Googleは8月29日(米国時間)、「State-backed attackers and commercial surveillance vendors repeatedly use the same exploits」において、iPhoneおよびiPadのSafariと、Google Chromeの修正済みの脆弱性を悪用するサイバー攻撃のキャンペーンを確認したと報じた。このキャンペーンではモンゴル政府のWebサイトが侵害され、水飲み場型攻撃に悪用されたという。

  • State-backed attackers and commercial surveillance vendors repeatedly use the same exploits

    State-backed attackers and commercial surveillance vendors repeatedly use the same exploits

悪用された脆弱性の概要

Googleの脅威分析グループ(TAG: Threat Analysis Group)が確認したこのキャンペーンは、2023年11月から2024年7月までの期間に3度実行されたことが確認されている。攻撃者はそのすべての攻撃において、モンゴル政府のWebサイトを侵害し、アクセスしたユーザーに対しエクスプロイトを配信した。このキャンペーンの目的は、WebブラウザのCookie情報の窃取とされる。

悪用された脆弱性および攻撃の概要は次のとおり。

iPhoneユーザーへの攻撃

2023年11月、iOS 16.6.1およびこれ以前のバージョンを実行しているiPhoneユーザーに対し、「CVE-2023-41993」を悪用するエクスプロイトが配信された。配信元Webサイトは「cabinet.gov[.]mn」および「mfa.gov[.]mn」とされる。

この攻撃では、最終的にCookie情報を窃取するマルウェアが展開された。このマルウェアは次のWebサイトのCookieだけを窃取する。

  • accounts.google[.]com
  • login.microsoftonline[.]com
  • mail.google[.]com/mail/mu/0
  • www.linkedin[.]com
  • linkedin[.]com
  • www.office[.]com
  • login.live[.]com
  • outlook.live[.]com
  • login.yahoo[.]com
  • mail.yahoo[.]com
  • facebook[.]com
  • github[.]com
  • icloud[.]com

2度目の攻撃

2024年2月、上記と同じ攻撃が再度繰り返された。配信元Webサイトは「mfa.gov[.]mn」のみとされる。このとき配布されたマルウェアは上記Webサイトに加え、「webmail.mfa.gov[.]mn/owa/auth」のCookieも窃取する。

Google Chromeへの攻撃

2024年7月、Google Chromeバージョン121、122、123を使用するAndroidユーザーに対し、「CVE-2024-5274」および「CVE-2024-4671」を悪用するエクスプロイトが配信された。配信元Webサイトは「mfa.gov[.]mn」のみとされる。

この攻撃では、最終的に次の情報を窃取するマルウェアが展開された。

  • すべてのCookie
  • クレジットカード情報やアカウント関連情報
  • Chromeに保存されているパスワード
  • Chromeの履歴
  • すべてのトラストトークン

影響と対策

Googleはこのキャンペーンに使用された最終ペイロードの分析などから、ロシア政府の支援を受けているとみられる脅威グループ「APT29(別名：Midnight Blizzard)」がキャンペーンに関与した疑いがあると指摘している。攻撃は修正済みの脆弱性を悪用したものだったが、アップデートを実施していないユーザーは多いとみられ、Googleは効果的な攻撃手段になり得ると評価している。

このキャンペーンの標的となったデバイスおよびWebブラウザを使用しているユーザーには、同様の攻撃を回避するためにiOSおよびGoogle Chromeを最新バージョンにアップデートすることが推奨されている。また、Googleは調査の過程にて判明したセキュリティ侵害インジケーター(IoC: Indicator of Compromise)を公開しており、必要に応じて活用することが望まれている。