B
今週中
ロシア系脅威アクターUAC-0099が、ウクライナ政府職員を標的とした攻撃に新種の.NET製RAT「ASHVEIN」を使用していること
📌 一言でいうと
ロシア系脅威アクターUAC-0099が、ウクライナ政府職員を標的とした攻撃に新種の.NET製RAT「ASHVEIN」を使用していることが判明しました。このマルウェアは、認証情報の窃取、監視、リモート制御機能を備えており、C2コマンドを不可視のHTML要素内に隠蔽する特徴があります。配信手法にはDLLサイドローディングやVHDコンテナ、専用の.NETドロッパーなどが用いられています。
🔍該当判定
- ウクライナ政府機関や関連団体と業務上のやり取りがある
- 社内でGoogle ChromeまたはMozilla Firefoxを利用している
- 不審なメールに添付されたVHDファイル（仮想ディスク）やDLLファイルを不用意に開く運用がある
- GitHubを介して外部からプログラムや設定ファイルを自動的に取得する仕組みを導入している
上記いずれにも該当しない → 静観でOK
✅該当時の対応
不審なメールの添付ファイルやリンクを開かないこと。DLLサイドローディングを防ぐため、アプリケーションの実行権限を制限し、不審なDLLファイルの配置を監視すること。エンドポイントでの不審なPowerShell実行やネットワーク通信を監視すること。
📧 メール案を見る (管理者向け)
⚠️ これは AI が生成した参考例です。配信前に必ず内容をご確認のうえ、貴社の状況に合わせて編集してご利用ください。実際の被害状況や自社の利用環境を踏まえた判断は、貴社のセキュリティ責任者にご確認ください。
件名: 【共有】脅威アクター UAC-0099 による新種RAT「ASHVEIN」について
お疲れさまです。UAC-0099による標的型攻撃に関する情報共有です。
■ 概要
ロシア系アクターUAC-0099が、ウクライナ政府を標的に新種の.NET製RAT「ASHVEIN」を展開しています。本マルウェアは認証情報窃取やリモートシェル実行機能を持ち、C2通信のコマンドをHTML要素内に隠蔽する高度な手法を用いています。
■ 影響範囲
- ウクライナ政府機関（および同様の標的となる可能性のある組織）
- Windows環境（.NETベースのマルウェア）
■ 対応手順
1. DLLサイドローディングの検知ルールの整備（不審なパスからのDLL読み込み監視）
2. 不審なVHDファイルの実行およびマウントの監視
3. 不可視HTML要素を含む不審な通信パターンの分析とブロック
■ 参考情報
- TrendAI レポート
対応優先度: 中
対応期限: 継続的な監視
お疲れさまです。UAC-0099による標的型攻撃に関する情報共有です。
■ 概要
ロシア系アクターUAC-0099が、ウクライナ政府を標的に新種の.NET製RAT「ASHVEIN」を展開しています。本マルウェアは認証情報窃取やリモートシェル実行機能を持ち、C2通信のコマンドをHTML要素内に隠蔽する高度な手法を用いています。
■ 影響範囲
- ウクライナ政府機関（および同様の標的となる可能性のある組織）
- Windows環境（.NETベースのマルウェア）
■ 対応手順
1. DLLサイドローディングの検知ルールの整備（不審なパスからのDLL読み込み監視）
2. 不審なVHDファイルの実行およびマウントの監視
3. 不可視HTML要素を含む不審な通信パターンの分析とブロック
■ 参考情報
- TrendAI レポート
対応優先度: 中
対応期限: 継続的な監視
Subject: [Intel] New RAT "ASHVEIN" deployed by UAC-0099
Dear team,
We are sharing intelligence regarding a new campaign by the Russia-aligned actor UAC-0099.
■ Overview
UAC-0099 is utilizing a previously undocumented .NET RAT named ASHVEIN targeting Ukrainian government personnel. The malware features credential theft and remote control capabilities, with a unique method of hiding C2 tasking inside invisible HTML elements.
■ Scope
- Ukrainian government entities and related targets
- Windows environments (.NET based)
■ Recommended Actions
1. Enhance detection for DLL sideloading patterns.
2. Monitor for the execution and mounting of suspicious VHD containers.
3. Analyze and block network traffic exhibiting patterns of C2 commands hidden in HTML.
■ Reference
- TrendAI Report
Priority: Medium
Deadline: Ongoing monitoring
Dear team,
We are sharing intelligence regarding a new campaign by the Russia-aligned actor UAC-0099.
■ Overview
UAC-0099 is utilizing a previously undocumented .NET RAT named ASHVEIN targeting Ukrainian government personnel. The malware features credential theft and remote control capabilities, with a unique method of hiding C2 tasking inside invisible HTML elements.
■ Scope
- Ukrainian government entities and related targets
- Windows environments (.NET based)
■ Recommended Actions
1. Enhance detection for DLL sideloading patterns.
2. Monitor for the execution and mounting of suspicious VHD containers.
3. Analyze and block network traffic exhibiting patterns of C2 commands hidden in HTML.
■ Reference
- TrendAI Report
Priority: Medium
Deadline: Ongoing monitoring