特定しました。 BlueBravoが使用する別のマルウェアの亜種であるGraphicalProtonが発見されました。 C2にNotionを使用したGraphicalNeutrinoとは異なり、GraphicalProtonは通信にMicrosoftのOneDriveまたはDropboxを使用します。

このグループは、Trello、Firebase、Dropboxなどのさまざまなオンラインサービスを使用して検出を回避しているため、LISの悪用は継続的な戦略です。 BlueBravoは、ウクライナでの戦争中および戦争後の戦略データに対するロシア政府の関心により、ヨーロッパの政府機関に対するサイバースパイ活動を優先しているようです。

Insikt Groupは、観察された傾向に基づいて、BlueBravoがC2難読化にサードパーティのサービスを活用しながら、新しいマルウェアの亜種を適応させ、作成し続けると予測しています。 擁護者は、進化するグループ、特にロシアとウクライナの紛争に関連してロシアの国家主体によって標的にされた組織を追跡するために、追加の時間とリソースを投資するよう求められています。

BlueBravoは、ウクライナで進行中の戦争中にロシアの諜報機関の消費者に貴重な洞察を提供するため、東ヨーロッパの外交および外交政策機関を標的とした新しい種類のマルウェアを展開するために、インフラストラクチャの開発と脆弱なWebサイトの侵害を継続することが期待されています。

文末脚注付きの分析全体を読むには、 ここをクリックして レポートをPDFとしてダウンロードしてください。

付録A — 侵害を示す指標

付録B — MITRE ATT&CK手法