Adversary
Cozy Bear
発生地
ロシア連邦
Community Identifiers
APT29, YTTRIUM, CozyCar, CozyDuke, The Dukes, IRON HEMLOCK
Cozy Bearはロシア出身の敵対組織で、ロシア連邦対外情報部(SVRまたはCлу́жба вне́шней разве́дки Росси́йской Федера́ции、略称СВР РФ)のために行動している可能性が高いと考えられています。
しかし、Cozy Bearの活動が、SVRの内部で直接行われているのか、それとも情報機関をサポートする独立した組織(請負業者や学術機関など)の一部で行われているのかは、現時点ではわかっていません。
この敵対組織は、大規模なスピアフィッシング活動により様々なマルウェアを配信していることが確認されており、多数の分野の政治団体、科学団体、国家安全保障組織を標的とした活動の一環として、中程度の信頼度で評価されている複数のSVR作戦本部の永続的な収集要件を満たしていると思われます。このターゲットプロファイルには、シンクタンク、防衛関連企業、学術機関を含む政府、政治団体、非政府/非営利組織(NGO)が含まれます。地理的には全世界を対象としていますが、Cozy Bearは主に米国と西ヨーロッパをターゲットとして活動しているようです。Cozy Bearは、標的となる組織から機密データを盗む活動を行っている可能性が高いと判断されています。
Cozy Bearに起因するマルウェアファミリーはかなり多様化しており、資金力のある敵対組織のために別々の開発チームが作成した可能性が高いことを示唆しています。これらのツールは高度なものが多く、検出や調査を防ぐために暗号技術や反解析技術を駆使して実装されています。Cozy Bearが使用したマルウェアの開発は、伝統的なヒューミント諜報活動の影響を強く受けている可能性があり、ソーシャルメディアサイトを利用したデッドドロップC2やTorベースの配信メカニズム等の斬新な特徴を持っています。その後の活動では、敵対組織がフル機能を搭載したマルウェアファミリーに頼ることは少なくなり、代わりにオペレータ主導型の手動によるネットワーク侵害活動をサポートし、アクターへの帰属のリスクを低減するバックドア機能が採用されるようになりました。
Targeted Nations
オーストリア
ブラジル
中国
フランス
ドイツ
ハンガリー
日本
メキシコ
オランダ
ニュージーランド
ノルウェー
ポルトガル
韓国
スペイン
トルコ
ウクライナ
英国
米国
ウズベキスタン
Artwork

Crowdstrike Cozy Bear
I have read and accept the terms and conditions