• Blackberry の調査部門は、金銭目的の攻撃者を検出しました。この攻撃者は、高額資産を持つメキシコの銀行や暗号通貨取引所を標的としており、1 億ドル以上の窃取が見込まれています。
  • 攻撃者はラテンアメリカに拠点を置き、AllaKore RAT を使用して銀行や暗号通貨取引所の機密データを侵害します。

Blackberry の研究・情報部門は、以前はモバイル業界を席巻していたテクノロジー大手の Blackberry から、金銭目的の攻撃者を検出し警告を発しました。この攻撃者は、高額資産を持つ多数のメキシコの銀行や暗号通貨取引所を標的としていました。攻撃者は、脅威スキームで予測されているように、1 億ドル以上を窃取しようとしている可能性があります。

標的は誰か？

Blackberry の分析によると、標的化は業界に左右されず、攻撃者は主に大企業（その多くは年間売上高 1 億ドル超）に関心を持っていました。また、Blackberry は、小売、農業、製造、運輸、公共部門、商業サービス、資本財、銀行業界など、攻撃者に標的とされた企業を追跡しました。それぞれの餌（おとり）には、メキシコ社会保障研究所（IMSS）が管理する支払いメカニズムなど、信頼できるメキシコ政府のリソースが使用されました。

Blackberry は、AllaKore RAT と呼ばれるオープンソースのリモートアクセスツールが、銀行や暗号通貨取引会社からユーザーの機密データを盗み出すために使用されていることを発見しました。命名規則や正規のリンクの背後に隠れることで、この脅威は多くの場合、企業が管理するシステムやデータベースにプログラムをインストールすることで、従業員の不信感を回避します。

攻撃の大半は、Starlink Mexico が所有する IP アドレスに起因していました。Blackberry はまた、RAT の改変されたペイロードにスペイン語の指示が含まれていることから、この脅威アクターがラテンアメリカに拠点を置いていると結論付けました。

この脅威アクターは、少なくとも 2021 年末以降、メキシコの企業を標的としています。メキシコに焦点を当てた脅威アクターであるFIN13は、2021 年 12 月に米国のサイバーセキュリティ企業 Mandiant が発表した調査報告書で取り上げられました。調査によると、長期間にわたり単一の国のみを標的とした脅威アクターは 2 つだけであり、その中で 14 の組織が 1 年以上経過しても金銭目的であり続けています。この脅威アクターは、特定の地域に焦点を当て、その行動において持続性を示す点で際立っています。

あわせて読みたい：オーストラリアの州最高裁判所のデータベース侵害を受けて、サイバーセキュリティを強化する方法は？

AllaKore RAT とは？

AllaKore RATは、シンプルなオープンソースのリモートアクセスツールです。最初に確認されたのは 2015 年で、2023 年 5 月には、脅威グループ SideCopy が特定地域の企業への侵入に使用しました。AllaKore は非常に強力で、ファイルのダウンロードやアップロード、キーストロークの記録、画面キャプチャ、被害者のコンピューターの遠隔操作さえも可能です。

AllaKore RAT の最新バージョンのインストール手順はより複雑で、プログラムは Microsoft ソフトウェアのインストーラーファイルとして標的に送信されます。このマルウェアは、被害者がメキシコにいることを確認した後でのみ動作を開始します。

Blackberry のレポートでは次のように説明されています。「AllaKore RAT のペイロードは大幅に改変されており、脅威アクターが盗んだ銀行の認証情報や独自の認証情報を、金融詐欺目的でコマンド＆コントロール（C2）サーバーに送信できるようになっています。」

あわせて読みたい：スマートデバイスのサイバーセキュリティリスク：完全ガイド