UNC2814とは
UNC2814は、少なくとも2017年以降継続的に活動が確認されているサイバー・スパイグループです。このグループは、主に通信業界および政府機関を標的とし、通信インテリジェンスや個人識別情報（PII）などの戦略的価値の高いデータの収集を目的としています。これまでに42ヵ国で侵入が確認されており、アフリカ、アジア、アメリカを中心に、70ヵ国以上が標的となった可能性が指摘されています。
UNC2814は、インターネットに公開されたウェブサーバーやエッジシステムの脆弱性を悪用することで初期アクセスを確立します。侵入後は、特権を持つサービスアカウントを利用し、SSHを通じてネットワーク内を横方向へ移動します。
その後、攻撃者は「GRIDTIDE」と呼ばれるバックドアを展開します。このマルウェアにより、シェルコマンドの実行やファイル転送が可能となり、侵害環境を継続的に操作できるようになります。特筆すべき点として、C2通信にGoogle Sheetsを利用している点が挙げられます。通常のクラウドAPI通信に紛れ込ませることで、悪意ある通信を目立たなくし、検知を回避しています。
攻撃者は、正規ツールを悪用する「LOLBins（Living-off-the-Land Binaries）」を活用し、偵察、権限昇格、持続性の確保を行います。バックドアは「nohup ./xapt」というコマンドにより起動され、セッションが切断された後もバックグラウンドで動作し続けます。
さらに、「xapt.service」というカスタムのsystemdユニットを作成し、 /usr/sbin/xapt に配置されたマルウェアが自動的に再起動されるよう設定されます。このユニットは、古いDebianユーティリティを装うことで、管理者の目を欺く工夫が施されています。
加えて、SoftEther VPNが導入され、攻撃者が管理するサーバーとの間に暗号化されたアウトバウンドトンネルを確立します。
GRIDTIDEは、Google Sheets上のセルを利用した独自のポーリング型通信を行います。
- セルA1：攻撃者からのコマンドを格納し、その後ステータスメッセージで上書き
- セルA2以降：コマンド実行結果やファイルデータを格納
- セルV1：侵害ホストの識別情報を保存
また、通信データはすべてURLセーフなBase64形式でエンコードされ、「+」および「/」はそれぞれ「-」や別の文字に置き換えられることで、検知を一層困難にしています。
UNC2814は、低ノイズかつLOLBinsを多用する巧妙な戦術を採用しており、その高度な運用能力がうかがえます。このような脅威に対抗するには、シグネチャベースの検知だけでなく、振る舞いベースの監視や多層防御（Defense in Depth）の強化が不可欠です。
推奨される対策
- 自社環境における侵害指標（IoCs）を監視し、異常を特定する。
- OEMの推奨に従ってWindows環境を最新の状態にパッチ適用し、多要素認証で保護する。
- 包括的かつ全方位的な脅威アセスメントを実施し、盲点や改善点を洗い出す。
※本文中に記載されている会社名・製品名は各社の登録商標または商標の場合があります。
本稿は、KPMGインドが発行している「Threat Intelligence Advisories」を翻訳したものです。翻訳と英語原文に齟齬がある場合には、英語原文が優先するものとします。また、本文中の数値や引用は、英語原文の出典によるものであることをお断りします。
