Sandman 脅威アクターによる LuaDream マルウェア

サンドマンという名前のこれまで知られていなかった攻撃者が、中東、西ヨーロッパ、南アジア亜大陸の電気通信プロバイダーを標的とした一連のサイバー攻撃に関与していることが判明しました。特に、これらの侵入は、LuaJIT として知られる Lua プログラミング言語のジャストインタイム (JIT) コンパイラを利用して、LuaDream と呼ばれる新しいインプラントを展開します。

SentinelOne のセキュリティ研究者 Aleksandar Milenkoski が QGroup と共同で実施した分析によると、観察されたアクティビティは、特定の対象ワークステーションに向けた戦略的な横方向の動きと最小限の関与によって特徴付けられています。これは、検出のリスクを最小限に抑えながら目的を達成することを目的とした意図的なアプローチを示唆しています。 LuaDream の実装は、重要な範囲のプロジェクトが適切に実行され、積極的に開発されたことを示しています。

Sandman - 情報セキュリティの世界における新しい存在

熱心な調査にもかかわらず、このキャンペーンと既知の攻撃者またはグループとの間に既知の相関関係はありません。しかし、入手可能な証拠は、サイバースパイ活動の敵がさまざまな地域の電気通信部門を優先的にターゲットにしていることを示唆しています。これらの攻撃は、2023 年 8 月に数週間にわたって初めて検出されました。

さらに、Milenkoski 氏は、LuaDream ステージング チェーンは、マルウェアをメモリに直接ロードすることで検出を回避し、分析を妨げるように設計されていると説明しました。これは、Lua のジャストインタイム コンパイラである LuaJIT プラットフォームを活用することで実現されており、悪意のある Lua スクリプト コードの検出が困難になっています。

インプラントのソース コードに 2022 年 6 月 3 日に遡る文字列アーティファクトが存在することは、LuaDream の準備作業が 1 年以上継続していたことを示唆しています。

LuaDream は、DreamLand と呼ばれる新しいマルウェア株の亜種である可能性があります。セキュリティ研究者によると、DreamLand は Lua スクリプト言語とそのジャストインタイム コンパイラを利用して、検出が困難な悪意のあるコードを実行します。