ESET社の研究者と製品は、長年にわたってウクライナのITインフラを保護してきました。2022年2月にロシアがウクライナに侵攻してから、ESET社はロシアとつながりのあるサイバー攻撃組織による膨大な数の攻撃を阻止し、調査してきました。また、WeLiveSecurityでも注意が必要な重要ないくつかの調査結果を発表しています。

• https://www.eset.com/jp/blog/welivesecurity/isaacwiper-hermeticwizard-wiper-worm-targeting-ukraine/
• https://www.eset.com/jp/blog/welivesecurity/industroyer2-industroyer-reloaded/
• https://www.welivesecurity.com/2023/02/24/year-wiper-attacks-ukraine/
• https://www.welivesecurity.com/2023/06/08/asylum-ambuscade-crimeware-or-cyberespionage/

ESET社は主にマルウェアに関連する脅威を分析していますが、ウクライナ人やウクライナ語を話す人々に恐怖・疑念・不安を抱かせようとする情報工作や心理作戦も調査しています。

TEXONTO作戦

Texonto作戦は、スパムメールを主に配布手段として、偽情報を広める心理作戦です。このサイバー犯罪組織は、Telegramや偽のWebサイトなどの一般的なチャネルからメッセージを伝えているわけではありません。攻撃の第一波は2023年11月に発生し、第二波は2023年12月末に発生しています。これらのメールの内容は、電力と暖房の停止、薬品や食糧不足に関するもので、ロシアによるプロパガンダで一般的に利用されているテーマになっています。

偽情報キャンペーンのほかにも、2023年10月にウクライナの防衛企業を、2023年11月にEUの機関を標的にしたスピアフィッシングキャンペーンをESET社は検出しています。いずれの攻撃も、Microsoft Office 365アカウントの認証情報を詐取することが目的でした。これらの心理戦やフィッシング作戦で使用されているネットワークインフラに類似点があることから、ESET社はこれらの攻撃が相互に関連していると考えています。

調査を進めたところ、拘束され2024年2月16日に収監先で死亡したロシアの野党指導者であるアレクセイ・ナワリヌイ氏に関連するドメインなど、ロシアの国内事情に関連するドメイン名も、「Texonto作戦」の一部で使用されていました。このことから、Texonto作戦は、ロシアの反体制派や故野党指導者の支持者を標的にしたスピアフィッシングや情報操作も行っている可能性があります。使用されていたドメインを以下に示します。

• navalny-votes[.]net
• navalny-votesmart[.]net
• navalny-voting[.]net

非常に奇妙なのは、この攻撃者が運用しており、心理戦のためのメールの送信に使われたメールサーバーが、2週間後に、一般的なカナダの薬局になりすましたスパムの送信にも利用されていたことです。2011年のブログでも説明していますが、ロシアのサイバー犯罪コミュニティは長年にわたってこのような違法ビジネスを積極的に展開しています。

図1に、Texonto作戦の主なイベントをまとめました。

図1. Texonto作戦のタイムライン

スパイ活動、情報操作、偽薬という奇妙な組み合わせは、2023年12月に米国司法省によって起訴されたロシアとつながりのある有名なサイバースパイ組織であるCallistoを思い起こさせます。Callistoは、政府関係者、シンクタンク関係者、軍事関連組織を標的としており、一般的なクラウドプロバイダーを偽装したスピアフィッシングWebサイトを使用しています。また、2019年のイギリス総選挙の直前に、文書流出させるなどの、偽情報工作も行っています。また、musclepharm[.]topやukrpharma[.]ovhのような偽の薬局ドメインを使用するために、古いネットワークインフラを転用しています。

Texonto作戦とCallistoの活動にはいくつかの類似点がありますが、重複している技術は見つかっておらず、現在のところTexonto作戦を実施しているサイバー攻撃者は不明です。しかし、ESET社は、TTP、標的、メッセージの拡散方法などから、この作戦はロシアとつながりのある組織によるものだと確信しています。

フィッシングキャンペーン：2023年10月～11月

2023年10月、ウクライナの大手防衛企業に勤める従業員が、自社のIT部門を装って送信されたフィッシングメールを受信しました。メールの送信元はit.[redacted_company_name]@gmail.comであり、このキャンペーンのために特別に作成された可能性があります。また、メールの件名は「Запрошено утверждение:Планова ?нвентаризац?я」（ウクライナ語からの翻訳：メールボックス確認のお願い）となっており、メールの内容は以下のとおりです。

