ロシア関与の「APT28」、NATO加盟国の海軍造船所に侵入——メモリ上で動作する新ローダーを展開
要点
- ロシア政府との関連が指摘されるハッカー集団「APT28」が、NATO加盟国の海軍造船所や防衛関連企業に不正侵入した。
- 米シマンテックがこの活動を「Swallowtail」と命名して追跡し、常駐型SSHトンネルや特殊な認証情報窃取の手口を確認した。
- 実行時に暗号鍵を与えてメモリ上で復号・実行する、未文書化のリフレクティブローダー「ld.exe」が配備されていた。
- ウクライナのCERT-UAも、ロシア系ハッカーによるスマートフォンの標的化やiOS悪用ツールの利用拡大を報告している。
リード文
ロシア政府とのつながりが疑われるサイバー攻撃グループ「APT28」が、北大西洋条約機構（NATO）加盟国の海軍造船所など複数の重要組織に侵入していたことが明らかになった。米Broadcom傘下のセキュリティ企業シマンテックの脅威分析チームが2026年10月に詳細を公表した。侵入先では持続的な接続経路を確保するトンネルや、メモリ上で直接プログラムを展開する新たなローダーが確認されており、防衛分野の機密情報を狙った諜報活動とみられている。
防衛産業や治安機関を狙う攻撃活動「Swallowtail」
シマンテックによると、今回の攻撃はNATO加盟2カ国の組織を標的として行われていた。侵入が確認されたのは法執行機関、海軍造船所、軍用航空機エンジンメーカーであり、いずれも外国諜報機関にとって有用な情報を保持する組織とされる。
シマンテックはこの活動を「Swallowtail」と命名して追跡している。攻撃元のAPT28は、「BlueDelta」「Fancy Bear」「Forest Blizzard」などの別名でも知られるロシアの国家支援型脅威アクターである。
1週間にわたる手作業での侵入と認証情報の窃取
海軍造船所に対する2026年7月後半の攻撃では、攻撃者が侵害端末に約1週間にわたり繰り返しアクセスしていた。シマンテックは、自動処理ではなく攻撃者が直接端末を操作する「ハンズオンキーボード（手動操作）」による活動とみている。
攻撃者は2種類の手法で認証情報を窃取していた。1つは、端末へSSH秘密鍵を送り込んで外部サーバーへ即座にSSH接続させ、内部ネットワークへ侵入できる常駐型のSSHトンネル（外部から内部網へ経路を開く暗号化通信）を構築する手法である。もう1つは、ループバックアドレス上でリスナーを立ち上げるPowerShellスクリプトを実行し、自端末に認証を強制してNTLMハンドシェイク（Windowsの認証応答通信）を詐取する手法だった。
未文書化の反射型ローダー「ld.exe」を投入
攻撃者はSSH経由でcurlコマンドを実行し、「ld.exe」と呼ばれる未文書化のリフレクティブローダー（実行ファイルを保存せずメモリ上に直接展開するツール）を端末内に配置した。
ld.exeは、実行時に渡される暗号鍵を用いて暗号化されたペイロードをメモリ上で復号・実行する設計となっている。ペイロード自体の正体は現時点で判明していない。2026年9月24日にも同造船所内で関連スクリプトが確認された。実データ流出の有無は不明だが、シマンテックは、トンネル構築や新ローダーの投入など、従来報告されていた手法を超える高度な手口が使われたと指摘している。
バックドア「HOOKEDGE」の改良と通信手法の変化
侵入で使われたバックドア「HOOKEDGE」は、Recorded Futureが2026年8月に公表したマルウェアで、ルーマニアやスペインなどの政府・外交組織を狙った攻撃で確認されていた。過去に外交官攻撃に使われたインプラント「HEADLACE」と手口が酷似しており、スピアフィッシング（特定標的型メール攻撃）を介して配信される。
従来、HOOKEDGEは画面外で不可視にしたMicrosoft Edgeブラウザを起動し「webhook[.]site」経由でタスクを送受信していた。しかし7月の造船所攻撃では、webhook[.]siteの利用を取りやめ、専用IPアドレス（185.82.218[.]119:443）をタスク指示やデータ流出に直接使用する新亜種へと更新されていた。
ウクライナ方面におけるスマートフォンへの標的拡大
ロシア系アクターによる攻撃は、欧州の防衛組織にとどまらず対象を拡大している。ウクライナのコンピュータ緊急対応チーム（CERT-UA）が2026年9月下旬に公表した報告書によると、ロシアのハッカーはウクライナ軍関係者や政府職員のスマートフォンを狙った攻撃を強めているという。
通信手段としてのスマートフォンの重要性が高まったことで標的となっており、改ざんされた正規サイトを通じた水飲み場攻撃（標的が閲覧するサイトを改ざんして待つ手法）により、iOS向けエクスプロイトキット「DarkSword」が悪用されている。従来比較的安全とみなされていたiOS環境への攻撃は、ロシア系アクターの関心の高まりを示している。