目次：
- 導入：
- 主なターゲット:
- 感染チェーン:
- キャンペーンに関する初期調査結果:
- デコイとスピアフィッシングメールの分析：
- テクニカル分析：
- ステージ1：LNKファイルの解析。
- ステージ2：VBSの分析。
- ステージ3：DLLサイドローディング。
- インフラストラクチャのアーティファクトと脅威アクターの特定。
- 結論：ドラゴンホイッスル作戦？
- Seqrite 適用範囲：
- IOC：
- マイター攻撃&CK:
導入：
Seqrite Labsは世界中で標的型スピアフィッシング攻撃を積極的に監視しており、その過程で中国の教育機関を標的とした攻撃を特定しました。分析の結果、攻撃者は常州大学の学生と教職員を特に標的にしており、同大学が義務付けている2026年度全国学生体力健康基準（《国家学生体质健康标標準》）の試験サイクルに関連した、文脈に即した巧妙な誘い文句を利用していることが明らかになりました。
フィッシングメールには、以下の名前のZIPファイルが添付されています。
常州大学2026年《国家学生体质健康标準》测试通知最新终版.zip
（常州大学2026年「全国学生体力向上大会」）
および健康基準」検査通知 - 最終版
このキャンペーンが特に効果的なのは、そのソーシャルエンジニアリングの巧妙さにある。攻撃者はありきたりな誘い文句を使うのではなく、常州大学が毎年義務付けられている体力評価に不合格になると卒業資格に直接影響するという点を具体的に特定した。これにより、切迫感と服従の意識が生まれ、被害者が攻撃に関与する可能性が大幅に高まる。
主なターゲット:
- 教育部門 — 大学および高等教育機関
- 政府系学術機関 — 国家教育省の指示に基づいて運営されている機関
- スポーツ・体育学科 — フィットネス評価および運動プログラム管理者
- 学生人口 — 必須のコンプライアンス要件を満たす学部生
- 学術管理 — 大学の試験プログラムを管理する教員および学科コーディネーター
感染チェーン:
キャンペーンに関する初期調査結果:
スピアフィッシングメールを調査したところ、そのメールは大学の公式な事務連絡を装って作成されており、2026年に実施される必須の体力テストのスケジュールに直接関連する内容が含まれていました。本文の内容は、受信者が添付されたZIPファイルをダウンロードして実行するように仕向けるのに十分なほど巧妙に作られており、体力テストが卒業に不可欠なものであることを主な圧力手段として利用していました。
デコイとスピアフィッシングメールの分析：
Seqrite ラボによる最初の攻撃経路の調査では、送信者「牛牛（牛猫）」18115820617@163.comから送信されたスピアフィッシングメールが特定されました。この送信者はNetEaseの163.com無料メールサービスを利用しており、これは通常、未知の外部ドメインに適用される企業メールのセキュリティ審査を回避するために意図的に選択されたものです。
詳細に調査した結果、ここに囮が存在することが判明しました。
悪意のある ZIP を実行すると、脅威アクターは、正規に見えるおとりドキュメントを被害者に提示します。これは、公式の常州大学 2026 年全国学生体力および健康基準テスト通知 (常州大学 2026 年《国家学生体质健康标準》测试通知) の完全に忠実なレプリカです。
プラットフォーム固有の参照情報、QQグループでの連携、そして3段階の病院文書作成要件が含まれていることから、攻撃者が中国の大学運営文化に精通していることがうかがえる。このレベルの組織的詳細への言及は、表面的な模倣にとどまらず、内部情報に基づく知識、あるいは標的環境に関する広範なオープンソース情報収集を反映している。
実在の職員名、直通電話番号、アクティブなQQグループID、そして公式の機関印が加えられていることは、このキャンペーンで観察されたソーシャルエンジニアリングの巧妙さの最高レベルを示している。受信者がこれらの詳細を照合すれば、大学の公開チャネルを通じて検証できるため、疑念はさらに払拭されるだろう。
テクニカル分析：
電子メールから「常州大学2026年《国家学生体质健康标準》测试通知最终版.zip」という名前の ZIP ファイルをダウンロードすると、次のファイルが含まれます。
本来のPDF文書を装った、拡張子が二重のLNKファイル。アーカイブのルートディレクトリに配置されており、被害者が操作する最初で唯一のファイルです。このファイルをクリックすると、一連の実行プロセス全体がトリガーされます。
macOSのメタデータディレクトリの命名規則を模倣した、4階層のネストされたフォルダ構造。この構造の目的はただ一つ、実際のペイロードファイルを、自動アーカイブスキャンや手作業による簡易検査を回避するのに十分な深さに隠すことである。
ステージ1：LNKファイルの解析：
LNKファイルのコードを解析した結果、VBSファイルの次のレイヤーを実行するトリガーポイントが含まれていることが判明した。