このメールを翻訳した内容を以下に示します。

このメールの目的は、標的のユーザーに「за цим посиланням」（「このリンク」の意味）をクリックさせ、
https:／／login.microsoftidonline[.]com/common/oauth2/authorize?client_id=[redacted];redirect_uri=https%3a%2f%2foutlook.office365.com%2fowa%2f&resource=[redacted]&response_mode=form_post&response_type=code+id_token&scope=openid&msafed=1&msaredir=1&client-request-id=[redacted]&protectedtoken=true&claims=%7b%22id_token%22%3a%7b%22xms_cc%22%3a%7b%22values%22%3a%5b%22CP1%22%5d%7d%7d%7d&domain_hint=[redacted]&nonce=[redacted]&state=[redacted]（一部編集）にアクセスさせることです。このURLは、悪意のあるドメインlogin.microsoftidonline[.]comです。このドメインは、公式のドメインであるlogin.microsoftonline.comに非常に似せていることに注意が必要です。

ESET社は、フィッシングページを取得できていませんが、おそらく標的ユーザーの認証情報を詐取するために作成されたMicrosoftの偽のログインページだったはずです。

Texonto作戦で使用されたもう1つのドメインchoicelive149200[.]comについては、そのURLのhttps://choicelive149200[.]com/owa/auth/logon.aspx?replaceCurrent=1&url=https://hbd.eupolcopps.eu/owa/がVirusTotalに2回提供されています（1回目と2回目）。残念ながら、このサイトは分析時点ではアクセスできなくなっていましたが、EUのパレスチナ警察支援調整事務所eupolcopps.euのOutlook on the web／OWA Webmailの認証情報をフィッシングするためのページであった可能性があります。なお、ESET社ではメールの検体は確認しておらず、VirusTotalに提供されたURLだけを参照しています。

心理戦の第一波：2023年11月

11月20日に偽情報メールの第一波が確認されました。この時には、ウクライナの少なくとも数百人のユーザーにPDFファイルが添付された偽情報メールが送信されました。これらのメールを受信したユーザーは、ウクライナ政府、エネルギー企業、そして一般の個人でした。これらの標的ユーザーのメールアドレスリストがどのように作られたかは不明です。

先に説明したフィッシングキャンペーンとは逆に、これらのメールの目的は、ウクライナ人に恐怖、疑念、不安を植え付けることです。例えば、あるメールには「この冬はエネルギー事情が逼迫し、暖房が止まる可能性がある」と記述されています。この第一波で送信されたメールには、悪意のあるリンクやマルウェアは追加されていなかったようです。

図2に、メールの例を示します。メールの件名は「Рекомендац?? моз укра?ни на тл? деф?циту л?к?в」（ウクライナ語からの翻訳：医薬品不足時のウクライナ保健省の推奨事項）となっており、mozua@ua-minagro[.]comから送信されています。このアドレスはenvelope-fromとreturn-pathフィールドで確認できます。

ua-minagro[.]comは、攻撃者が運営するドメインであり、このキャンペーンで偽情報メールを送信するためだけに使用されています。このドメインはウクライナ農業政策食料省になりすましています。正規のドメインはminagro.gov.uaです。

図2. 偽情報メール

このメールに添付されているのは、PDF文書です。このPDFを図3に示します。このファイル自体には悪意はありませんが、偽情報が含まれています。

図3. PDF添付ファイル

この文書は、ウクライナ保健省のロゴを悪用しており、戦争によってウクライナで医薬品が不足していることを説明しています。また、ウクライナ政府がロシアとベラルーシからの医薬品の輸入を拒否しているとも書かれています。このファイルの2ページ目では、いくつかの薬を植物で代替する方法を説明しています。

注意が必要なのは、このメールはウクライナ農業政策食糧省を装ったドメインから送信されていますが、医薬品不足に関する内容になっており、PDFではウクライナ保健省のロゴが悪用されています。これはおそらく攻撃者のミスか、少なくともこの攻撃者が細部にまで注意を払っていなかったことを示しています。

第一波では、ua-minagro[.]comに加えて、以下の5つのドメインがメールの送信に使用されています。

• uaminagro[.]com
• minuaregion[.]org
• minuaregionbecareful[.]com
• uamtu[.]com
• minagroua[.]org

minuaregion[.]orgとminuaregionbecareful[.]comは、ウクライナ一時的被占領地域再統合省を装っています。この機関の正規のWebサイトはhttps://minre.gov.ua/en/です。

uamtu[.]comは、ウクライナのコミュニティ、国土、インフラ発展省を装っています。この機関の正規のWebサイトはhttps://mtu.gov.uaです。

さらに3つの異なるメールメッセージのテンプレートが確認され、それぞれメール本文とPDF添付ファイルは異なります。表1に、これらの概要を示します。

関連するPDFの添付ファイルは、ウクライナ地方省（図4）と農業政策食料省（図5）になりすまして送信されています。

図4. ウクライナ地方省になりすまして送られたPDF

図5. ウクライナ農業政策食料省になりすまして送られたPDF

ウクライナ農業政策食料省になりすまして送られた最後の文書では、「鳩のリゾット」を勧めており、生きている鳩と調理された鳩の写真まで掲載されています。これらの文書は、読者を不快にさせるために意図的に作成されています。

