SiribClone経由のSafeLoveStealer攻撃、ロシア軍関係者を標的

SiribClone経由のSafeLoveStealer攻撃、ロシア軍関係者を標的

ロシアのセキュリティ企業F6の調査によると、SiribCloneと呼ばれるグループがロシア軍関係者を対象とした活動を展開していることが確認された。同グループは少なくとも2025年夏頃から活動していたと報告されている。

分析によると、主な対象は国境地域や戦闘地域に配置された軍関係者であり、SNSやメッセンジャーサービスを利用した接触が行われていた。攻撃者は女性を装ったアカウントを利用し、対象者とのコミュニケーションを通じて接触を図っていたとされる。

また、SiribCloneはTelegramをはじめとするメッセンジャープラットフォームを利用して会話を開始し、対象者を特定のアプリケーションやWebサイトへ誘導する手法を採用していた。

調査では、悪意のあるアプリケーションのインストールを促したり、Telegram認証情報の入力を求める偽サイトへ誘導したりする活動も確認されている。

SafeLoveStealerとSiribGrabberを利用した攻撃を確認

調査によると、SiribCloneは「安全な写真共有」アプリを装った手法を利用し、Android端末へ「SafeLoveStealer」と呼ばれるスパイウェアを配布していた。分析では、同マルウェアに写真、動画、文書、位置情報などを収集する機能が含まれていることが確認されている。

また、一部のサンプルでは端末のマイク機能を利用し、音声データを取得する機能も報告されている。研究者らはSafeLoveStealerの機能や通信フローについて継続的な分析を進めている。

さらに、攻撃者はTelegram関連サービスを装ったフィッシングサイトも運用していた。これらのサイトでは、利用者に電話番号や認証コードの入力を求める仕組みが確認されている。

加えて、デスクトップ環境を対象とした「SiribGrabber」の配布も確認された。調査によると、同マルウェアは軍関連文書を装ったファイルを利用して配布されていた。

Kontur管理基盤の存在を確認、関連活動を継続調査

調査によると、SiribCloneはロシアの戦勝記念日（Victory Day）の時期に新たなマルウェア配布活動を実施していたことが確認されている。研究者らは、関連グループによる複数の攻撃事例を追跡している。

また、分析の過程で「Kontur」と呼ばれる管理プラットフォームの存在も確認された。同プラットフォームは、フィッシング活動を通じて取得された情報を管理するために利用されていたと報告されている。

研究者によると、Konturには収集されたメッセージや各種データを確認するための機能が実装されており、一部の分析では軍事関連情報を対象とした運用実態も確認された。

さらに、SiribCloneによる活動では、SafeLoveStealerやSiribGrabberの配布、Telegramを利用した接触、フィッシングサイトの運用など複数の手法が組み合わせて利用されていることが明らかになっている。

今回の事例は、ロシア軍関係者を対象としたマルウェア配布および情報収集活動の一例として報告されており、研究者らは関連インフラや運用手法について継続的な分析を進めている。