通信会社を狙う中国系APT、新型マルウェアで4年潜伏

通信会社のサーバーが、4年間ずっと中国系の盗聴ツールに居座られていた。LinuxとWindowsで別のマルウェアを使い分け、VirusTotalで検出ゼロのまま運用されていたという。

通信会社を狙う4年越しのキャンペーンが浮上

中国系のサイバー諜報キャンペーンが、通信事業者を標的に少なくとも2022年中頃から続いていたことが明らかになった。LinuxとWindowsそれぞれに別のマルウェアを使い分ける構造で、Linux側は Showboat、Windows側は JFMBackdoor と名付けられている。

攻撃グループは「Calypso」、別名「Red Lamassu」として追跡されている。標的はアジア太平洋と中東の組織で、攻撃者は通信業界をテーマにした複数のドメインを用意し、ターゲット企業になりすます形でインフラを組み立てていた。

このキャンペーンの厄介な点は、潜伏期間の長さに対して検出がほぼゼロだったことだ。Showboatの検体がVirusTotalに上がった時点で、検出スコアは「0」だったと記録されている。

Linux側の本体「Showboat」が持つ機能

Linux環境で動く本体がShowboatで、内部ではプロセス名「kworker」を装って動作する。kworkerはLinuxカーネルのワーカースレッドを示す正規の名前で、プロセス一覧で見ても違和感が少ない。模倣の選び方が地味に上手い。

機能としては、感染ホストの情報収集と外部C2サーバーへの送信、ファイルのアップロードとダウンロード、自プロセスの隠蔽、新規サービスとしての永続化を備える。一通りそろっているが、目を引く新規性があるわけではない。

「特徴的なのは『hide』コマンドで、これは外部サイト（Pastebinやオンラインフォーラム等）に置かれたコード片を取得し、それを『デッドドロップ』として使うことで、ホスト上で自身を隠蔽する仕組みになっている」（Black Lotus Labs）

デッドドロップ（dead drop）は、もともとスパイ用語で、第三者の場所に情報を置いて受け渡しする手法を指す。攻撃者の指示を直接受け取らず、Pastebinのような一般のサイトに置かれたメモを読みに行く。マルウェアが堂々と攻撃インフラと通信するよりも、はるかに発見されにくい。

「SOCKS5プロキシ」で内部ネットワークを渡り歩く

Showboatの最も価値のある機能は、SOCKS5プロキシとポートフォワーディングの中継点として動くことだ。感染した1台を踏み台として、社内ネットの奥側にある別のマシンへ攻撃者がアクセスできるようになる。

インターネットに直接さらされておらず、LAN経由でしか到達できないマシンに対しても、攻撃者は介入できるようになる（Black Lotus Labs）

通信事業者のような大規模ネットワークでは、外向きに公開された機器は厳重に守られている一方、内部ネットワークの監視は手薄になりがちだ。Showboatの設計は、その温度差を突いている。

Windows側「JFMBackdoor」とDLLサイドローディング

Windows環境では、PwC Threat Intelligenceが分析した感染チェーンが動く。最初にバッチスクリプトが実行され、fltMC.exe と FLTLIB.dll の組み合わせでDLLサイドローディングが仕掛けられ、最終的に JFMBackdoor が読み込まれる。

DLLサイドローディングは、正規のWindows実行ファイル（ここでは fltMC.exe）が同じフォルダ内のDLLを優先的に読み込む挙動を逆手に取り、悪意のあるDLLを正規プロセスの一部として動かす手法だ。ウイルス対策ソフトから見れば、署名された正規プロセスが動いているだけに見える。

JFMBackdoorはリバースシェル、ファイル管理、TCPプロキシ、プロセス・サービスの操作、レジストリの改変、スクリーンショット取得、暗号化された設定の管理、自己削除と痕跡消去まで揃った、典型的なフル機能のスパイ実装だ。

中国系APT間で回し打ちされる「共有ツール」

報告書が指摘するのは、Showboatが特定の1グループ専用ではない可能性が高いという点だ。C2ノードのIPアドレスは中国・成都に紐づき、複数の中国系活動クラスターでこのツールが使い回されている兆候が確認されている。

Showboatは、PlugX、ShadowPad、NosyDoorと同じ系列に置かれる。いずれも複数の中国系グループが共有するツール群で、いわゆる「デジタル兵站役」が必要に応じて配給する構図が長く指摘されてきた。

ある活動クラスターは米国とウクライナ東部のIPアドレスに不規則に接続し、別のクラスターはアフガニスタンのISPとアゼルバイジャンの組織を狙っていた。PwCが追ったCalypsoの活動はアフガニスタンの通信会社が標的だったとされる。

「見つからなかった」ことの意味

Showboatは技術的に見れば派手な新機能を持つわけではない。それでも4年間気づかれずに動き続けていた。地味な道具で長く成果を出す、というのが中国系国家支援アクターの典型的なスタイルでもある。

研究の起点は2025年5月にVirusTotalへアップロードされたELFバイナリだった。スキャン基盤側がこれをルートキット並みの能力を持つLinuxバックドアと分類したことが、調査の入り口になった。カスペルスキー（Kaspersky）はこの検体をEvaRATとして追跡している。

一部の攻撃者はステルス性の高いネイティブツールを使って検出を回避する方向に向かっているが、別の攻撃者は今も粘り強くマルウェアを仕込み続ける。こうした脅威の存在は、より広範で深刻なセキュリティ問題が潜んでいる初期のサイン（Black Lotus Labs研究者）

通信事業者は、社会のあらゆる通信が物理的に通過する場所だ。そこに4年居座られていたという事実が示すのは、攻撃の派手さではなく、防御側の視界の薄さの方だろう。気づかれないこと、それ自体が成果として完結する諜報活動の輪郭が、また一つ可視化された。

参照元

• Lumen - Black Lotus Labs research
• PwC - Cyber Threat Intelligence

関連記事

• JDownloader公式サイト侵害、24時間マルウェア配布
• Claude偽サイトが開発者を標的に　新種バックドア「Beagle」を配布
• Arch LinuxのAURが400件超のマルウェア汚染。その手口と対処法
• AIが自ら考え、攻撃を変えるワームが実証された
• Defender、侵害PCの自動分離機能をテスト中
• Firefox 151.0.1がRaptor Lakeクラッシュを修正、調査開始から1年
• GitHubの内部コードが3,800件流出、入口は拡張機能1本だった
• DAEMON Tools侵害、開発元が「12時間対応」を強調
• DAEMON Tools公式インストーラー、1か月汚染が発覚
• Microsoft DefenderがDigiCertルート証明書をマルウェア誤検知、世界中のWindowsで警告