BlueDelta、ウクライナ政府のRoundcubeメールサーバーを悪用してスパイ活動を支援

Recorded FutureのInsikt Groupは、ウクライナのComputer Emergency Response Team(CERT-UA)と協力して、Recorded FutureのNetwork Traffic Intelligenceによって発見されたスピアフィッシングキャンペーンと相互相関していた、ウクライナの知名度の高いエンティティを標的としたキャンペーンを発見しました。 このキャンペーンでは、ロシアのウクライナ侵攻に関するニュースを利用して受信者にメールを開くよう促し、添付ファイルに触れることなく 、CVE-2020-35730を使用して脆弱なRoundcubeサーバー(オープンソースのウェブメールソフトウェア)を即座に侵害しました。 このキャンペーンは、2022年にMicrosoft Outlookのゼロデイ脆弱性 CVE-2023-23397 を悪用した過去のBlueDeltaの活動と重複していることがわかりました。

Insikt Groupが特定したBlueDeltaの活動は、2021年11月から稼働しているようです。 このキャンペーンは、CERT-UA が APT28(Forest BlizzardやFancy Bearとしても知られる)に起因する活動と重複しており、複数の西側諸国政府がロシア連邦軍(GRU)の参謀本部に帰属させています。 この作戦では、BlueDeltaは主に、航空機のインフラに関与する政府機関や軍事機関など、ウクライナの組織を標的にしました。

BlueDeltaキャンペーンは、スピアフィッシング手法を使用して、Roundcubeの脆弱性(CVE-2020-35730、CVE-2020-12641、およびCVE-2021-44026)を悪用した添付ファイル付きの電子メールを送信して、偵察および流出スクリプトを実行し、受信電子メールをリダイレクトし、セッションCookie、ユーザー情報、およびアドレス帳を収集しました。 添付ファイルには、BlueDelta が管理するインフラストラクチャから追加の JavaScript ペイロードを実行する JavaScript コードが含まれていました。 このキャンペーンは、ニュースコンテンツを受信者を悪用するためのおとりにすばやく武器化し、高いレベルの準備を示しました。 スピアフィッシングメールには、ウクライナに関連するニューステーマが含まれており、件名と内容は正当なメディアソースを反映していました。

BlueDelta OutlookとRoundcubeスピアフィッシング感染チェーンの重複

BlueDeltaは、主に政府や軍/防衛組織の間で、ウクライナおよびヨーロッパ全体のエンティティに関する情報を収集することに長年の関心を示してきました。 最近の活動は、これらの事業体、特にウクライナ国内の事業体に引き続き焦点を当てていることを表している可能性が非常に高いです。 BlueDeltaの活動は、ロシアのウクライナ侵攻を支援するための軍事情報収集を可能にすることを意図している可能性が高いと評価しており、BlueDeltaは、より広範なロシアの軍事的取り組みを支援するために、ウクライナ政府および民間部門の組織を標的にすることを優先し続けることはほぼ確実であると考えています。

Recorded FutureとCERT-UAのコラボレーションは、戦略的脅威(この場合はロシアのウクライナに対する戦争)に対する集団防衛を可能にするための業界と政府のパートナーシップの重要性をさらに強調しています。

文末脚注付きの分析全体を読むには、 ここをクリックして レポートをPDFとしてダウンロードしてください。

付録A — 侵害を示す指標

付録B — MITRE ATT&CK手法