Attorのスパイ活動の対象は非常に限定されています。Attorの活動は、少なくとも2013年までさかのぼることができましたが、特定できた被害者は僅か数十人でしたが、マルウェア内のアーチファクトを分析することで、標的になった攻撃対象について詳細を把握できました。

たとえば、標的ユーザーの行動をレポートできるようにするため、Attorは実行されているプロセスを監視して、選択したアプリケーションのスクリーンショットを取得します。特定のアプリケーション（プロセス名またはウィンドウタイトルに特定の部分文字列が含まれるアプリケーション）のみが対象となります。

一般的なWebブラウザ、インスタントメッセージングアプリケーション、電子メールサービスなどの標準的なサービスに加えて、対象となったアプリケーションのリストには、ロシア語のいくつかのサービスが含まれています。表1に詳細を示します。

Attorのプラグインは、RSAで非対称暗号化され、DLLとして乗っ取られたコンピュータに配信されます。プラグインは、ディスパッチャに埋め込まれたRSA公開キーを使用して、メモリでのみ完全に復元されます。そのため、ディスパッチャにアクセスせずに、Attorのプラグインを取得して解読することは困難になっています。

ESETでは、複数のバージョンのAttorの8つのプラグインを復元できました。これらのプラグインを表2に示します。プラグインが連番になっており、Attorを操る攻撃者が攻撃対象のユーザーごとに異なるプラグインセットを使用していると仮定すると、まだ発見されていないさらに多くのプラグインがあると考えられます。

Attorの攻撃ツールの中でも最も興味深いプラグインは、接続されたモデム/電話デバイスと接続されたストレージドライブの両方、およびこれらのドライブに存在するファイルに関する情報を収集するものです。ファイル自体を収集するではなく、メタデータを収集していることから、デバイスフィンガープリンティングに使用されるプラグインであり、追加のデータを盗み出すための基盤として悪用されている可能性が高いと考えられます。

ストレージドライブをフィンガープリンティングするAttorの機能は標準的なものですが、GSMデバイスのフィンガープリンティング機能は独自です。

モデムまたは電話デバイスがCOMポートに接続されるたびに、デバイスモニターはATコマンドを使用して、関連するシリアルポートを介してデバイスと通信します。

ATコマンドは、Hayesコマンドセットとも呼ばれ、1980年代にモデムに対して電話を掛ける、電話を切る、または接続設定を変更するように命令するために最初に開発されました。その後、ATコマンドセットは、標準およびベンダー固有の追加機能をサポートするように拡張されました。

最近の論文で、ATコマンドがほぼすべての最新のスマートフォンで未だに使用されていることが発見されました。研究者は、セキュリティ対策のメカニズムを迂回し、USBインターフェイスを介してATコマンドを使用してスマートフォンと通信することを実証しています。SMSメッセージを送信したり、画面上でタッチ操作をエミュレートしたり、機密情報を外部に漏洩させるコマンドを含む、数千のコマンドが見つかり、テストされました。この研究は、古いATコマンドが悪用されると深刻なリスクをもたらすことを示しています。

しかし、Attorのプラグインに関しては、ATコマンドが使用されている理由しか推測できません。2019年にこのプラグインの64ビットバージョンを検出しましたが、それが未だに最新のAttorバージョン（2018年に最初に確認された）の一部であることを確認できます。一方、最新のスマートフォンを対象にしている可能性は低いと考えられます。このプラグインは、USBポートから接続されたデバイスを無視し、シリアルポートを介して接続されたデバイス（正確には、フレンドリ名が「COM*」に一致するデバイス）のみと通信します。

このプラグインが使用されている主な理由としてより説得力のある説明は、モデムと古い携帯電話をターゲットにしているということです。または、USB-シリアル変換アダプタを使用してCOMポートまたはUSBポートに接続されている特定のデバイス（攻撃の対象となった織が使用）と通信するために使用される場合があります。このシナリオでは、攻撃者が他のスパイ技術を使用して、標的の組織がこれらのデバイスを使用していることを確認している可能性があります。 いずれの場合であっても、このプラグインは、表3に示すATコマンドを使用して、接続されたデバイスから次の情報を取得します。

• 携帯電話またはGSM/GPRSモデムに関する基本情報：メーカー名、モデル番号、IMEI番号、およびソフトウェアバージョン
• 加入者に関する基本情報：MSISDNおよびIMSI番号