イントロダクション
Seqrite 研究所は最近、政府機関の信頼性を悪用して感染成功率を高めるマルウェア配布キャンペーンを特定しました。攻撃者は正規の政府機関になりすまし、税金、払い戻し、コンプライアンス要件、規制事項に関する公式通知を装った悪意のある電子メールを配布しました。このキャンペーンは、認知度の高い政府機関のブランド、緊急性、金銭的インセンティブを利用することで、受信者に悪意のある添付ファイルを開いたり、埋め込まれたコンテンツを操作させたりするように仕向けていました。この活動は、マルウェアの配信と標的ユーザーの侵害を容易にする上で、政府機関を装ったソーシャルエンジニアリング手法が依然として有効であることを示しています。
感染チェーン:
キャンペーンに関する初期調査結果:
インドの企業や納税者を標的とした巧妙なフィッシングキャンペーンが、GST（物品サービス税）関連のテーマを利用してマルウェアを拡散していることが確認された。2026年7月6日にVirusTotalで初めて確認されたこのキャンペーンは、正規の政府機関からの連絡を装い、税金関連の誘い文句を使ってユーザーの関与を促している。攻撃者は、公式のGST通知に酷似した説得力のある文書やファイル名を使用しているため、受信者は悪意のあるコンテンツと正規の政府機関からの連絡を区別することが困難になっている。このキャンペーンの主な目的は、マルウェアの展開と機密情報の窃盗にあるとみられ、インドの金融・税務システムを標的とした、政府機関を装ったソーシャルエンジニアリング手法の悪用が依然として続いていることを示している。
最初のメール:
分析対象となったケースでは、攻撃者はインド政府のGST（物品サービス税）インフラを装ったフィッシングメールを配信しました。このメールはdonotreply.@gst.gov.inというアドレスから送信され、件名は「Refund Application GST RFD-01 filed vide ARN AL27052600952P」となっていました。このメッセージは、公式のGST還付通知のように見えるように作成されており、受信者に還付申請が処理されたか、または審査が必要であると信じ込ませようとしていました。信憑性を高めるため、メールには件名に含まれる申請参照番号（ARN）と同じ番号を参照する「GST-Refund_July-26_AL27052600952P.rar」という名前のアーカイブ添付ファイルが含まれていました。メール本文と添付ファイルで同じ識別子を使用することは、正当性を高め、疑念を軽減するために考案された一般的なソーシャルエンジニアリングの手法です。
図：メール
テクニカル分析：
解凍後、アーカイブにはGST還付関連の文書またはアプリケーションを装った実行ファイルが含まれていました。初期調査の結果、ペイロードは.NETベースの実行ファイルであることが判明し、Microsoft .NETフレームワークを使用して開発されたことが示されました。攻撃者は、開発が比較的容易で、悪意のある機能を迅速に展開でき、静的解析を困難にする難読化メカニズムが含まれていることが多いため、.NETバイナリを頻繁に利用します。この実行ファイルは、フィッシングキャンペーンを通じて配信される主要な悪意のあるペイロードとして機能し、添付ファイルとのユーザー操作が成功した後の攻撃チェーンの次の段階を表しています。
抽出された実行ファイルを分析した結果、Microsoft .NET Framework ベースのバイナリであることが判明しました。ネイティブの Windows ポータブル実行ファイル (PE) はマシンコードに直接コンパイルされますが、.NET アプリケーションは共通言語ランタイムによって実行される中間言語コードを含んでいます。
解析は、リソース内にビットマップ（AF）が埋め込まれた.NETバイナリから始まります。著者は、次の段階のペイロードを通常のDLLリソースとして格納するのではなく、ペイロードのバイト列をビットマップのピクセルのRGB値にエンコードすることで、それを画像内に隠蔽します。
アプリケーションが起動すると、ServiceChromatic() 関数が呼び出され、埋め込まれたビットマップが入力として渡されます。この関数には難読化のための不要なコードが大量に含まれていますが、実際の目的は単純明快です。ビットマップを列優先順に走査し、各ピクセルから赤、緑、青の値を読み取り、元のバイトストリームを再構築します。この関数は画像から最初の 64,000 バイトを抽出し、それらを byte[] として返します。
復元されたバイト配列はAssembly.Load()に直接渡され、隠された.NETアセンブリがディスクに書き込まれることなくメモリから完全にロードされます。このサンプルでは、抽出されたペイロードは次の段階のアセンブリであるWindows Health Optimizer Plus.dllであり、これはリフレクションを介して実行されます。
第2段階ローダーの分析：
第二段階ローダーであるWindows Health Optimizer Plus.dllの抽出とメモリへのロードが成功すると、マルウェアは v3.aq() メソッドを 3 つのパラメータ v3.aq(“73537457”, “6C6E6A”, “CapitalCities”) で呼び出します。最初の 2 つの引数は 16 進数でエンコードされた文字列です。16 進数から ASCII に変換すると、73537457 は “sStW” に、6C6E6A は“inj”になります。これらのデコードされた文字列は、第二段階アセンブリによってコマンドまたは操作の識別子として使用されます。これらの値は、マルウェアが次の段階に埋め込まれたビットマップ ペイロード (sStW) を処理し、インジェクション関連の操作 (inj) を実行するように指示していることを示しており、これらのパラメータが次の段階のペイロードの動作を制御する実行命令として機能していることを示唆しています。
