BlueDelta、ウクライナ政府のRoundcubeメールサーバーを悪用してスパイ活動を支援

Recorded Future's Insikt Group, in partnership with Ukraine's Computer Emergency Response Team (CERT-UA), has uncovered a campaign targeting high-profile entities in Ukraine that was cross-correlated with a spearphishing campaign uncovered by Recorded Future’s Network Traffic Intelligence. The campaign leveraged news about Russia’s war against Ukraine to encourage recipients to open emails, which immediately compromised vulnerable Roundcube servers (an open-source webmail software), using CVE-2020-35730, without engaging with the attachment. We found that the campaign overlaps with historic BlueDelta activity exploiting the Microsoft Outlook zero-day vulnerability CVE-2023-23397 in 2022.

Insikt Groupが特定したBlueDeltaの活動は、2021年11月から稼働しているようです。 このキャンペーンは、CERT-UA が APT28(Forest BlizzardやFancy Bearとしても知られる)に起因する活動と重複しており、複数の西側諸国政府がロシア連邦軍(GRU)の参謀本部に帰属させています。 この作戦では、BlueDeltaは主に、航空機のインフラに関与する政府機関や軍事機関など、ウクライナの組織を標的にしました。

The BlueDelta campaign used spearphishing techniques, sending emails with attachments exploiting vulnerabilities (CVE-2020-35730, CVE-2020-12641, and CVE-2021-44026) in Roundcube to run reconnaissance and exfiltration scripts, redirecting incoming emails and gathering session cookies, user information, and address books. The attachment contained JavaScript code that executed additional JavaScript payloads from BlueDelta-controlled infrastructure. The campaign displayed a high level of preparedness, quickly weaponizing news content into lures to exploit recipients. The spearphishing emails contained news themes related to Ukraine, with subject lines and content mirroring legitimate media sources.

BlueDelta OutlookとRoundcubeスピアフィッシング感染チェーンの重複

BlueDeltaは、主に政府や軍/防衛組織の間で、ウクライナおよびヨーロッパ全体のエンティティに関する情報を収集することに長年の関心を示してきました。 最近の活動は、これらの事業体、特にウクライナ国内の事業体に引き続き焦点を当てていることを表している可能性が非常に高いです。 BlueDeltaの活動は、ロシアのウクライナ侵攻を支援するための軍事情報収集を可能にすることを意図している可能性が高いと評価しており、BlueDeltaは、より広範なロシアの軍事的取り組みを支援するために、ウクライナ政府および民間部門の組織を標的にすることを優先し続けることはほぼ確実であると考えています。

Recorded FutureとCERT-UAのコラボレーションは、戦略的脅威(この場合はロシアのウクライナに対する戦争)に対する集団防衛を可能にするための業界と政府のパートナーシップの重要性をさらに強調しています。

文末脚注付きの分析全体を読むには、 ここをクリックして レポートをPDFとしてダウンロードしてください。

付録A — 侵害を示す指標

ドメイン aneria[.]net armpress[.]net ceriossl[.]info global-news-world[.]com global-world-news[.]net globalnewsnew[.]com infocentre[.]icu mai1[.]namenews[.]info newsnew[.]info runstatistics[.]net sourcescdn[.]net starvars[.]top Target-facing IP Addresses 46.183.219[.]207 (January 2022 - June 2023) 77.243.181[.]238 (March 2022 - June 2023) 144.76.69[.]94 (March 2022 - June 2023) 46.183.219[.]232 (May 2022 - March 2023) 45.138.87[.]250 (December 2021 - March 2022) 144.76.7[.]190 (January 2022 - March 2022) 77.243.181[.]10 (February 2022 - March 2022) 5.199.162[.]132 (January 2022 - March 2022) 185.210.217[.]218 (January 2022 - February 2022) 144.76.184[.]94 (December 2021 - December 2021) 162.55.241[.]4 (November 2021 - December 2021) 185.195.236[.]230 (November 2021 - December 2021) Sender Email Address ukraine_news@meta[.]ua

付録B — MITRE ATT&CK手法

戦術：手法	ATT&CKコード
Initial Access: Spearphishing Attachment	T1566.001
Execution: Exploitation for Client Execution	T1203
Execution: Command and Scripting Interpreter: JavaScript	T1059.007
Defense Evasion: 難読化されたファイルまたは情報	T1027
Defense Evasion: Deobfuscate/Decode Files or Information	T1140
Credential Access: OS Credential Dumping: /etc/passwd and /etc/shadow	T1003.008
Discovery: システム情報検出	T1082
Discovery: System Network Configuration Discovery	T1016
Discovery: System Owner/User Discovery	T1033
Discovery: System Network Connections Discovery	T1049
Collection: Email Collection: Email Forwarding Rule	T1114.003
Command and Control: Application Layer Protocol: Web Protocols	T1071.001
Command and Control: Data Encoding: Standard Encoding	T1132.001
Exfiltration: Exfiltration Over Alternative Protocol	T1048
Exfiltration: Automated Exfiltration	T1020