イントロダクション
ここ数ヶ月、税金を題材にしたフィッシング詐欺やマルウェア攻撃が急増しており、特に所得税申告（ITR）の申告時期とその後に顕著になっています。還付期限に関する議論が続いているため、こうした詐欺はより信憑性が高く、攻撃者にとって説得力のある餌を作成する絶好の機会となっています。
最近、インド所得税局（ITD）を装ったメールを分析しました。一見すると、このメッセージは公式の「税務コンプライアンス審査通知」に似ていました。しかし、詳しく調査した結果、このメールはインド企業を標的とした、より大規模なフィッシング攻撃キャンペーンの一部であることが判明しました。このキャンペーンは、永続的なリモートアクセス型トロイの木馬（RAT）や情報窃盗型マルウェアを展開する多段階の感染チェーンによって構成されていました。
このブログでは、電子メール、感染フロー、攻撃者の戦術、そしてこれらのルアーが今日の進化する脅威の状況にどのように当てはまるかについて詳細に説明します。
初期ベクトル
このキャンペーンにおける最初の攻撃ベクトルは、所得税局からの公式通信を装ったスピアフィッシング メールです。
送信者のメールアドレスを詳しく調べたところ、Outlook.comドメインからのものであることが判明しました。政府機関は通常、公式の連絡にパブリックウェブメールサービスを避けるため、これは異例のことです。このことが疑念を抱かせました。さらに、「税務コンプライアンス審査通知」という件名は、最近のITR（税務申告書）を題材としたフィッシングキャンペーンでよく見られる手口で、攻撃者は受信者にコンプライアンス要件を満たしていない、あるいは申告書が審査中であると信じ込ませようとします。
このメールが特に注目すべき点は、本文にテキストが全く含まれていないことです。その代わりに、本物のITD通知を模倣した画像が1枚埋め込まれています。
この戦術は、テキストベースのスパムフィルターやメール本文のキーワード検出を回避するのに役立ちます。画像には以下が含まれます。
- インド政府の紋章
- 財務省 — 所得税局” ヘッダー
- 偽の職務照会書（所得税調査部副部長）
- 製造された参照番号、DIN、日付
- 厳格なコンプライアンス期限
メールには「Review Annexure.pdf」という添付ファイルが含まれていました。これはフィッシングまたはマルウェア配信の次の段階として意図されたものと思われます。このテンプレートは、所得税局の正規の通知を忠実に再現しており、ソーシャルエンジニアリングのルアーとして、特に技術知識の乏しい受信者に対して効果を発揮します。
感染連鎖
下の図は、このキャンペーンで使用された感染シーケンスの全体像を示しています。所得税を題材にしたフィッシングメールから始まり、PDF形式のルアー、偽のコンプライアンスポータル、そして強制的なZIPダウンロードへと進みます。2段階構成のNSISインストーラーは、その後、多数のファイルを解凍し、Windowsサービスを介して永続性を展開し、複数のC2サーバーに接続する前にシステム情報を収集し始めます。この視覚的なフローは、一見無害なコンプライアンス通知が、最終的に疑わしいリモートアクセス機能へと繋がる様子を浮き彫りにしています。
添付ファイルの分析（レビュー付録.pdf）
添付されたPDFファイルを開くと、単なる税務通知よりもはるかに興味深い内容が明らかになった。正当なコンプライアンス情報が記載されているのではなく、「付録A」というラベルの付いたフォローアップ指示が含まれていたのだ。これは、先のメールの緊急性を強調する内容だった。
攻撃者は、2025年10月3日に審査通知が発行され、組織が「遵守できなかった」と主張する物語を作り上げました。これは典型的なソーシャルエンジニアリングの圧力戦術であり、事前に遵守していないという印象を与えることで緊急性を高め、受信者が即座に行動を起こす可能性を高めます。
添付のPDFファイルには、ユーザーを偽の「コンプライアンスポータル」にログインさせるための手順が段階的に記載されていました。これらの手順の中に、悪意のあるURL（hxxps://www.akjys.top/）が隠されていました。
偽のITDコンプライアンスポータルとマルウェア自動ダウンロードトリガー
PDFに埋め込まれたURL（hxxps://www.akjys.top/ ）をクリックすると、偽の所得税局コンプライアンスポータルに誘導されます。正規のログインページが表示される代わりに、サイトはすぐに「 Review Annexure.zip 」という名前のファイルのダウンロードを開始します。
