B
今週中
ロシア政府支援の攻撃グループAPT28が、NATO加盟国の海軍造船所、法執行機関、軍用航空機エンジン製造社を標的に攻撃を行ったこと
📌 一言でいうと
ロシア政府支援の攻撃グループAPT28が、NATO加盟国の海軍造船所、法執行機関、軍用航空機エンジン製造社を標的に攻撃を行ったことが判明しました。攻撃者は「HOOKEDGE」と呼ばれるバックドアを使用し、フィッシングメールなどを通じて侵入後、SSHキーの窃取やNTLM認証情報の奪取を試みて内部ネットワークへのアクセスを維持しました。この活動は「Swallowtail」と名付けられており、外交官を狙った過去の攻撃手法と類似していることが分析されています。
🔍該当判定
- 防衛産業、軍事関連の製造業、または政府機関（法執行機関）との取引がある
- 社内でWindows PCを利用しており、外部から届いたWordファイルのマクロを有効にして実行した
- 社内PCでSSH（Secure Shell）を利用してサーバー管理や外部接続を行っている
- 社内PCでPowerShellなどのコマンドラインツールを制限なく利用できる設定になっている
上記いずれにも該当しない → 静観でOK
✅該当時の対応
標的型フィッシングメールへの警戒を強化し、不審なマクロ付き文書を開かないこと。特権アカウントの認証強化（MFA導入）およびSSH秘密鍵の厳格な管理を推奨します。
📧 メール案を見る (社員向け + 管理者向け)
⚠️ これは AI が生成した参考例です。配信前に必ず内容をご確認のうえ、貴社の状況に合わせて編集してご利用ください。実際の被害状況や自社の利用環境を踏まえた判断は、貴社のセキュリティ責任者にご確認ください。
件名: 【注意喚起】不審なメールや添付ファイルへの警戒について
お疲れさまです。情報システム担当です。
最近、政府機関や軍事関連組織を狙った巧妙な標的型メール攻撃が確認されています。
ご協力をお願いしたいこと:
1. 心当たりのない送信者からのメールにある添付ファイル（特にWord等の文書ファイル）を安易に開かないでください。
2. 文書を開いた際に「コンテンツの有効化」や「マクロの有効化」を求められた場合は、絶対に許可せず、すぐに情報システム担当へ報告してください。
対応期限: 本日中（確認および徹底をお願いします）
お疲れさまです。情報システム担当です。
最近、政府機関や軍事関連組織を狙った巧妙な標的型メール攻撃が確認されています。
ご協力をお願いしたいこと:
1. 心当たりのない送信者からのメールにある添付ファイル（特にWord等の文書ファイル）を安易に開かないでください。
2. 文書を開いた際に「コンテンツの有効化」や「マクロの有効化」を求められた場合は、絶対に許可せず、すぐに情報システム担当へ報告してください。
対応期限: 本日中（確認および徹底をお願いします）
Subject: [Security Alert] Caution Against Suspicious Emails and Attachments
Dear employees,
We have observed an increase in sophisticated targeted phishing attacks aiming at government and military-related organizations.
Requested Actions:
1. Do not open attachments (especially Word documents) from unknown or suspicious senders.
2. If a document asks you to "Enable Content" or "Enable Macros," do NOT do so. Please report it to the IT security team immediately.
Deadline: Immediate action required.
Dear employees,
We have observed an increase in sophisticated targeted phishing attacks aiming at government and military-related organizations.
Requested Actions:
1. Do not open attachments (especially Word documents) from unknown or suspicious senders.
2. If a document asks you to "Enable Content" or "Enable Macros," do NOT do so. Please report it to the IT security team immediately.
Deadline: Immediate action required.
件名: 【共有】APT28によるNATO加盟国標的攻撃（Swallowtail）について
お疲れさまです。APT28による新たなキャンペーンに関する情報共有です。
■ 概要
ロシアのAPT28が「HOOKEDGE」バックドアを用い、NATO加盟国の造船所等に侵入。SSH秘密鍵の窃取やNTLMリレー攻撃による認証情報奪取を行い、内部ネットワークへの横展開を試みています。
■ 影響範囲
- Windows環境（特にマクロ有効化されたOffice文書を起点とする侵入）
- SSH秘密鍵をローカルに保存している環境
■ 対応手順
1. 外部サービス（webhook.site等）や不審なIPアドレスへの通信ログを確認し、C2通信の有無を調査してください。
2. 端末内での不審なPowerShellスクリプト実行や、意図しないリスナーの起動がないか監視を強化してください。
3. SSH秘密鍵の管理状況を見直し、パスフレーズの設定や権限管理を徹底してください。
■ 参考情報
- Symantec Threat Hunter Team Report (Swallowtail)
対応優先度: 中
対応期限: 随時
お疲れさまです。APT28による新たなキャンペーンに関する情報共有です。
■ 概要
ロシアのAPT28が「HOOKEDGE」バックドアを用い、NATO加盟国の造船所等に侵入。SSH秘密鍵の窃取やNTLMリレー攻撃による認証情報奪取を行い、内部ネットワークへの横展開を試みています。
■ 影響範囲
- Windows環境（特にマクロ有効化されたOffice文書を起点とする侵入）
- SSH秘密鍵をローカルに保存している環境
■ 対応手順
1. 外部サービス（webhook.site等）や不審なIPアドレスへの通信ログを確認し、C2通信の有無を調査してください。
2. 端末内での不審なPowerShellスクリプト実行や、意図しないリスナーの起動がないか監視を強化してください。
3. SSH秘密鍵の管理状況を見直し、パスフレーズの設定や権限管理を徹底してください。
■ 参考情報
- Symantec Threat Hunter Team Report (Swallowtail)
対応優先度: 中
対応期限: 随時
Subject: [Threat Intel] APT28 Campaign Targeting NATO Members (Swallowtail)
Dear Security Team,
This is a technical update regarding the 'Swallowtail' campaign attributed to APT28.
■ Overview
APT28 has deployed the 'HOOKEDGE' backdoor to infiltrate naval shipyards and other strategic targets. The attackers maintain persistence by stealing SSH private keys and utilizing NTLM authentication interception via local loopback listeners.
■ Scope
- Windows environments susceptible to macro-enabled phishing.
- Systems storing SSH private keys locally without encryption.
■ Mitigation Steps
1. Monitor network logs for connections to suspicious IP addresses or webhook.site (though variants use dedicated IPs).
2. Audit PowerShell execution logs for unauthorized listener creation or credential harvesting scripts.
3. Enforce strict SSH key management and implement Multi-Factor Authentication (MFA) for internal lateral movement prevention.
■ Reference
- Symantec Threat Hunter Team Report
Priority: Medium
Deadline: Ongoing
Dear Security Team,
This is a technical update regarding the 'Swallowtail' campaign attributed to APT28.
■ Overview
APT28 has deployed the 'HOOKEDGE' backdoor to infiltrate naval shipyards and other strategic targets. The attackers maintain persistence by stealing SSH private keys and utilizing NTLM authentication interception via local loopback listeners.
■ Scope
- Windows environments susceptible to macro-enabled phishing.
- Systems storing SSH private keys locally without encryption.
■ Mitigation Steps
1. Monitor network logs for connections to suspicious IP addresses or webhook.site (though variants use dedicated IPs).
2. Audit PowerShell execution logs for unauthorized listener creation or credential harvesting scripts.
3. Enforce strict SSH key management and implement Multi-Factor Authentication (MFA) for internal lateral movement prevention.
■ Reference
- Symantec Threat Hunter Team Report
Priority: Medium
Deadline: Ongoing