SolarWindsの背後にいるロシアのハッカーがGoogleドライブにマルウェアを隠している

悪名高い SolarWinds スパイ活動の背後にいるロシアとつながりのあるハッキング グループが、現在 Google Drive を使用して最新の被害者に密かにマルウェアを配布している。

これはパロアルトネットワークスの脅威インテリジェンスチーム「ユニット42」の研究者らが火曜日に発表したもので、ロシア対外情報局（SVR）のハッキング部隊（ユニット42では「Cloaked Ursa」として追跡されているが、一般的にはAPT29またはCozy Bearとして知られている）が、マルウェアとその活動を隠蔽するために、Googleのクラウドストレージサービスをハッキング活動に取り入れているという。

Unit 42によると、APT29は2022年5月初旬から6月にかけてポルトガルとブラジルの外交使節団や外国大使館を標的とした最近の攻撃でこの新しい戦術を使用している。

「これはこの攻撃者にとって新たな戦術であり、これらのサービスが広く普及していること、そして世界中の何百万もの顧客から信頼されているという事実から、検出が困難であることが証明されています」と研究者らは述べています。「ここで見られるように、信頼できるサービスの利用と暗号化が組み合わさると、組織がこのキャンペーンに関連する悪意のある活動を検出することは極めて困難になります。」

APT29がGoogleドライブを利用したのは今回が初めてですが、正規のウェブサービスを悪用するのは初めてではありません。セキュリティ大手Mandiantが5月に報告したように、同グループは外交官や様々な政府機関を標的とした攻撃において、コマンド＆コントロール（C&C）インフラの一部としてDropboxを組み込んでいました。Dropbox の広報担当者はTechCrunchに対し、アカウントを直ちに無効化したと語りました。

Unit 42はDropboxとGoogleの両社にこの活動を報告し、両社は対策を講じました。Googleはコメント要請に直ちに回答しませんでした。

Googleの脅威分析グループ（TAG）は火曜日、ロシアの支援を受けたTurlaハッカーが、ロシアへの分散型サービス拒否（DDoS）攻撃を実行するために設計されたとされるアプリを通じてウクライナ人を標的にしていることを明らかにした。Cyber​​Azovと呼ばれるこのアプリは、ユーザーが「ウクライナに対するロシアの侵略を阻止するのに役立つ」と謳っていた。実際、TAGの研究者によると、このアプリはTurlaがAndroid関連のマルウェアを拡散した最初の事例となっている。