ビットマップベースのペイロード抽出：
次に、ピクセルストレージを悪用して埋め込みデータを隠蔽するビットマップベースのペイロード抽出技術を採用します。画像を視覚コンテンツのみに使用するのではなく、個々のピクセルの生のARGB値を読み取り、抽出されたバイトストリームから隠されたバイナリペイロードを再構築します。ビットマップは隠蔽されたデータのキャリアとして効果的に機能し、ペイロードを本来正当な画像フォーマット内に隠したままにすることができます。
抽出されたペイロードは、カスタムのXORベースの復号ルーチンによって処理されます。このルーチンでは、指定された文字列パラメータがUTF-16ビッグエンディアンのバイト列に変換され、暗号化されたバッファから得られた追加値とともにXORキーとして使用されます。復号後、ペイロードはメモリ上で直接再構築され、perfgurd.dllが明らかになります。マルウェアは、DLLをディスクに書き込むことなくエンコードされた表現からロードするため、ファイルレス実行チェーンが可能になり、検出される可能性を低減します。
第三段階ローダー解析 – perfgurd.dll
以下のメソッドは、ロードされたアセンブリから特定のメソッドを、その名前を直接参照することなく呼び出す動的実行ラッパーとして機能します。まず変数 num を 29 に初期化しますが、プロセスが 64 ビット環境 (IntPtr.Size == 8) で実行されている場合は、値を 15 に変更します。この条件選択は、アセンブリに 32 ビット実行パスと 64 ビット実行パス用のメソッドが別々に含まれていることを示唆しています。
パラメータ object_0 は、ロードされた .NET アセンブリ オブジェクトである必要があります。このコードは、GetTypes() を使用してアセンブリ内のすべての型を取得し、インデックス 20 の型を選択してから、GetMethods() を使用してそのメソッドを取得します。システム アーキテクチャに応じて、その型からメソッド 29 またはメソッド 15 のいずれかを選択し、Invoke(null, null) を介してリフレクションを使用して呼び出します。
Invoke() の引数が両方とも null であるため、ターゲットとなるメソッドはパラメータを受け取らない静的メソッドであると想定されます。この手法により、マルウェアは実際のメソッド名と実行フローを静的解析ツールから隠蔽できます。実行は明示的な識別子ではなく、配列インデックスのみに基づいて行われるためです。実際には、この関数はディスパッチャとして機能し、マルウェアの次の段階に実行を転送します。選択されたメソッドには、主要な悪意のある機能またはペイロードの初期化ルーチンが含まれている可能性が高いです。
マルウェアは、攻撃対象システムのアーキテクチャに応じて、perfgurd.dll 内の PerfGuard.Networking.EfficientServer クラスの 2 つのメソッドのうちいずれか 1 つを呼び出します。32 ビットシステムでは、インデックス 29 のメソッド WaitForAdvancedController() が実行され、64 ビットシステムでは、インデックス 15 のメソッド WaitForGlobalAggregator() が呼び出されます。以下に示すように、マルウェアは実行時に明示的なメソッド名ではなくメソッドのインデックスを使用します。この手法は、実行フローを隠蔽し、静的解析を困難にする効果があります。
ローダーはまず、プロセスが管理者権限で実行されているかどうかを確認します。管理者権限でのアクセスができない場合、正規のWindowsユーティリティであるcmstp.exeを利用して、管理者権限でメインプロセスを起動します。この信頼できるシステムバイナリを悪用することで、マルウェアは通常の実行制限を回避し、管理者権限で実行を継続しようとします。
永続性を確立するために、マルウェアは、下の図に示すように、C:\Users\admin\AppData\Roaming に RVKLmPcYcNO.exe というファイル名で自身のコピーを作成します。次に、一時ディレクトリに PowerShell スクリプト (.ps1) を生成します。このスクリプトは、コピーされた実行ファイルを隠しモードで起動し、ユーザーからの視認性を低下させる役割を担います。ユーザーのログオン後に自動的に実行されるように、マルウェアは HKCU\Software\Microsoft\Windows\CurrentVersion\Run に PowerShell スクリプトを指す Run レジストリ エントリを作成します。その結果、ユーザーがログオンするたびに PowerShell スクリプトが実行され、コピーされたマルウェアの実行ファイルが起動され、システムの再起動後も永続性が維持されます。
第3段階のローダーは、自身のプロセスメモリ内で最終ペイロードを直接復号化して再構築します。復号化後、復元されたペイロードは既存のプロセスコンテキストからロードおよび実行されるため、別途実行可能プロセスを起動する必要がありません。このメモリ内実行技術は、ファイルシステムの痕跡を減らし、ペイロード実行のステルス性を向上させます。解析中に抽出された復号化ペイロードを以下に示します。
最終ペイロード 展開 – レムコス・ラット
最終段階の分析の結果、このマルウェアは最終的にRemcos RAT（リモートアクセス型トロイの木馬）を展開することが明らかになった。Remcosは市販のリモート管理ツールであり、攻撃者が侵害したシステムへの永続的なアクセスを確立するために悪用されることが多い。
