C＆CのIP通知にMSの「TechNet」を悪用 - 「Deputy Dog」の攻撃グループ

今回のケースでは、コマンド＆コントロールサーバとマルウェアとの通信手段に「TechNet」を悪用。IPアドレスの情報をエンコードしてフォーラムのプロフィールページに掲載し、「BLACKCOFFEE」の亜種に対して、コマンド＆コントロールサーバのIPアドレスに関する情報を配信していた。

「BLACKCOFFEE」の亜種は、「@MICR0S0FT」と「C0RP0RATI0N」という2つのタグの間にあるエンコード済みIPアドレスの場所を検索。C＆Cサーバが発見されたり、テイクダウンされた場合に、エンコード済みIPアドレスを更新することで、あたらしいIPアドレスを共有していたという。

FireEyeは、別の攻撃グループがTwitterやFacebookといったソーシャルメディアをはじめ、正規のウェブサイトを攻撃に悪用するケースを確認しており、こうした攻撃は今後さらなる増加が予想されると指摘している。