オペレーション・ドラゴンリターン：中国と連携したサイバー諜報活動が、多段階のDcRAT展開を通じてインド政府/財務省の税務インフラを標的に

著者： ディクシット・パンチャル＆ソウメン・ビルマ

目次：

• 導入：
• 主なターゲット:
• 感染チェーン:
• キャンペーンに関する初期調査結果:
  • 最初のメール:
  • メール添付ファイル：
  • 誘惑：インド政府公式所得税書類：
• テクニカル分析：
• インフラストラクチャのアーティファクトと脅威アクターの特定。
• キャンペーンのタイムライン。
• まとめ：
• Seqrite 適用範囲：
• IOC：
• マイター攻撃&CK:

導入：

Seqrite Lab 脅威アクターとその活動を積極的に追跡・分析し、その所在特定、インフラ分析、攻撃者の手法に重点を置いています。これまでの調査で、地域および国際的な組織を標的とした、中国と連携する脅威グループによる多数の作戦を特定しました。

最新の調査の一環として、中国関連の脅威クラスターと運用面および技術面で類似点を示すキャンペーンを発見しました。さらに分析を進めた結果、RATベースのマルウェアを展開してアジア諸国に対するサイバー諜報活動を行うことで知られる、著名かつ非常に活発な脅威アクターと共通するTTP（戦術、技術、手順）が存在することが明らかになりました。

主なターゲット:

地理的焦点：インド（インド全土の納税者基盤）

• 企業・事業体
• 個人納税者。
• 税務専門家および公認会計士。
• 政府請負業者。
• 税務コンサルタントおよび申告代行業者。
• 企業財務・経理チーム。

感染チェーン:

キャンペーンに関する初期調査結果:

インドの納税者、税務専門家、および企業の財務チームを標的とした、高度で活発に維持されているフィッシングキャンペーンが確認されました。このキャンペーンは、インド政府財務省所得税局を装っています。2026年5月18日に初めて確認され、2026年6月17日現在も活動中です。最新のペイロードの亜種はVirusTotalで0/66の検出率を達成しており、攻撃者が検出を回避するために悪意のあるペイロードを積極的に維持およびローテーションしていることを示しています。

このキャンペーンは、2026～27年度の所得税申告シーズンを悪用し、正規の政府機関のユーティリティファイル名を複製することで、セキュリティ意識の高いユーザーでさえ、悪意のあるファイルと正規のファイルを区別することを極めて困難にしています。

このキャンペーンは、TTPに基づいたAPTスタイルの特徴を持つスピアフィッシングからマルウェア配信作戦に分類されます。 Seqrite 研究所の観察によると、これは日和見的な攻撃ではなく、おとり文書の精緻さ、実際の法律用語の使用、二言語コンテンツ、そして活発なペイロードのローテーションは、インドの納税者エコシステムのみを標的とした、計画的で、十分なリソースを投入した、継続的な脅威作戦であることを示している。主な目的は、金銭的利益または機密データの窃盗を目的としたマルウェアの展開であると評価され、脅威レベルは「重大」と判定される。

最初のメール:

インド政府所得税局を装ったメールが確認されました。このメールには、税務通知に関する添付ファイルが含まれていました。攻撃者はこの添付ファイルを利用して緊急性を煽り、受信者にファイルを開かせようとしており、悪意のある行為につながる可能性があります。

メール添付ファイル：

添付ファイルには埋め込みURLが含まれています。 govtop[.]one/所得税ユーザーがリンクをクリックすると、正規のウェブサイトに見せかけ、信頼感を抱かせるように設計されたウェブページにリダイレクトされます。この偽ページは、ユーザーにURLからファイルをダウンロードするように促し、悪意のあるコンテンツに晒す可能性があります。

誘惑：インド政府公式の所得税関連書類。

このページは、インド政府の紋章、本物の政府文書と同様のヒンディー語と英語の二言語表記、そして偽造された参照番号「TAX/PEN/2026-142」を付した公式の事務覚書を装っています。所得税法の、所得隠匿に対する罰則を規定する第271条(1)(c)項と脱税の訴追を規定する第276条C項という、法的にも重要な条項を引用することで、文書の信憑性を高めています。偽の署名者として、所得税副局長のラージ・クマール・シャルマ氏の名前と、偽造された公式メールアドレスが記載されています。

