ロシア研究機関を装うフィッシング、AnyDesk悪用で航空宇宙産業を標的に

偽研究機関を装ったメールで侵入、AnyDesk設定情報を外部へ送信

航空宇宙産業を標的としたスピアフィッシングキャンペーンが確認された。攻撃者は、ロシアの研究機関VNIIRを装い、航空宇宙関連の請求書を装ったメールを送信して被害者を誘導している。キャンペーンでは、新たに取得した偽装ドメインvniir-avia.spaceを利用し、パスワード付きアーカイブを配布することで感染を狙う。

感染後は、マルチステージ型のドロッパーによってポータブル版AnyDeskがインストールされ、無人アクセス用のパスワードが設定される。その後、Blat SMTPユーティリティを利用してAnyDeskの設定ファイルや認証情報がアーカイブ化され、攻撃者へメール送信される仕組みとなっている。SMTP通信には被害端末のコンピューター名やユーザー名が含まれ、攻撃者は感染端末を容易に識別できる。

また、攻撃ではAnyDeskやBlatといった正規ツールを悪用することで検知を回避し、スケジュールタスクを利用して永続化を図る手法も確認された。さらに、攻撃手法には過去にRare Werewolfで確認された活動との共通点があり、技術的な類似性が指摘されている。ただし、現時点で同一グループによる攻撃と断定されたわけではない。

組織は、パスワード付き添付ファイルの検査を強化するとともに、ProgramData配下への不審なAnyDeskの配置や、Blatを利用した異常なSMTP通信を継続的に監視することが重要だ。また、メール認証（DMARC）の適用や多要素認証（MFA）の導入など、なりすまし対策を徹底することで、同様のフィッシング攻撃による被害リスクを低減できる。