この攻撃キャンペーンで確認された多段階ローダーアーキテクチャは、最終ペイロードを隠蔽し、検出を困難にするように設計されています。最初の実行ファイルであるWindows Health Optimizer Plus.dllとperfgurd.dllは、段階的なローダーとして機能し、Remcosを完全にメモリ上で復号、再構築、実行します。
いったん実行されると、Remcosは攻撃者に侵害されたホストに対する広範な制御権を与える。
Remcosの機能：
分析対象サンプルは、Remcos RATに一般的に関連付けられる機能を提供します。これには以下が含まれます。
- リモートコマンド実行。
- ファイルのアップロードとダウンロード。
- ファイルシステム管理。
- キーロギングとキーストローク監視。
- 認証情報の窃盗。
- システム偵察。
- プロセスおよびサービスの操作。
- レジストリの変更。
- 持続性の確立。
- スクリーンショットのキャプチャ。
- リモートデスクトップ機能。
- ユーザー活動の監視。
- システムおよびネットワーク情報の収集。
- 攻撃者が制御するコマンド＆コントロール（C2）インフラストラクチャとの通信。
- 追加ペイロードの配備。
これらの機能により、攻撃者は長期的なアクセスを維持し、被害者の活動を監視し、機密情報を盗み出し、侵害後のさらなる作戦を実行することが可能になります。
まとめ：
このキャンペーンは、GST（物品サービス税）をテーマにした高度なフィッシング攻撃であり、多段階の.NETマルウェアフレームワークを通じてRemcos RATを配信することを目的としています。攻撃は、インド政府のブランドと税金関連のテーマを利用した偽のGST還付通知から始まり、ユーザーの信頼を高め、悪意のある添付ファイルの実行を促します。
インフラストラクチャ分析により、aofmokighoig.hath.networkの下に複数のランダム化されたサブドメインが存在し、Remcos RAT コマンド＆コントロール活動に関連するインフラストラクチャに解決されていることが確認されました。hath.network や synology.meなどの動的 DNS サービスの使用、および M247 Europe SRL がホストするローテーションインフラストラクチャは、汎用マルウェアの運用と金銭目的のサイバー犯罪と一致しています。GST 還付フィッシングは、インドのユーザーと組織を意図的に標的にしていることをさらに示唆しています。入手可能な指標は、持続的なサイバー犯罪キャンペーンのクラスターへの帰属を裏付けていますが、現在の証拠は、この活動を公に追跡されている脅威アクターと確実に関連付けるには不十分です。観測されたインフラストラクチャ、マルウェアの特性、および標的設定に基づいて、このキャンペーンは、使い捨ての動的 DNS インフラストラクチャを利用する、インドに焦点を当てた Remcos オペレーターまたは初期アクセスブローカーによって運営されていると評価されます。
全体として、フィッシングによる初期アクセス、段階的な.NETローダー、ビットマップベースのペイロード隠蔽、ファイルレス実行、そして堅牢なコマンド＆コントロールインフラストラクチャの組み合わせは、セキュリティ制御を回避しつつ、被害者システムへの永続的かつ不正なアクセスを確立しようとする意図的な試みを示しています。この攻撃キャンペーンは、汎用マルウェア配信技術の継続的な進化を反映しており、認証情報の窃盗、リモートアクセス、そして侵害後の広範な活動を可能にする上で、階層化された感染チェーンがいかに効果的であるかを浮き彫りにしています。
Seqrite 適用範囲：
トロイの木馬エージェント
Trojan.AgentCiR
Trojan.LoaderCiR
Trojan.Mauvaise.SL1
IOC：
| 3757dccb2adae65ccdf8d5e5c948b927 | エム |
| 07d7d21c2c0920d198efb9ea54900a80 | GST-Refund_July-26_AL27052600952P.rar |
| 20476F3A51DFDDF3DC0603FC7858D894 | GST-Refund_July-26_AL27052600952P.com |
| 7842D12D9E37C75076133BE5B9904CB2 | Windows Health Optimizer Plus.dll |
| CC34D9760394104AD47877A0D57E9C63 | PerfGuard.dll |
| 2a34bdd25b404737ee5d3b52bf0b3b70 | RemcosRAT |
C2：
185.242.4.122
マイター攻撃&CK:
| 戦略 | マッピングされた技術 |
| 初期アクセス | T1566.001 |
| 実行 | T1204.002、T1059.001、T1129 |
| 固執 | T1547.001、T1036 |
| 権限昇格 | T1548.002 |
| 防衛回避 | T1027、T1027.013、T1140、T1218.003、T1620、T1055 |
| クレデンシャルアクセス | T1056.001、T1555 |
| プーケットの魅力 | T1082、T1016、T1057、T1083 |
| 収集 | T1113、T1005、T1039 |
| コマンドおよび制御 | T1071.001、T1105 |
| ラテラルムーブメント | T1021 |
| 影響 | T1489 |
著者：
ヴァイブハブ・ビラデ
ルマナ・シディキ
