Googleは8月29日(米国時間)、「State-backed attackers and commercial surveillance vendors repeatedly use the same exploits」において、iPhoneおよびiPadのSafariと、Google Chromeの修正済みの脆弱性を悪用するサイバー攻撃のキャンペーンを確認したと報じた。このキャンペーンではモンゴル政府のWebサイトが侵害され、水飲み場型攻撃に悪用されたという。
-
State-backed attackers and commercial surveillance vendors repeatedly use the same exploits
悪用された脆弱性の概要
Googleの脅威分析グループ(TAG: Threat Analysis Group)が確認したこのキャンペーンは、2023年11月から2024年7月までの期間に3度実行されたことが確認されている。攻撃者はそのすべての攻撃において、モンゴル政府のWebサイトを侵害し、アクセスしたユーザーに対しエクスプロイトを配信した。このキャンペーンの目的は、WebブラウザのCookie情報の窃取とされる。
悪用された脆弱性および攻撃の概要は次のとおり。
iPhoneユーザーへの攻撃
2023年11月、iOS 16.6.1およびこれ以前のバージョンを実行しているiPhoneユーザーに対し、「CVE-2023-41993」を悪用するエクスプロイトが配信された。配信元Webサイトは「cabinet.gov[.]mn」および「mfa.gov[.]mn」とされる。
この攻撃では、最終的にCookie情報を窃取するマルウェアが展開された。このマルウェアは次のWebサイトのCookieだけを窃取する。
- accounts.google[.]com
- login.microsoftonline[.]com
- mail.google[.]com/mail/mu/0
- www.linkedin[.]com
- linkedin[.]com
- www.office[.]com
- login.live[.]com
- outlook.live[.]com
- login.yahoo[.]com
- mail.yahoo[.]com
- facebook[.]com
- github[.]com
- icloud[.]com
2度目の攻撃
2024年2月、上記と同じ攻撃が再度繰り返された。配信元Webサイトは「mfa.gov[.]mn」のみとされる。このとき配布されたマルウェアは上記Webサイトに加え、「webmail.mfa.gov[.]mn/owa/auth」のCookieも窃取する。
Google Chromeへの攻撃
2024年7月、Google Chromeバージョン121、122、123を使用するAndroidユーザーに対し、「CVE-2024-5274」および「CVE-2024-4671」を悪用するエクスプロイトが配信された。配信元Webサイトは「mfa.gov[.]mn」のみとされる。
この攻撃では、最終的に次の情報を窃取するマルウェアが展開された。
- すべてのCookie
- クレジットカード情報やアカウント関連情報
- Chromeに保存されているパスワード
- Chromeの履歴
- すべてのトラストトークン
影響と対策
Googleはこのキャンペーンに使用された最終ペイロードの分析などから、ロシア政府の支援を受けているとみられる脅威グループ「APT29(別名：Midnight Blizzard)」がキャンペーンに関与した疑いがあると指摘している。攻撃は修正済みの脆弱性を悪用したものだったが、アップデートを実施していないユーザーは多いとみられ、Googleは効果的な攻撃手段になり得ると評価している。
このキャンペーンの標的となったデバイスおよびWebブラウザを使用しているユーザーには、同様の攻撃を回避するためにiOSおよびGoogle Chromeを最新バージョンにアップデートすることが推奨されている。また、Googleは調査の過程にて判明したセキュリティ侵害インジケーター(IoC: Indicator of Compromise)を公開しており、必要に応じて活用することが望まれている。