全体的に、これらのメッセージは、ロシアがプロパガンダで一般的に利用するテーマと一致しています。これらのプロパガンダの目的は、ウクライナ国民に、ロシアとウクライナの戦争によって、医薬品、食料、エネルギーも入手できなくなっていると認識させることです。

心理戦の第二波：2023年12月

第一波から約1カ月後、ウクライナ市民だけでなく、ほかのヨーロッパ諸国の市民を標的にした2回目の心理戦のメールキャンペーンをESET社は検出しました。標的はウクライナの政府機関からイタリアの靴製造業まで、無作為になっているようでした。メールはすべてウクライナ語で記述されていることから、標的は、ウクライナ国外にいるウクライナ語を話すユーザーだと考えられます。ESET社のテレメトリ（監視データ）によると、この第二波のメールを受信したユーザーは数百人でした。

この第二波では2種類のメールテンプレートが利用されています。最初のメールは12月25日に送信されています。図6にこのメールを示します。第一波のメールメッセージは、攻撃者が運用しているメールサーバー（この場合はinfoattention[.]com）から送信されていました。

図6. 第二波の最初のメールテンプレート

メール本文の翻訳を以下に示します。

2つ目のメールテンプレートは、図7、2023年12月26日に別のメールサーバー（stronginfo1[.]com）から送信されています。第二波では、さらに以下の2つのメールアドレスが使用されています。

• happyny@infonotifi[.]com
• happyny@infonotification[.]com

図7. 第二波のメールテンプレート

メール本文の翻訳を以下に示します。

2023年11月に送信された最初の心理戦用のメールキャンペーンは、PDF文書を特別に作成し周到な準備を行っており、ある程度説得力のある内容でした。2つ目のメールテンプレートは非常に不穏なものであり、攻撃者は徴兵を避けるために足や腕を切断するよう勧める内容になっています。全体的なメッセージは、戦争時における心理戦の特徴をすべて備えています。

カナダの薬局になりすましたスパム：2024年1月

驚くべきことに、2023年12月に心理戦用のメールの送信に使われたドメインの1つ（infonotification[.]com）は、2024年1月7日にカナダの薬局になりすましたスパムの送信に使用され始めました。

図8このリンクはカナダの薬局になりすました偽のWebサイト（onlinepharmacycenter[.]com）にリダイレクトされます。このスパムキャンペーンは中規模であり、少なくとも数百通のメールが配信されており、多くの国のユーザーが以下のようなメールを受信しています。

図8. カナダの薬局を装ったスパム

これらのメールは、happyny@infonotification[.]comから送信されています。これはメールヘッダーで確認できます。

カナダ薬局を装ったスパムは、これまでロシアのサイバー犯罪者が運営してきたビジネスです。これは、Brian Krebs氏などのセキュリティ関連のブロガーが広く報告しており、特にBrian Krebs氏の著書「Spam Nation」で詳しく解説されています。

これらのスパムキャンペーンとの関連性

心理戦のキャンペーンを実行しているオペレーターが、薬局を偽装したスパムを送信するためにサーバーの1つを転用した理由は不明ですが、使用しているインフラが検出されたことに気づいた可能性があります。そのため、すでに検出されているインフラを、利益を得るため、あるいは将来のスパイ活動や心理戦のための資金源にするために収益化しようとした可能性があります。図9に、さまざまなドメインとキャンペーン間の関係性をまとめました。

図9. Texonto作戦の概要

結論

ロシアとウクライナの戦争が始まって以来、Sandwormのようなロシアとつながりのあるサイバー攻撃組織は、ワイパー型マルウェアを使用して、ウクライナのITインフラを破壊することに躍起になってきました。ここ数カ月間は、悪名高いGamaredonグループによるサイバースパイ活動が活発になっています。

Texonto作戦は、戦争を優位に進めるためにテクノロジーが新たな方法で利用されていることを示しています。一般的な偽のMicrosoftログインページがいくつか見つかっていますが、最も重要なのは、ウクライナ国民に対してプロパガンダを仕掛け、ロシアが勝利すると信じさせようとするメールによる心理戦が2回展開されていることです。

IoC（セキュリティ侵害の痕跡）の詳細なリストと検体は、ESET社のGitHubリポジトリに掲載されています。

IOC（セキュリティ侵害の痕跡）

ファイル

ネットワーク

メールアドレス

minregion@uaminagro[.]com
minregion@minuaregion[.]org
minregion@minuaregionbecareful[.]com
minregion@uamtu[.]com
mozua@ua-minagro[.]com
mozua@minagroua[.]org
minagroua@vps-3075.lethost[.]network
happyny@infoattention[.]com
happyny@stronginfo1[.]com
happyny@infonotifi[.]com
happyny@infonotification[.]com

MITRE ATT&CKの技術

この表は、MITRE ATT&CKフレームワークのバージョン14を使用して作成されています。