本サイトの記事や画像は、AIが公的資料や複数の報道を基に事実関係を整理・再構成し制作したものです。[続きを表示]特定の報道内容や表現を再利用・要約することを目的としたものではありません。ただし、誤りや不確定な情報が含まれる可能性がありますので、参考の一助としてご覧いただき、実際の判断は公的資料や各出典元の原文をご確認ください。[私たちの取り組み]
シスコのTalosとRecorded Futureは2026年10月14日付で、ロシアなどの政府・資源関連組織を狙ったサイバー諜報活動の共同研究を公表した。Talosは攻撃集団とカザフスタンの関連を「中程度の確信度」で評価している。ロイターによると、ロシアのオルスク製油所が標的となり、ニジニ・ノブゴロド市政府への侵入を示す証拠があると研究者が説明した。
資源分野への関心、帰属評価には留保
Talosが分析した2025年8月のサンプルには、トルクメニスタン国営石油会社とオルスク製油所の協力提案を装った文書が含まれていた。外交、経済、農業、環境関連組織への関心も確認され、研究者は地域の燃料供給に関する情報収集が目的の一つだった可能性を指摘している。
Talosは、ロシア語の痕跡、カザフスタンから検体が提出されたとみられる動き、同国の勤務時間帯に合う活動状況などを関連評価の根拠に挙げた。ただし、攻撃者の所在地やカザフスタン政府による指示・支援は確定していない。
ロイターは14日（米東部時間）の記事で、製油所、市政府、カザフスタン、ロシア、タジキスタン、ベラルーシ各政府からコメント要請への回答は得られず、攻撃集団にも接触できなかったと伝えた。
公開ディレクトリーとGitHubの履歴から配布手法を分析
Talosが調査した活動期間は2025年6月から2026年8月まで。Silent Lynxと重なるこの活動群を、TalosはUAT-6275、Recorded FutureはTAG-193として追跡している。公開状態だった配布用ディレクトリー3件とGitHubの履歴から、マルウェアの開発や感染端末に指令を送るサーバーの変更を把握した。
Talosは感染経路を、マクロ付き文書、実行形式のダウンローダー、GitHub経由のPowerShell、WinRARの脆弱性利用の4種類に分類した。回収した遠隔操作用プログラムには感染端末上で命令を実行する機能があり、常駐にはスケジュール済みタスクやWindowsのスタートアップフォルダーなどが使われていた。
2026年4月のサンプルでは、WinRARの脆弱性「CVE-2025-8088」を悪用してマルウェアを配布する手法を確認した。Talosが同活動群による脆弱性利用を観測した初の例となる。Linux対応ツールやFortiWebの脆弱性に関する公開実証コードも回収されたが、FortiWebへの攻撃で実際に利用されたことは確認されていない。
