インド納税者を狙うBlackmoonマルウェア：サイバースパイ活動の実態

インドの納税者を狙うBlackmoonマルウェア：進行中のサイバースパイ活動

サイバーセキュリティ企業eSentireの脅威対応ユニット（TRU）は、インドのユーザーを標的としたBlackmoonマルウェアによる進行中のサイバースパイ活動を発見した。このキャンペーンは、インド税務局（Income Tax Department of India）を装ったフィッシングメールを通じて、2026年1月現在も活動を続けており、ソーシャルエンジニアリングを駆使して被害者に悪意のあるペイロードをダウンロード・実行させている。

攻撃の技術的詳細

このキャンペーンの背後にいる脅威アクターは、多段階の感染チェーンを用いており、まずインドの税務当局を装ったフィッシングメールを送信する。これらのメールには、悪意のある添付ファイルやリンクが含まれており、クリックすると侵害されたアーカイブファイルがダウンロードされ、Blackmoonマルウェアの展開が開始される。

特定のCVE IDは公表されていないが、このマルウェアは以下の機能を持つ：

• 感染システム上での永続化の確立
• 機密データの窃取（例：財務記録、個人識別情報）
• 脅威アクターによるリモートアクセスの有効化
• 難読化技術による検出回避

このキャンペーンのインフラは、標的型サイバースパイ活動を示唆しており、データ窃取、監視、または金融詐欺を目的としている可能性が高い。

影響分析

税務関連のフィッシング誘導は、特にインドの確定申告シーズン中に成功率が高まる。攻撃が成功した場合、以下のリスクが生じる：

• 機密性の高い財務・個人データへの不正アクセス
• 被害者が仕事で使用するデバイスが感染した場合、企業や政府システムの侵害
• ネットワーク内でのさらなるマルウェア拡散
• 詐欺や恐喝による金銭的損失

スパイ活動を目的とした攻撃であることから、金融、政府、重要インフラなどの組織は、インシデント対応を優先すべきである。

防御策の推奨事項

セキュリティチームおよびインドのユーザーは、以下の対策を講じてリスクを軽減すべきである：

1. メールの真正性を確認

   • 送信者アドレスをクロスチェックし、不審な税務関連メールのリンクや添付ファイルは開かない。
   • 税務申告には公式政府ポータル（例：incometax.gov.in）を利用する。

2. エンドポイント保護の強化

   • Blackmoonのような多段階マルウェアを検出できる高度な脅威検知ソリューションを導入。
   • 振る舞い分析を有効化し、異常なプロセス実行を検出。

3. ユーザー啓発トレーニング

   • フィッシングシミュレーション訓練を実施し、税務関連の詐欺を見抜く教育を行う。
   • 添付ファイルを開く前や認証情報を入力する前に、確認手順を徹底。

4. ネットワーク監視

   • 不審なアウトバウンドトラフィック、特に既知のコマンド＆コントロール（C2）サーバーへの通信を監視。
   • 感染時の横方向移動を制限するため、ネットワークセグメンテーションを実施。

5. インシデント対応の準備

   • ランサムウェアやデータ消去攻撃からの復旧に備え、最新のバックアップを維持。
   • マルウェア感染時の封じ込めやフォレンジック分析を含む対応手順書を整備。

結論

このキャンペーンは、国家支援または金銭目的の脅威アクターが税務シーズンを悪用してサイバースパイ活動を行う継続的な脅威を浮き彫りにしている。インドの組織や個人は、警戒を怠らず、進化するフィッシングやマルウェアの手口に対抗するための積極的なセキュリティ対策を講じる必要がある。

詳細については、eSentire TRUのオリジナルレポートを参照。