GoStealer マルウェアがインド軍を標的に
インド空軍を標的とした高度なサイバースパイ事件がセキュリティ研究者によって明らかになった。インド空軍に対するサイバー攻撃には、機密情報を慎重に抽出するために作られた悪意のあるソフトウェアである、よく知られている Go Stealer の亜種が関与しています。
「SU-30_Aircraft_Procurement」という偽の名前の ZIP ファイルを介して配布されるこのマルウェアは、最近の防衛調達に関する発表、特に 2023 年 9 月にインド国防省が Su-30 MKI 戦闘機 12 機を承認したことを悪用します。
Cyble Research および Intelligence Labs の調査結果によると、攻撃者は綿密に調整された一連の手順を通じて計画を実行します。彼らは、Oshi と呼ばれる匿名ファイル ストレージ プラットフォームを利用して、不正な ZIP ファイルをホストし、重要な防衛文書であるかのように見せかけます。 「hxxps://oshi[.]at/ougg」というリンクは、スパムメールやその他の通信チャネルを通じて拡散される可能性があります。
感染シーケンスは ZIP ファイルから ISO ファイル、その後 .lnk ファイルへと進み、最終的に Go Stealer ペイロードの展開につながります。攻撃者は、防衛調達をめぐる緊張の高まりを利用して、インド空軍の専門家を誘導し、知らず知らずのうちにマルウェアを起動させることを目指しています。
GoStealer がアップグレードされました
特定された Go Stealer の亜種は、GitHub の対応するものとは異なり、脅威レベルを高める高度な機能を備えています。 Go プログラミング言語でコーディングされ、GitHub のオープンソース Go Stealer に基づいたこの亜種には、拡張されたブラウザー ターゲティングや Slack を介した新しいデータ抽出方法などの機能強化が導入されています。
実行すると、スティーラーは被害者のシステム上にログ ファイルを生成し、GoReSym などの GoLang ツールを利用して徹底的な分析を行います。このマルウェアは、Google Chrome、Edge、Brave などの特定のインターネット ブラウザからログイン認証情報と Cookie を抽出するように複雑に設計されています。
従来の情報窃取者とは異なり、この亜種は秘密通信に Slack API を利用することで高度な洗練性を示しています。通信チャネルとして Slack を選択することは、企業ネットワークでの Slack の広範な使用と一致しており、悪意のあるアクティビティが通常のビジネス トラフィックとシームレスに融合することを可能にします。
特定された Go Stealer は、「SU-30_Aircraft_Procurement」という誤解を招く ZIP ファイルを通じて配布され、インドの国防職員にとって重大な脅威となっています。攻撃のタイミングは、インド政府によるSu-30 MKI戦闘機調達の発表と重なっており、標的型攻撃やスパイ活動に対する懸念が高まっている。