これは、正規のexplorer.exeバイナリを悪用して、4階層下のフォルダに埋め込まれたVBScriptペイロードを実行します。これは、EDRソリューションによって一般的に検出されるwscript.exeやcscript.exeを直接起動することを回避する、いわゆる「土地を有効活用する」（LOtL）手法です。
LNKファイルは、被害者とのやり取りの開始点であり、実行チェーン全体のトリガーとなる。PDFアイコンが表示され、ファイル名も.pdfとなっているが、そのプロパティを詳しく調べると、完全な欺瞞が明らかになる。
ステージ2：VBSの分析：
VBScriptファイルは、実行チェーンの中心的なオーケストレーターとして機能します。わずか1KBという軽量ながら、欺瞞と悪意のある実行の両方を同時に調整する役割を担っています。
LNKファイルの実行後、「chromedo.vbs」という名前のVBSファイルが起動され、そのファイルには以下のコードが含まれています。
実行時に、おとりとなるPDFファイルと悪意のあるBandizip実行ファイルの両方への絶対パスを動的に構築します。これにより、異なるシステムや抽出場所で失敗する可能性のあるハードコードされたパスを回避します。
また、偽のPDFファイルを即座に開くことで、被害者は正規の大学の文書のように見えるその文書に気を取られ、その間に悪意のあるプログラムが並行して実行されます。
2つのトラック間に800ミリ秒の休止時間を設けることで、Bandizipが起動する前にPDFが画面に表示されることを確実にし、被害者に気づかれる可能性のあるコンソールの点滅やタイミングの異常を防ぎます。
fso.FileExists(bandizipPath) の場合
shellApp.ShellExecute bandizipPath, “”, “”, “open”, 1
終了する場合
ウィンドウもプロンプトもユーザー操作もなしにBandizip.exeを静かに実行します。「open」動詞とウィンドウスタイル1の組み合わせにより、プロセスはバックグラウンドで実行され、被害者には見えません。
ステージ3：DLLサイドローディング：
VBScriptが次の段階のバイナリを実行した後、感染チェーンは、悪意のある活動を正当なアプリケーションの動作に紛れ込ませるように設計された、ステルス指向のDLLサイドローディング段階に移行した。
スクリプトがリリースされました Bandizip.exe 隠しディレクトリから。特に、悪意のあるコンポーネントは、可視性を下げ、実行中にユーザーの注意を引かないようにするため、同じ隠しフォルダ構造内に格納されていました。このディレクトリ内に、攻撃者は次のような悪意のあるDLLを配置しました。 ark.x64.dll 正規の実行ファイルと並行して。
実行後、 Bandizip.exe 標準的な Windows DLL 検索順序に従い、攻撃者が制御する ark.x64.dll 信頼できるシステムパスを確認する前にローカルディレクトリから取得するため、悪意のあるDLLが正当なプロセスコンテキストでメモリにロードされてしまう。
DLLを解析した結果、エクスポートされた関数は CreateArk タイミングベースのチェックを含む、複数のアンチデバッグ技術が実装されていることが確認された。 GetTickCount 実行遅延を測定するために リモートデバッガーの存在を確認する, デバッガが存在するかどうかさらに、リバースエンジニアリングや動的解析を妨害することを目的とした、デバッガーや解析回避のための追加的なチェック機能も備えている。
その CreateArk export は、最初に、メモリ領域を使用して実行時にターゲット プロセス名を解決します。 VirtualAlloc独自の復号ループと組み合わせることで、プロセス名、API参照、分析関連の指標などの機密文字列がバイナリ内に平文で出現するのを防ぎ、静的解析やシグネチャベースの検出を困難にします。復号後、マルウェアはデバッグ、監視、ネットワーク分析ツールに関連付けられたターゲットプロセス名のリストを作成しました。
分析環境を特定するために、このDLLはCreateToolhelp32Snapshot、Process32First、Process32NextなどのWindows APIを使用して実行中のプロセスを列挙します。マルウェアはアクティブなプロセスをループで繰り返し処理し、各プロセス名を内部で再構築されたブラックリストと比較します。標的となるエントリには、wireshark.exe、procmon.exe、tcpview.exe、dumpcap.exe、fiddler.exe、charles.exeなどのツール、およびその他のリバースエンジニアリングおよび監視ユーティリティが含まれます。
一致するプロセスが検出された場合、マルウェアは実行を解析対策ルーチンに切り替え、監視環境や研究者が管理する環境内での実行を回避するために実行を終了します。この動作は、デバッグ対策およびサンドボックス回避メカニズムとして機能し、動的解析や動作観察が成功する可能性を低減します。
SFXベースのペイロード展開とビーコン実行：
