ロシア関連の脅威アクター、Signal Messengerを積極的に標的化

 (cloud.google.com)
1 ポイント 投稿者 GN⁺ 2025-02-20 | 2件のコメント | WhatsAppで共有

ロシア関連の脅威アクターがSignalメッセンジャーを標的にする活動を実施中

  • Google脅威インテリジェンスグループ（GTIG） は、ロシア国家関連の脅威アクターがSignalメッセンジャーのアカウントを標的にする活動を観測した。これは、ロシアによるウクライナ再侵攻に関連した機微な政府・軍事通信へのアクセスを狙う戦時上の需要によって引き起こされたものとみられる。こうした戦術や手法は、今後さらに多くの脅威アクターや地域へ拡散する可能性がある。

  • Signalは、兵士、政治家、記者、活動家など、監視や諜報活動の一般的な標的の間で人気が高く、機微な情報を傍受しようとする敵対者にとって高価値の標的となっている。この脅威は、WhatsAppやTelegramのような他の人気メッセンジャーアプリにも広がっている。

  • Signalチームとの協力を通じて、最新のSignalバージョンでは類似のフィッシングキャンペーンに対する保護機能が強化された。最新バージョンへのアップデートを推奨する。

Signalの「リンク済みデバイス」機能を悪用したフィッシングキャンペーン

  • ロシア関連アクターは、Signalアカウントを侵害するために「リンク済みデバイス」機能を悪用している。この機能は、複数のデバイスで同時にSignalを利用できるようにするものだ。悪意のあるQRコードを通じて、被害者のアカウントをアクターが制御するSignalインスタンスにリンクさせようとしている。

  • リモートフィッシング作戦では、悪意のあるQRコードがSignalのリソースを装って使用されている。ウクライナ軍で使われる特殊なアプリケーションを装ったフィッシングページに、QRコードが含まれていることもある。

UNC5792: 改変されたSignalグループ招待

  • UNC5792は、Signalアカウントを侵害するために「グループ招待」ページを改変し、悪意のあるURLへリダイレクトさせている。これは、被害者のSignalアカウントをアクターが制御するデバイスにリンクさせようとする試みだ。

UNC4221: カスタムSignalフィッシングキット

  • UNC4221は、ウクライナ兵が使用するSignalアカウントを標的にしている。このグループは、Kropyvaアプリケーションを模倣したフィッシングキットを運用しており、信頼できる連絡先からのSignalグループ招待を装っている。

ロシアおよびベラルーシによるSignalメッセージ窃取の試み

  • 複数の地域的脅威アクターが、AndroidおよびWindowsデバイス上でSignalデータベースファイルを窃取する能力を運用している。APT44は、WAVESIGNというWindows Batchスクリプトを使用してSignalメッセージを定期的にクエリし、Rcloneを使って窃取している。

今後の見通しと影響

  • 複数の脅威アクターがSignalを標的にしていることは、安全なメッセージングアプリケーションに対する脅威が増大していることへの警告となっている。こうした脅威には、フィッシングやマルウェア配布のようなリモートのサイバー作戦だけでなく、標的のロック解除済みデバイスへのアクセスを確保できる近接アクセス作戦も含まれる。

  • 安全なメッセージングアプリケーションを利用する個人は、画面ロックの有効化、OSの更新、Google Play Protectの有効化、QRコードやWebリソースへの注意、二要素認証の利用などによって自らを保護すべきである。

関連記事

2件のコメント

 
ndrgrd 2025-02-20

脆弱なのは事実ですが、グループチャットさえまともに暗号化していないTelegramが、セキュリティ面で批判していること自体が滑稽ですね。
 
GN⁺ 2025-02-20
Hacker Newsのコメント

  • Signalのようなアプリのリンク済みデバイスのワークフローは、長い間リスクがあった

    • TelegramがSignalを批判したとき、この問題に言及していた
    • リンク済みデバイスの実装は長い間問題を抱えていた
    • オープンな文献で攻撃が現れるまでこれほど時間がかかったのは驚き
    • Signalがこの攻撃を軽視したのは助けにならない

  • E2E暗号化では、ユーザー自身がクライアントを構築して検証しなければならないことに気づいた

    • プロトコルが主張することはすべて無意味になりうる
    • iOSストアへの配布過程で問題が発生する可能性がある
    • すべては信頼にかかっている
    • Signalを使うこと自体がかえって監視の対象になりうる
    • セキュリティプロトコルの数学的妥当性についての議論が無意味に感じられる

  • 記事では明確に言及されていないが、攻撃の第一段階は戦死者のスマートフォンを持ち去ること

  • QRコードをスキャンするだけでデバイス連携が可能なら、これは問題

    • デバイス連携は手動で確認すべき
    • グループ招待コードのスキャンとデバイス連携を混同しないようにすべき

  • 一部のドメインは提示されていたが、すべてが使用中というわけではない

    • 戦争中の国家を信頼すべきではない
    • 各国はそれぞれ自国のアジェンダを持っている

  • Signalは侵害されたと主張する声が多い

    • Signalはウェブスケールの企業として人権を守ろうと努力している
    • 個人の尊厳が重要
    • 単純な会話ではない

  • 良いニュースは、標的が有効だからこそ狙われたということ

  • 「ロシアと連携した脅威」…ではアメリカなのか？

  • 設定メニューで予期しないリンク済みデバイスを確認できる