露出したサーバー：公開された攻撃者の「操縦マニュアル」

CloudSEKは、ロシアとの関連が疑われる脅威アクターが所有するサーバー上に、公開ディレクトリを発見しました。このディレクトリは、攻撃者の活動のコマンドレベルの記録として機能しており、以下のものが含まれていました：

• CVEごとに整理されたエクスプロイトツール
• 国別に分類された標的一覧
• 「脆弱」「非脆弱」「到達不能」に仕分けされたスキャン出力
• 数十万の標的にわたる進捗状況を追跡するチェックポイント機能

実質的に、このサーバーは攻撃者の「操縦マニュアル」とキーストロークログであり、場所を知る者にとっては誰でも閲覧可能な状態でした。

悪用された脆弱性と標的セクター

このブローカーは、広くインターネットに公開されているエッジアプライアンスやWebアプリケーションを標的とした、少なくとも12種類の異なるCVEに対するエクスプロイトを準備していました。影響を受けるベンダーには、Fortinet、SonicWall、F5、Citrix、Sophos、SAP、Roundcube、vBulletin、Hikvisionなどが含まれます。

エクスプロイトコードのほとんどは公開された概念実証（PoC）コードでしたが、重要なFortinetおよびCitrixのエクスプロイトは、SSHキーの注入、VPNユーザーの作成、管理者バックドアのプロビジョニング、大量スキャンを自動化する、ロシア語のラッパーを備えたモジュール型フレームワークに改造されていました。さらに、攻撃者はnucleiテンプレートリポジトリのローカルコピーに加え、新たな脆弱性やC2パネル、ステーラーパネルを検出するための100以上のカスタムテンプレートも保持していました。

標的となったセクターは、教育、医療、金融、電気通信、政府機関など、北米、欧州を中心とする十数カ国に及びます。

完全なActive Directory掌握の証拠

攻撃者の侵入後の活動連鎖からは、完全なActive Directory（AD）の掌握を示す明確な証拠が明らかになりました：

• 水平展開：Neo-reGeorg WebシェルとSOCKSトンネルにより初期の内部アクセスを確立。Evil-WinRMを介したNTLMベースの水平展開により攻撃範囲を拡大。
• 認証情報の窃取：ドメインコントローラーからDPAPIバックアップキーを抽出。SAMおよびLSAシークレットをダンプし、ブラウザに保存された認証情報も収奪。
• krbtgtの侵害とゴールデンチケット：攻撃者はkrbtgtハッシュを抽出し、有効期間が10年に及ぶケルベロス認証チケットを偽造。これにより、パスワードのリセットやエンドポイントの修復とは無関係に、半永久的な再侵入が可能となった。
• 実世界のインシデントによる確認：米国の医療機関「Greater Pittsburgh Orthopaedic Associates（GPOA）」が、このディレクトリ内でドメイン侵害が確認された組織として記録されていた（管理者認証情報の収奪、ドメインコントローラーからのDPAPIバックアップキー抽出を確認）。その後、GPOAは2025年のインシデントに関連してランサムウェアグループ「RansomHouse」のリークサイトに掲載されました。このタイムラグは、典型的な犯罪アクセスブローカーがアクセスを販売してからランサムウェアグループが実行するまでの期間と一致しています。

ウクライナを標的とした情報収集手法

活動の後半になると、その行動は純粋な商業的アクセス仲介から逸脱し始めました：

• Sliver C2フレームワークの展開：攻撃者は、ウクライナの防衛・航空宇宙関連組織を標的に、Sliverコマンド＆コントロール（C2）フレームワークを展開。
• ソースコードの窃取：防衛関連プロジェクトに属する、露出したバージョン管理システムからソースリポジトリにアクセスし、窃取。
• IPカメラによる監視：攻撃者は、数万台に及ぶ露出したIPカメラから映像を収集し、露出したリモートデスクトップ（RDP）セッションのスクリーンショットを取得。これらの情報は、ウクライナ軍の資産位置を特定するための諜報価値が高い。
• 二次的な標的：収集された痕跡からは、米国、欧州、韓国も二次的な諜報標的として含まれていたことが確認されている。

CloudSEKは、この手口が、ロシア国家と連携したカメラ監視を用いてウクライナ軍の位置を特定するという、オランダ情報機関（AIVD/MIVD）の勧告内容と極めて類似していると指摘しています。

この二重のプロファイルがロシアの慣行と一致する理由

CloudSEKは、この攻撃者がロシア語を話す初期アクセスブローカーであり、ウクライナに焦点を当てた活動は、カメラ由来の諜報情報を含むアクセスを国家の顧客に販売する犯罪請負業者としての説明が最も適切であると、高い確度で評価しています。

これは、ロシアの諜報活動において十分に文書化されたパターンと一致します。すなわち、ロシア国家支援アクター（SVR、GRU、FSBなど）は、自ら初期侵害を実施するのではなく、犯罪エコシステムから初期ネットワークアクセスを定期的に調達しているというものです。犯罪ブローカーは、エッジアプライアンスのスキャンや悪用といった大量かつノイズの多い作業を担当し、国家の顧客は、初期侵害の際に国家管理下のインフラを露出させることなく、価値の高い標的（特に防衛、航空宇宙、政府機関）への事前配置済みのアクセスに対して対価を支払います。

商業標的に対してランサムウェアグループに利益目的で販売された同じアクセスが、ウクライナ軍標的に対する監視パイプラインとしても販売されていたのです。これは、同一の技術的能力が、ロシア国家にとって犯罪収入と戦略的諜報価値の両方を生み出す「二重利用モデル」を示しています。

