ロシア関連のUAC-0184、Viberを悪用した高度なフィッシングでウクライナ軍事機関を標的

ロシア関連ハッカーグループによる新たな攻撃手法

ロシアと関連があるとされるハッカーグループ UAC-0184 は、ウクライナの軍事機関および政府機関を標的としたフィッシングキャンペーンを展開している。
同グループは、メッセージングアプリ「Viber」を悪用し、悪意のあるZIPファイルを配布する手口を用いており、こうした活動は2025年以降、継続的な情報収集作戦の一環として確認されている。

UAC-0184は「Hive0156」とも呼ばれており、軍事人事関連文書の改ざんや、戦死者に対する補償拒否といった機微なテーマを装うことで、受信者の心理を巧みに突く攻撃を行っているとされる。

Viberを悪用したフィッシング手法

今回確認された攻撃では、Viberが初期アクセス手段として悪用され、公式文書を装った悪意のあるZIPアーカイブが送信されている。
被害者がZIPファイルを解凍すると、LNK形式のショートカットが出現し、これを起点として多段階の感染プロセスが開始される。

その後、PowerShellスクリプトを通じて追加の不正ファイルがダウンロードされ、正規プログラムを悪用してマルウェアがロードされると同時に、被害者には偽の文書が表示される仕組みとなっている。
最終段階では HijackLoader および Remcos RAT が展開され、攻撃者は遠隔から情報の窃取やコマンド実行を行える状態になるとされている。

セキュリティ製品回避を狙った高度な技法

今回の攻撃は、一般的なフィッシング手法にとどまらず、DLLサイドローディングやモジュールスタンピングといった高度な手法を組み合わせ、セキュリティ製品による検知を回避する構成となっている。
攻撃者は、CRC32ハッシュ計算を用いて Kaspersky、Avast、Bitdefender などのセキュリティソフトの導入状況を識別し、それに応じて持続性を確保するためのタスクをスケジューリングするとされている。

その後、Remcos RAT は chime.exe にインジェクションされ、攻撃者による遠隔操作を可能にすることで、感染したシステムを広範に制御下に置く仕組みが確認されている。

メッセージングアプリを通じた攻撃の拡大と警戒の必要性

UAC-0184 は、今回のViberを悪用した攻撃以前にも、SignalやTelegramといった複数のメッセージングアプリを通じてマルウェアを配布してきたことが確認されている。
これらのプラットフォームは、受信者の警戒心を下げると同時に、従来のセキュリティ監視網を回避する手段として悪用されているとみられる。

今回の事例は、こうした戦術がさらに進化していることを示すものであり、CERT-UA が2024年初頭に初めて記録して以降、関連する複数の亜種が継続的に確認されている。
本件は、ロシア関連APTグループがウクライナの政府機関および軍事インフラに対して持続的な脅威を与えている現状を浮き彫りにするとともに、メッセージングプラットフォームを利用したサイバー攻撃が一層巧妙化していることを示している。