Googleカレンダーを悪用してステルスC2通信を行う中国のマルウェア「タフ・プログレス」が発見される

こうしてターゲットのデバイスに侵入したマルウェアは、攻撃者が管理するGoogleカレンダーに特定の日付(2023年5月30日)のイベントを作成し、その説明欄に被害者のデバイスから情報を収集たデータを書き込みます。そして、マルウェアはカレンダーをポーリング(定期的にチェック)し、攻撃者があらかじめ作成しておいた日付(2023年7月30日と31日)のイベントから暗号化されたコマンドを取得して実行し、被害者のデータを攻撃者に送信すると同時に、新たなカレンダーイベントを作成します。

攻撃にGoogleカレンダーを使い、正規のクラウドサービス経由でC2攻撃を行うことで、マルウェアはターゲットのデバイスのストレージ一切触れることなく攻撃を実行できるため、被害者のデバイスのセキュリティシステムに感知されるリスクが最小限になります。これが、今回確認されたステルスC2攻撃の基本的な仕組みです。 侵害された政府系組織や被害者などの具体的な名称は伏せられていますが、Googleは当該組織に連絡してマルウェアの情報を提供し、感染の原因を正確に特定できるようにしました。また、今後の同様の攻撃に利用されるのを阻止するため、攻撃者が管理するWorkspaceプロジェクトを終了させ、APT41がこの攻撃に使っていたインフラを事実上解体しました。また、攻撃に使用されたドメインも、Googleセーフブラウジングのブロックリストに追加されています。

GoogleカレンダーがC2攻撃に悪用されたのはこれが初めてではなく、セキュリティ企業のVeracodeは2025年5月15日に、同様の戦術を採用したnpm攻撃について報告しています。

また、APT41は以前にもGoogleのサービスを攻撃に使っており、2023年4月に発見されたマルウェア「Voldemort(ヴォルデモート)」 とそれを使った攻撃では、GoogleスプレッドシートとGoogleドライブが悪用されました。