代表アドレスへ履歴書送付、APTグループ「OceanLotus」が日系自動車企業東南アジア拠点攻撃の可能性(マクニカネットワークス) | ScanNetSecurity
2020.03.30(月)

代表アドレスへ履歴書送付、APTグループ「OceanLotus」が日系自動車企業東南アジア拠点攻撃の可能性(マクニカネットワークス)

マクニカネットワークスは、ホワイトペーパー「OceanLotus 東南アジア自動車業界への攻撃」を公開した。

調査・レポート・白書 調査・ホワイトペーパー
マルウェアの特徴
マルウェアの特徴 全 1 枚 拡大写真
マクニカネットワークス株式会社は4月25日、ホワイトペーパー「OceanLotus 東南アジア自動車業界への攻撃」を公開した。日本の自動車会社とそのサプライチェーンに攻撃を行うベトナムの標的型攻撃グループ「OceanLotus(APT32)」の攻撃手法を解析し、対策に使うインディケータを記載したものとなっている。

OceanLotusは、主に中国、ベトナム、フィリピンといった東南アジアの国々を攻撃しており、独自のマルウェアやオープンソースのツールを使い、標的型攻撃や諜報、Web改ざんなど多様な攻撃を行っている。現在のところ、直接日本を狙った攻撃は観測されていない。しかし、2018年秋頃から複数の自動車関連企業の東南アジア拠点で攻撃が観測されており、日本の自動車関連企業の東南アジア拠点が標的にされる可能性を指摘している。

攻撃方法と特徴では、履歴書の送付を装った代表アドレスへのメールが多く観測されている。メールにはWordファイルが添付されており、これを開くとTemplate Injectionの手法でマクロを自動的にダウンロードし、マクロを有効にすると悪意のあるコードが実行される。ローダーに公開・商用ツールの「Cobalt Strike/CACTUSTORCH」を使用するという特徴があり、これによりバックドアや内部活動ツール、ダウンローダーなどをロードする。

添付ファイルにマクロが含まれておらず、マクロはHTTPSでダウンロードされる。また、コードはメモリ上でのみ実行されるので、検知は難しいとしている。同社では、東南アジアに拠点のある自動車関連企業はガバナンス、注意喚起が必要としている。

《吉澤 亨史( Kouji Yoshizawa )》

関連記事

この記事の写真

/
PageTop

特集

アクセスランキング

  1. 脆弱性があるが開発者と連絡がつかないソフト一覧、使用中止呼びかけ(JVN)

    脆弱性があるが開発者と連絡がつかないソフト一覧、使用中止呼びかけ(JVN)

  2. リモートワークで社外に出ると失われる「3つの防御壁」とは?

    リモートワークで社外に出ると失われる「3つの防御壁」とは?PR

  3. 機械学習アルゴリズムに脆弱性(JVN)

    機械学習アルゴリズムに脆弱性(JVN)

  4. 新型コロナウイルス感染症による入学式中止メールを誤送信、805名のアドレスが流出(創価大学)

    新型コロナウイルス感染症による入学式中止メールを誤送信、805名のアドレスが流出(創価大学)

  5. 「Apache Tomcat」の脆弱性を確認するアクセスが増加(警察庁)

    「Apache Tomcat」の脆弱性を確認するアクセスが増加(警察庁)

  6. CISO に求める役割ベスト3とこれから求める役割(IPA)

    CISO に求める役割ベスト3とこれから求める役割(IPA)

  7. 「Xbox Series X」使用予定のソースコードが盗まれる(AMD)

    「Xbox Series X」使用予定のソースコードが盗まれる(AMD)

  8. 「アカウントを更新できなかった」とする偽Amazonメール(フィッシング対策協議会)

    「アカウントを更新できなかった」とする偽Amazonメール(フィッシング対策協議会)

  9. 成人向け動画にログインすると別人アカウントに切り替わり、購入・視聴履歴等 閲覧可能に(ソフト・オン・デマンド)

    成人向け動画にログインすると別人アカウントに切り替わり、購入・視聴履歴等 閲覧可能に(ソフト・オン・デマンド)

  10. アンケート回答で1万円、Amazon騙るフィッシングメール(フィッシング対策協議会)

    アンケート回答で1万円、Amazon騙るフィッシングメール(フィッシング対策協議会)

ランキングをもっと見る