この強制ダウンロードの手法は、近年のマルウェア配信チェーンでよく見られるもので、攻撃者は被害者がサイトにアクセスした直後にペイロードを配信することができます。最近では、.SVGファイルベースのマルウェアキャンペーンや、コロンビアのユーザーを標的としたAsyncRATマルウェアでも、この手法が用いられていることが確認されています。
このページが特に疑わしいのは、画面の中央に表示されるメッセージです。
「一部のコンピュータ RDR プログラムはこのクライアントと互換性がない可能性があります...」
セキュリティソフトウェアによる誤検知を避けるため、クライアントを使用する前にウイルス対策プログラムを無効にしてください。」
政府のポータルサイト、特に税務コンプライアンスや調査関連のポータルサイトが、ユーザーにウイルス対策ソフトを無効にするよう指示することは決してありません。脅威アクターは、自身のペイロードが一般的なエンドポイントセキュリティツールで検出されることが分かっている場合に、この戦術を用いることが多いのです。「互換性の問題」と見せかけることで、被害者の警戒を緩め、実行成功の可能性を高めようとします。
攻撃者は誤解を招くような保証まで付け加えた。
「所得税局クライアントを使用した後は、必ずウイルス対策保護を再度有効にしてください。」
この追加指示は、要求を通常のものに見せかけるための典型的なソーシャルエンジニアリング戦術です。実際には、未知のソフトウェアを実行する前にセキュリティ制御を無効にすることは、ランサムウェアを含むマルウェアファミリーが侵入を成功させるためによく利用する行為です。
ダウンロードした「Review Annexure.zip 」を解凍すると、「 setup_Ir5swQ3EpeuBpePEpew=.exe 」という名前の実行ファイル（サイズは約150MB）が含まれています。このファイルの分析については、次のセクションで説明します。
ステージ 1: ダウンロードしたファイル (setup_Ir5swQ3EpeuBpePEpew=.exe) の分析
このセットアップファイルはNSISでコンパイルされ、衡水深帷科技有限公司[ Hengshui Shenwei Technology Co., Ltd. ]によってデジタル署名されています。署名の詳細を追加することは、脅威アクターが検出を回避し、このファイルが正規のインストーラーであるとユーザーに誤解させるためによく使用される手法です。
このファイルを抽出すると、内部に複数のファイルが含まれていることがわかりました。
この NSIS インストーラーはサイレント ローダーとして実行され、ユーザーにインストール インターフェイスを表示せずにすべてを一時ディレクトリに解凍します。
署名されたラッパーや内部実行ファイルを含む複数のサポートコンポーネントをドロップします。
サポートバイナリとデータファイルをドロップし、解析された引数を使用して「 Sibuia.exe 」を実行します。
Sibuia.exe は、一時的な \0\ ディレクトリから子プロセスとして別の「setup_Ir5swQ3EpeuBpePEpew=.exe 」を生成し、実行を別の署名付きインストーラーペイロード、つまり「 setup_Ir5swQ3EpeuBpePEpew=.exe 」に引き渡します。
ペイロードが起動されると、スクリプトは直ちに自己クリーンアップを開始し、ドロップされたファイルとフォルダーを削除してディスク上の証拠を減らします。
したがって、偽の所得税コンプライアンス ポータルからダウンロードされたセットアップ ファイルは、次のステージのみを展開し、実際のペイロード インストーラーを渡してから、自身のフットプリントを消去します。
ステージ 2: 次のステージの分析 (setup_Ir5swQ3EpeuBpePEpew=.exe)
次の段階のインストーラーファイルもファイル名が「setup_Ir5swQ3EpeuBpePEpew=.exe」ですが、ファイルはステージ1のものと異なります。このファイルもサイズが約147MBと大きく、「Shandong Anzai Information Technology CO.,Ltd」の有効なデジタル署名が付いています。
このインストーラーは「客户端安装包 3.7.85.1000」という中国語のGUIベースのパッケージで、実行すると以下のインストールGUIが表示されます。
このパッケージは、「 C:\Program Files\Common Files\NSEC 」に大量のバイナリ、DLL、ドライバ、ツールなどを抽出します。このインストールディレクトリ内のすべてのファイルとフォルダは極秘扱いとなっており、システム属性によって保護されています。
