ロシア系Kazuarスパイウェア、政府機関標的活動を確認

Kazuarスパイウェア、モジュール型構造へ移行

ロシア系脅威グループ「Secret Blizzard」が運用するとされるマルウェア「Kazuar」において、モジュール型構造を採用した新たなバージョンが確認されている。本マルウェアは、政府機関、外交関連組織、防衛分野を対象とした活動で利用されているとされる。Secret Blizzardは「Turla」や「Venomous Bear」の名称でも追跡されている。

最新のKazuarは、「Kernel」「Bridge」「Worker」の3つのモジュールで構成されている。この構造では、一部システムのみが外部通信を行い、内部通信にはnamed pipesなどのIPC（プロセス間通信）機能が利用される。これにより、外部通信量を抑えた構成となっている。

また、Kernelモジュールは中央制御機能を担い、プロセス監視やサンドボックス検出などの機能を含む。分析では、約150種類の設定項目が確認されており、データ取得、キーロギング、ファイル収集などの機能も実装されている。

マルウェア配布には「Pelmeni」ドロッパーが利用され、暗号化されたペイロードを対象環境へ展開する構成となっている。さらに、ホスト名など特定環境情報を利用し、意図しない環境での実行を制限する仕組みも確認されている。

PolySwarmの分析によれば、本マルウェアは.NETベースローダーとしてメモリ上で実行されるケースが確認されている。また、一部インフラ停止時にも活動継続を可能とするモジュール分散型の運用構造が採用されている。

通信面では、低頻度の暗号化通信を利用する構成が確認されている。分析では、IPC利用状況や内部通信パターンが調査対象となっている。Kazuar関連活動は、政府機関、在外公館、防衛関連組織を対象とした事例として継続的に追跡されている。