環境検証ルーチンが完了すると、マルウェアは段階的なペイロード実行フェーズに移行しました。正規の実行ファイルと同じ場所に配置されたSFXモジュールは、デバッグインターフェース、サンドボックスアーティファクト、エンドポイント監視プロセスがアクティブでないことが正常に検証された後にのみメモリにロードされました。
DLLは、実行時に難読化されたSFXペイロードの復号化を実行します。復号化後、ペイロードはプロセスメモリに動的にロードされ、ディスクへの永続化なしに直接実行されます。このメモリ内ローダー段階により、後続のペイロードチェーンの主要な実行コンテキストが確立されます。
実行時、展開されたSFXコンポーネントは、AMSI（Antimalware Scan Interface）やETW（Event Tracing for Windows）などのWindowsセキュリティメカニズムと相互作用することで、回避技術を使用します。ランタイムスキャン、ログ記録、テレメトリ生成を妨害することで、マルウェアはウイルス対策ソフトやエンドポイント検出ソリューションの有効性を低下させ、実行時およびメモリ検査時の可視性を低下させます。
これらのセキュリティバイパスの後、SFXペイロードは最終段階のコンポーネントをメモリ上で完全に復号化し、最終的にコバルトストライクビーコンを明らかにしました。この段階的な復号化アプローチにより、ビーコンペイロードは初期の実行段階で隠蔽されたままとなり、静的検出やシグネチャベースの識別の可能性が大幅に低減されました。
復号後、Cobalt Strike Beaconは従来のディスクへの実行ファイル配置を必要とせず、直接メモリにロードされました。Beaconはユーザーエージェントの設定を初期化し、外部ネットワーク接続のためのコマンド＆コントロール（C2）通信を確立しようとしました。ペイロードを完全にメモリ内で実行することで、マルウェアはディスク上の痕跡を最小限に抑え、実行中のフォレンジック調査における可視性を低減しました。
インフラストラクチャのアーティファクトと脅威アクターの帰属。
このセクションでは、シンプルなアーティファクトを活用して追加のキャンペーンを発見した方法について説明します。ここで脅威アクターが使用したのは、Bandisoft社が開発した、広く利用されている韓国の正規アーカイブ管理アプリケーションであるBandizipです。単体で見れば、信頼できるクリーンなユーティリティですが、このキャンペーンでは、脅威アクターが意図的にLOtL（Living off the Land：自給自足）ツールとして悪用しています。これに基づいて、そのようなファイルが20個見つかりました。
この脅威アクターを追跡する際に使用したもう一つの証拠は、複数のLNKファイルに存在するマシンIDで、これは標的としたキャンペーン全体で共通していました。それに基づいて、類似点を持つ以下のファイルを特定しました。
これら類似のインプラントのビーコンに基づいて、これらのサンプルが、以下に示すように、杭州アリババ広告に登録されたAS 37963を持つ類似のコマンド＆コントロールサーバーに接続していることがわかりました。
Seqrite Labsは、Operation Dragon Whistleを脅威アクターUNG0002によるものと、中～高の確信度で特定しました。これは、以前に記録したOperation Cobalt WhisperキャンペーンとのTTP（戦術、技術、手順）の重複が著しいためです。
オペレーション・コバルト・ウィスパーでは、 Seqrite 研究所は、悪意のあるLNKファイルと難読化されたVBScriptを主要な配信メカニズムとして多用するキャンペーンを発見した。これは、今回のキャンペーンで確認された基本的なTTP（戦術、技術、手順）と全く同じである。両方の作戦における構造的な一貫性が、今回の犯人特定における重要な根拠となっている。
さらにC2: 60[.]205[.]186[.]162にピボットしている間、このIPが解決している以下のドメインが観察されました。
これは予想されていた通りで、攻撃者は中国の主要クラウドプロバイダーであるアリババクラウド上にC2インフラストラクチャをホストしており、UNG0002が以前から中国のクラウドインフラストラクチャを好んで利用していたことが確認されています。オペレーション・コバルト・ウィスパーでは、攻撃者はテンセントクラウド（AS45090）を利用していましたが、今回はアリババクラウド（AS37963）に移行しており、これはASNベースのブロックを回避するための意図的なインフラストラクチャのローテーションです。
60[.]205[.]186[.]162 (AS37963 — Alibaba Cloud) の lysander[.]asia に解決される C2 インフラストラクチャは、2026 年 04 月 06 日以降アクティブになっており、このレポートの日付 (2026 年 05 月 19 日) 時点でも稼働中です。