カーネル ドライバー、Outlook アドイン、リモート デスクトップ コンポーネント、curl.exe、certutil.exe、および複数の Sysinternals ユーティリティを展開します。
これら一連のバイナリを総合すると、通常の生産性アプリケーションではなく、リモート アクセスやエンドポイント制御を可能にする完全な監視および制御パッケージが形成されます。
固執
2番目のインストーラーは、Windowsサービスを使用して永続性を実現します。buildin.cfgファイルにある構成エントリは、 32ビットシステムと64ビットシステムの両方でNSecRTS.exeをアクティブプロセスとして割り当てます。その後、実行ファイルは「 Windowsリアルタイム保護サービス」に関連するサービスに登録されます。
つまり、ファイル内の設定は単にコンポーネントを列挙するだけでなく、NSecRTS.exeをデフォルトでバックグラウンドで実行するようにシステムに指示し、永続的なサービスとして動作させるようにしているのです。
永続性が確立されると、NSecRTS.exeサービスが自動的に起動し、リモート管理のためにホストの準備を開始します。このために、サービスはインストールディレクトリ内に「 Data 」という名前のディレクトリを作成します。
- C:\Program Files (x86)\Common Files\NSEC\Data
このディレクトリは、OS バージョン、インストールされているアプリケーション、実行中のサービス、ハードウェアの詳細など、インプラントが被害者のマシンから収集した詳細情報を保存するコレクション ディレクトリとして機能します。
「.\Data 」ディレクトリは、リモート管理ツールや監視ツールでよく見られる構造化された形式に従います。
ユーザーがアクセスしたアプリケーションに関連して収集されたデータの例の1つは、以下の形式で表示されます。
データ収集後、TAはC2サーバへの接続を確立しようとします。C2サーバへの接続が確立されると、TAはC2パネルに被害者マシンをUIDで登録します。このUIDは、被害者マシンを一意に識別し、追跡するために使用されます。
接続に成功すると、TAは収集したデータを「POST」リクエストでアップロードし、さらに被害者のマシン上で他のファイルを実行または展開するためのコマンドを受信します。このC2/ネットワーク通信は、暗号鍵を共有することで暗号化された接続を維持することで保護されます。
NSecRTS.exe は、48991、48992、3898 などの複数の非標準ポートを使用して C2 サーバー (154[.]91[.]84[.]3) への接続を確立します。
また、代替 C2 として、 45[.]113[.]192[.]102:80 や 103[.]235[.]46[.]102:80 などの他の IP アドレスとのネットワーク接続を確立しようとします。
これらの IP は、悪意のあるファイルを含む他の多数のファイルによって通信されていることが判明しました。
インストーラーの分析中に観察された複数の技術的指標は、世界各地から調達されたものではなく、中国に関連した開発環境を示唆しています。インストーラーのエコシステム、簡体字中国語の広範な使用、そして中国に登録されたコード署名機関の存在は、ツールが中国のソフトウェアまたは脅威エコシステム内で開発、コンパイル、またはパッケージ化されたことを示唆しています。
インストーラーは単純なデータコレクターというよりも RAT のように動作し、永続性を維持し、システムの詳細とリモートコマンド機能を収集します。
結論
このキャンペーンは、高度に組織化されたソーシャル エンジニアリング戦術の例であり、インド所得税コンプライアンスに関する不正な通知を利用して被害者を誘い込み、多段階の感染チェーンを引き起こします。
配信されるインストーラは、単純なドキュメントの窃取ではなく、永続性を確立し、広範なシステム情報を収集し、リモートタスク実行を可能にするコマンド＆コントロールチャネルを維持します。その動作は、基本的な監視ユーティリティというよりも、フル機能のリモートアクセス型トロイの木馬（RAT）に近いものです。複数のテクニカル指標から、この攻撃の背後には中国に関連するビルド環境があることが示唆されます。