露出したサーバー：公開された攻撃者の「操縦マニュアル」

CloudSEKは、ロシアとの関連が疑われる脅威アクターが所有するサーバー上に、公開ディレクトリを発見しました。このディレクトリは、攻撃者の活動のコマンドレベルの記録として機能しており、以下のものが含まれていました：

• CVEごとに整理されたエクスプロイトツール
• 国別に分類された標的一覧
• 「脆弱」「非脆弱」「到達不能」に仕分けされたスキャン出力
• 数十万の標的にわたる進捗状況を追跡するチェックポイント機能

実質的に、このサーバーは攻撃者の「操縦マニュアル」とキーストロークログであり、場所を知る者にとっては誰でも閲覧可能な状態でした。

悪用された脆弱性と標的セクター

このブローカーは、広くインターネットに公開されているエッジアプライアンスやWebアプリケーションを標的とした、少なくとも12種類の異なるCVEに対するエクスプロイトを準備していました。影響を受けるベンダーには、Fortinet、SonicWall、F5、Citrix、Sophos、SAP、Roundcube、vBulletin、Hikvisionなどが含まれます。

エクスプロイトコードのほとんどは公開された概念実証（PoC）コードでしたが、重要なFortinetおよびCitrixのエクスプロイトは、SSHキーの注入、VPNユーザーの作成、管理者バックドアのプロビジョニング、大量スキャンを自動化する、ロシア語のラッパーを備えたモジュール型フレームワークに改造されていました。さらに、攻撃者はnucleiテンプレートリポジトリのローカルコピーに加え、新たな脆弱性やC2パネル、ステーラーパネルを検出するための100以上のカスタムテンプレートも保持していました。

標的となったセクターは、教育、医療、金融、電気通信、政府機関など、北米、欧州を中心とする十数カ国に及びます。

完全なActive Directory掌握の証拠

攻撃者の侵入後の活動連鎖からは、完全なActive Directory（AD）の掌握を示す明確な証拠が明らかになりました：

• 水平展開：Neo-reGeorg WebシェルとSOCKSトンネルにより初期の内部アクセスを確立。Evil-WinRMを介したNTLMベースの水平展開により攻撃範囲を拡大。
• 認証情報の窃取：ドメインコントローラーからDPAPIバックアップキーを抽出。SAMおよびLSAシークレットをダンプし、ブラウザに保存された認証情報も収奪。
• krbtgtの侵害とゴールデンチケット：攻撃者はkrbtgtハッシュを抽出し、有効期間が10年に及ぶケルベロス認証チケットを偽造。これにより、パスワードのリセットやエンドポイントの修復とは無関係に、半永久的な再侵入が可能となった。
• 実世界のインシデントによる確認：米国の医療機関「Greater Pittsburgh Orthopaedic Associates（GPOA）」が、このディレクトリ内でドメイン侵害が確認された組織として記録されていた（管理者認証情報の収奪、ドメインコントローラーからのDPAPIバックアップキー抽出を確認）。その後、GPOAは2025年のインシデントに関連してランサムウェアグループ「RansomHouse」のリークサイトに掲載されました。このタイムラグは、典型的な犯罪アクセスブローカーがアクセスを販売してからランサムウェアグループが実行するまでの期間と一致しています。

ウクライナを標的とした情報収集手法

活動の後半になると、その行動は純粋な商業的アクセス仲介から逸脱し始めました：

• Sliver C2フレームワークの展開：攻撃者は、ウクライナの防衛・航空宇宙関連組織を標的に、Sliverコマンド＆コントロール（C2）フレームワークを展開。
• ソースコードの窃取：防衛関連プロジェクトに属する、露出したバージョン管理システムからソースリポジトリにアクセスし、窃取。
• IPカメラによる監視：攻撃者は、数万台に及ぶ露出したIPカメラから映像を収集し、露出したリモートデスクトップ（RDP）セッションのスクリーンショットを取得。これらの情報は、ウクライナ軍の資産位置を特定するための諜報価値が高い。
• 二次的な標的：収集された痕跡からは、米国、欧州、韓国も二次的な諜報標的として含まれていたことが確認されている。

CloudSEKは、この手口が、ロシア国家と連携したカメラ監視を用いてウクライナ軍の位置を特定するという、オランダ情報機関（AIVD/MIVD）の勧告内容と極めて類似していると指摘しています。

この二重のプロファイルがロシアの慣行と一致する理由

CloudSEKは、この攻撃者がロシア語を話す初期アクセスブローカーであり、ウクライナに焦点を当てた活動は、カメラ由来の諜報情報を含むアクセスを国家の顧客に販売する犯罪請負業者としての説明が最も適切であると、高い確度で評価しています。

これは、ロシアの諜報活動において十分に文書化されたパターンと一致します。すなわち、ロシア国家支援アクター（SVR、GRU、FSBなど）は、自ら初期侵害を実施するのではなく、犯罪エコシステムから初期ネットワークアクセスを定期的に調達しているというものです。犯罪ブローカーは、エッジアプライアンスのスキャンや悪用といった大量かつノイズの多い作業を担当し、国家の顧客は、初期侵害の際に国家管理下のインフラを露出させることなく、価値の高い標的（特に防衛、航空宇宙、政府機関）への事前配置済みのアクセスに対して対価を支払います。

商業標的に対してランサムウェアグループに利益目的で販売された同じアクセスが、ウクライナ軍標的に対する監視パイプラインとしても販売されていたのです。これは、同一の技術的能力が、ロシア国家にとって犯罪収入と戦略的諜報価値の両方を生み出す「二重利用モデル」を示しています。