Feishu（飛書）MXレコードの存在は、重要な帰属シグナルとなる。FeishuはByteDanceの企業向けプラットフォームであり、主に中国国内で使用されている。中国以外の企業が運営するインフラでFeishuが見られることは稀である。
両方のネームサーバーは、アリババクラウドの子会社で、特に中国国内市場向けにサービスを提供しているHiChina（万网）に属している。HiChinaを通じたドメイン登録とDNS管理には、ほとんどの場合、中国国内での本人確認が必要となるため、この行為者の活動拠点が中国国内にしっかりと根付いていることがさらに裏付けられる。
時系列から判断すると、これは日和見的なインフラではなく、キャンペーンの作戦期間と完全に連動して、計画的に構築、検証、維持されたものであったことがわかる。
結論：ドラゴンホイッスル作戦？
「オペレーション・ドラゴンホイッスル」は、脅威アクターUNG0002が標的範囲を意図的に拡大していることを明らかにした。UNG002は、これまで記録されていた被害者だけでなく、中国本土の大学生にも標的を広げ、国家が義務付けている適性検査を、被害者の処刑を促すための高コンプライアンスの誘い文句として悪用している。
この名称は、キャンペーンの二つの特徴を反映している。ドラゴンは、中国本土の教育機関、中国の国家教育政策、中国語を話す被害者層といった、地理的・文化的に明確な標的設定を表している。ホイッスルは、キャンペーンの静かな運用性を表している。審判の笛のように注目を集める誘い文句を用いながら、マルウェアは音もなく実行され、永続化し、オペレーターに信号を送る。
組織の権威を物語るキャンペーン。決して騒ぎを起こさないメッセージ。
Seqrite 適用範囲：
- Trojan.LoaderCiR
- Trojan.CobaltStrikeCiR
- Lnk.Trojan.50718
- スクリプト.トロイの木馬.50719
IOC：
| ファイル名 | SHA256 |
| 常州大学2026年《国家学生体质健康标準》测试通知最终版.zip | e7aff6a55a7866776272d9913dfbf9d7db33fc9de6aced22f2a195feebb0e85f |
| 常州大学2026年《国家学生体质健康标準》测试通知.pdf | fe11b199ada23d5ac25efc4215e67f4ff617ccb4d429eb64412072687367ca1c |
| 常州大学2026年《国家学生体质健康标準》测试通知.pdf.lnk | cd99e83d241cfbb41bfcd0bc622a87d16268e710ca7d736d0c5f44774e0056e2 |
| メールアドレス | eb14d9e35a3bf0a933297f861bee0be9e6b9061fe4573a81ac92b71d55b6474f |
| Bandizip.exe | c937eca7c4c9b98df9257d986e666d25411aac5fa39d21f7018dd2e1663f0c76 |
| ark.x64.dll | 35a478f53f64bd412f374c65360fdba0518749537193669a8fe08d14bed65a2a |
| コバルトストライクビーコン | ed7087e3afba4b320bdf04f32d3a6c567effd3d18a97682968e567000e70b335 |
C2：
60 [。] 205 [。] 186 [。] 162
マイター攻撃&CK:
| 戦略 | 技名 | テクニックID |
| 初期アクセス | スピアフィッシング添付ファイル | T1566.001 |
| 実行 | ユーザーの実行：悪意のあるファイル | T1204.002 |
| コマンドおよびスクリプトインタープリター：Visual Basic | T1059.005 | |
| 共有モジュール | T1129 | |
| 防衛回避 | 仮装 | T1036 |
| 隠しファイルとディレクトリ | T1564.001 | |
| DLLサイドローディング | T1574.002 | |
| 難読化されたファイルまたは情報 | T1027 | |
| デバッガ回避 | T1622 | |
| 仮想化/サンドボックス回避 | T1497 | |
| リフレクションコードの読み込み | T1620 | |
| 土地で暮らす | T1218 | |
| ネイティブAPI | T1106 | |
| プーケットの魅力 | プロセスディスカバリー | T1057 |
| システムチェック | T1497.001 | |
| コマンドおよび制御 | アプリケーション層プロトコル：Webプロトコル | T1071.001 |
| 入力ツール転送 | T1105 | |
| 防衛回避 | 署名付きバイナリプロキシ実行 | T1218 |
| ネイティブAPI | T1106 | |
| 収集 | ローカルシステムからのデータ | T1005 |
著者：
- ディキシット・パンチャル
- カルティック・ジヴァニ
- ヴァイブハブ・クルシュナ・ビラデ