このおとりは単純なように見えるかもしれませんが、その根底にあるインフラストラクチャは、防御側にとって重要な注意喚起を強調するものではありません。金融をテーマにしたおなじみのフィッシング メールであっても、単なる認証情報の盗難をはるかに超えて、デバイスの完全な侵害にエスカレートする可能性があります。
IOCS:
ファイルハッシュ(MD5) –
4001854be1ae8e12b6dda124679a4077
F00F824FCAFBA9B26675AE8242F0B6A0
IP/ドメイン –
hxxps://www.akjys.top/
154 [。] 91 [。] 84 [。] 3
45 [。] 113 [。] 192 [。] 102
103 [。] 235 [。] 46 [。] 102
154[.]91[.]84[.]3[:]48991
154[.]91[.]84[.]3[:]48992
154[.]91[.]84[.]3[:]3898
QH/Seqrite 検出:
PUA.NSecsoftCiR
Trojan.AgentCiR
MITRE攻撃戦術、技術、手順（TTP） –
| 戦術（ATT&CK ID） | テクニック・サブテクニック(ID) | 手順 |
| 初期アクセス (TA0001) | フィッシング：スピアフィッシング添付ファイル（T1566.001） | 偽の所得税PDFが「Review Annexure.pdf」として配信される |
| 初期アクセス (TA0001) | フィッシング: スピアフィッシング リンク (T1566.002) | PDF はユーザーを偽の ITD ポータル URL に誘導し、マルウェア ZIP の自動ダウンロードをトリガーします。 |
| 実行(TA0002) | ユーザー実行（T1204） | 被害者は、抽出された実行可能ファイル「setup_Ir5swQ3EpeuBpePEpew=.exe」を手動で実行します。 |
| 実行(TA0002) | 署名付きバイナリプロキシ実行（T1218） | 正当なものに見えるようにデジタル署名された NSIS インストーラー。 |
| 防御回避(TA0005) | 信頼管理の破壊: コード署名 (T1553.002) | セキュリティチェックを回避するために使用される中国のコード署名付きペイロード。 |
| 防御回避(TA0005) | アーティファクトの削除 (T1070.004) | 第一段階のローダーは実行後にドロップされたファイルと一時フォルダーを削除します。 |
| 防御回避(TA0005) | 難読化/暗号化されたペイロード（T1027） | 隠しコンポーネントと保護されたディレクトリを使用したマルチステージ NSIS ラッピング。 |
| 永続性 (TA0003) | システムプロセスの作成/変更: Windows サービス (T1543.003) | NSecRTS.exe は永続的なバックグラウンド サービスとして登録されています。 |
| 永続性 (TA0003) | ブート/ログオン自動開始実行 (T1547.001) | サービスはユーザーの介入なしに起動時に自動的に実行されます。 |
| ディスカバリー (TA0007) | システム情報検出 (T1082) | OS バージョン、マシンの詳細、ハードウェア、サービスなど情報を収集します。 |
| ディスカバリー (TA0007) | ソフトウェア検出（T1518） | インストールされているアプリケーションの詳細を収集します。 |
| コマンド＆コントロール（TA0011） | Webプロトコル（T1071.001） | UID 登録を伴う HTTP/HTTPS を使用してネットワーク通信を維持します。 |
| コマンド＆コントロール（TA0011） | 非アプリケーション層プロトコル（T1095） | C2 は通信に複数の非標準ポート (48991/48992/3898 など) を使用します。 |
| コマンド＆コントロール（TA0011） | よく使用されるポート（T1043） | 追加の 2 つの C2 IP 上のポート 80 を介した代替フォールバック通信。 |
| 窃盗 (TA0010) | Web サービスを介した漏洩 (T1567.002) | 収集されたテレメトリは、HTTP POST 経由でプライマリ C2 にポストバックされます。 |
| 窃盗 (TA0010) | 定期転送（T1029） | 疑わしいプロセスがバックグラウンドで実行され続けるため、データが定期的にアップロードされます。 |
| リモートアクセス（TA0012） | リモート アクセス ツール (T1219) | NSecRTS.exe は、リモート コマンドの受信、タスク、および永続性を有効にします。 |
