チェック・ポイント・ソフトウェア・テクノロジーズ（以下、チェック・ポイント）の脅威インテリジェンス部門であるチェック・ポイント・リサーチ（以下、CPR）は、サイバースパイ活動に「ElizaRAT」と呼ばれるマルウェアが使用されていることを確認した。
具体的には、パキスタンと関連があるとされるハッカー集団「Transparent Tribe」（別名、APT36）が、ElizaRATを使用して、インドの組織に対する複数の攻撃を成功させているという。ElizaRATは、2023年9月にWindows用遠隔操作ツールとして公開された、APT36が標的型攻撃に使用しているマルウェア。CPRが活動を追跡した結果、徐々にマルウェアの技術が高度化していると判明したとのことだ。具体的には、検知回避とコマンド＆コントロール機能が強化されていたという。
今回、3つの攻撃が確認されており、1つ目として「Slack API」というElizaRATの亜種が、C2通信にSlackチャンネルを利用していたという。Slack APIはCPLファイルとして配信され、フィッシング攻撃で簡単に実行が可能。ユーザー情報の収集、行動のログ記録、ローカルタイムゾーンの確認を行い、偽装されたmp4ファイルをドロップするとのことだ。同マルウェアは、被害者の詳しい情報をC2サーバーに送信し、1分ごとに新しいコマンドの有無をチェック。C2通信には、攻撃者との連絡手段としてSlackのAPIが使用されているという。
また、同一キャンペーンにおいて、APT36は特定のターゲットに向けて、チェック・ポイントが「ApoloStealer」と名付けた新しいペイロードを展開。これは、ElizaRAT Slack API亜種の1ヵ月後にコンパイルされたという。ApoloStealerは、最初にデータベースファイルを作成し、次に各ファイルのデータを格納するテーブルを作成する。その後、被害者のデスクトップ上でファイルを収集し、関連ファイルがすべて保存されると、それらをC2サーバーに送信するとのことだ。
その後、ElizaRATマルウェアの2つ目の亜種である「Circle」がリリースされた。このバージョンは、ドロッパーコンポーネントが強化され、検出率が大幅に低下しているという。Circleによる攻撃キャンペーンは、Slack APIのペイロードと同様のペイロードを採用しているが、C2通信にクラウドサービスを使用せず、C2通信にプライマリ仮想プライベートサーバー（VPS）を利用しているとのことだ。このドロッパーの主な機能は、ElizaRATの実行準備を行うことだという。マルウェアを含むzipファイルを展開し、囮のPDFとMP4ファイルを配置する作業ディレクトリを作成するとしている。Circleは、実際には使用しないにもかかわらず、マルウェアのためのLNKファイルを作成。LNKの説明に「Slack API」と書かれており、Slackを利用したキャンペーンとの関連性が示唆されているとのことだ。
また、Googleドライブを利用した攻撃キャンペーンも検出されている。この攻撃キャンペーンは、ElizaRATの3つ目の亜種を使用したもの。マルウェアの配布時には、囮となるPDFファイルと、ElizaRATの新たな亜種が含まれているとのことだ。この亜種はC2通信にGoogleクラウドを利用し、異なる仮想プライベートサーバー（VPS）から、次の段階のペイロードをダウンロードするためのコマンドを送信する。CPRは、このキャンペーンで使用された2種類のペイロードを特定。いずれも情報窃取型マルウェアであり、それぞれ特定の目的のために設計されているという。
【関連記事】
・チェック・ポイント、Google Apps Script悪用のフィッシング攻撃確認 現在も攻撃継続中
・チェック・ポイント、Harmony SASE上で生成AIによるアシスタントのプレビュー版を提供
・8月に最も活発だったランサムウェアグループはRansomHub 攻撃の15％に関与──チェック・ポイント
