概要

Kasperskyの調査チームは、中国語話者とみられる単一の攻撃者集団が2025年1月から、アフガニスタン、キルギス、タジキスタン、ウズベキスタン、カザフスタン、シリアなど中央アジア諸国の政府機関を標的に、長期にわたるサイバースパイ活動を展開していたと報告した。標的には外務省、法執行機関、医療機関、研究機関、物流企業、都市計画関連組織、教育機関などが含まれる。攻撃者は新種のバックドア「OctLurk」「SilkLurk」と、通信を中継するプロキシツール「LurkProxy」を組み合わせて使用し、機密情報の窃取や長期的な潜伏を図っていた。

マルウェアの技術的詳細

OctLurkは、“GoogleUpDate"という名前を偽装したスケジュールタスクやWindowsサービス経由でロードされ、メモリ上に直接ペイロードを注入する「リフレクティブ・インジェクション」を用いる点が特徴だ。復号にはC:ドライブのシリアル番号から導出したキーによる二重XOR処理を用いており、意図しない端末上では実行されないよう設計されている。エクスポート関数は名前だけでなく序数(オーディナル)でも呼び出せるようローダーに両方がハードコードされており、解析を困難にしている。コマンドシェル実行、ファイル操作、キーボード・マウスイベントの合成、スクリーンショット取得、クリップボードへのアクセスなど、プラグイン形式で機能を拡張できるアーキテクチャを備える。

一方のSilkLurkは、NVIDIAやRealtekの正規実行ファイルを悪用したDLLサイドローディングによって展開される。ローダーはホストプロセスを検証した上で、暗号化されたペイロードをハードコードされたディレクトリに配置し、永続化のためのサービスを確立する。復号にはコンピュータ名のハッシュ値を用いる被害端末固有の暗号化方式を採用しており、ペイロードのパスと内容の両方がこの手法で保護されているため、リバースエンジニアリングや自動検知を大きく妨げる。SilkLurkの設定情報は1,196バイトのハードコードされたデータとして埋め込まれており、4つのC2ホスト、ポート番号、プロキシ認証情報を含む。

LurkProxyはOctLurkと類似したアーキテクチャを持つものの、独自のバイナリプロトコルでSOCKS5リバースプロキシおよびトランスペアレント・リバースプロキシとして機能し、C2インフラを経由したネットワークトラフィックの中継に特化したツールとなっている。

侵入後の活動

侵入に成功した後、攻撃者はImpacketのsecretsdumpツールを用いてActive Directoryのパスワードハッシュを窃取するほか、ChromeやFirefoxに保存された認証情報の抽出、スケジュールタスクを利用したキーロギングを実施する。偵察活動では40以上のコマンド(PowerShellやWMI、レジストリクエリ、cmd.exeユーティリティなど)を駆使してシステム情報を収集し、アンチウイルスの稼働状況、Windows Defenderの除外設定、イベントログ、RDPセッション、ネットワーク構成などを調査する。データの持ち出しにはcurlコマンドでメールサーバーにアクセスするほか、WinRARや7-Zipで窃取した文書をアーカイブ化する手法が確認された。さらに、Fscanによるネットワークスキャン、Pandora FMSリモート制御エージェントの導入、そして横展開や持続的なアクセス確保のための第二段階ペイロードとして知られるPlugXバックドアの展開も確認されている。

攻撃主体とインフラの関連性

Kasperskyは、両バックドアが同一の中国語話者グループによって運用されているとみているが、この見立ては中程度の確信度にとどまり、既知の攻撃者集団への帰属には至っていないとしている。一方で、カザフスタン国家技術局(STS)が2025年3月から10月にかけて報告したLinuxシステムを標的とする「TrustFall」「MystRodX」キャンペーンとインフラの重複が確認されており、複数のOSを横断する連携した作戦である可能性が示唆されている。なお、このLinuxマルウェア(TrustFall/MystRodX)はCiscoによって「SilentRaid」としても報告されている。確認されたIOC(侵害指標)には、OctLurkのC2ドメイン(dns.multitoconference[.]com、confbase.mdpsupport[.]net)やIPアドレス(45.138.157.165)、LurkProxyのエンドポイント(154.196.162.76)などが含まれる。両バックドアともメモリ上での実行を主体とし、ディスク上に残す痕跡を最小限に抑える設計となっており、被害端末ごとに異なる暗号化キーを用いる手法と相まって、検知や解析の難易度を大きく引き上げている。