テクニカル分析：

ZIPファイルをダウンロードしたところ、「Common_Offline_Utility_ITR-1_to_4_AY2026-27.zip」というファイル名であることが確認されました。これは、インド所得税局が提供する正規のオフラインユーティリティの命名規則とほぼ一致しています。この公式ツールは、納税者や税務専門家が所得税申告書をオフラインで作成・提出し、その後電子申告ポータルにアップロードする際に一般的に使用されています。

攻撃者は、攻撃チェーンの一部として類似のファイル名を使用することで、この正規のユーティリティに関連付けられた信頼性を悪用したようです。公式の所得税局のリソースを模倣することで、攻撃者は受信者がファイルを本物と認識し、ダウンロードと実行に進む可能性を高め、悪意のあるペイロードの配信を容易にしています。

悪意のある実行ファイルは、実行されると複数の cmd.exe プロセスを生成し、Windows サービス制御 (sc.exe) ユーティリティを利用して MixedSvc という名前のサービスを作成します。このサービスは「C:\Program Files\Windows Media Player\Mixed Reality.exe」を実行するように構成され、システム起動時に自動的に開始するように設定されています。攻撃者は疑いを避けるため、このサービスに「Windows Mixed Reality Service」という表示名と、正規のサービスに見える説明を割り当てます。その後、サービスはすぐに開始され、マルウェアのペイロードの実行と永続性を確保します。この動作は、正規の Windows コンポーネントを装いながら、長期的なアクセスを確立しようとする試みを示しています。

初期分析、実行可能ファイル COU_ITR-1_to_4_AY2026-27.exe これは、付属のDLLからエクスポートされた関数 injection_initialize() と injection_terminate() をインポートして呼び出す軽量ランチャーのようです。 nvdaHelperRemote.dllWinMain() 関数には最小限のロジックが含まれており、最終的には標準 C ランタイム関数 fgetc_nolock() に解決されるルーチンを呼び出します。これは、EXE 自体には主要な機能が含まれていないことを示しています。

分析の結果 nvdaHelperRemote.dll メモリに別のペイロードが注入されていることが判明しました。VirtualAllocにブレークポイントを追加することで、別の注入されたペイロードを見つけることができました。

注入されたペイロードの分析

分析の結果、このルーチンはまず CheckTokenMembership() を使用して管理者権限で実行されているかどうかを確認していることがわかりました。管理者権限が利用できない場合は、ShellExecuteW() に「runas」動詞を指定して自身を再起動し、元のプロセスを終了する前に UAC プロンプトを表示します。その後、マルウェアは Global\ShitSetupOn26126k という名前のグローバルイベントを作成し、既存のインスタンスが検出された場合は終了することで、単一インスタンス実行を強制します。

初期化が成功すると、マルウェアはスレッド作成ラッパーを介して2つのワーカースレッドを生成し、sub_1800015A0()とsub_180001000()というルーチンを呼び出します。これらの関数が、主要な悪意のある活動を担っていると考えられます。最後に、プロセスはSleep(300000)を使用して約5分間アクティブな状態を維持し、ワーカースレッドが実行を継続できるようにします。

関数 sub_1800015A0() は、解析対策および環境検証ルーチンとして機能します。GetTickCount64() を使用した複数のタイミングチェックと短いスリープ間隔を実行することで、サンドボックスの高速化、デバッガの干渉、または API フックを検出します。このような手法は、マルウェアが自動解析環境を回避し、実際のホストシステムでのみ実行されるようにするためによく用いられます。

関数 sub_180001000() は、 マルウェアの主要なインストールおよび永続化コンポーネントまず、以前のアーティファクトを削除し、C:\Program Files\Windows Media Player の下に作業ディレクトリを作成することで環境を準備します。次に、マルウェアはハードコードされた IP アドレス 204.194.48.250 から lllyd.jpg という名前のファイルをダウンロードし、C:\Windows\background.jpg として保存します。分析によると、この画像ファイルはセカンダリ ペイロードのコンテナとして使用され、そこから 504 KB の DLL が抽出され、C:\Program Files\Windows Media Player\nvdaHelperRemote.dll に書き込まれます。

ペイロードを抽出した後、マルウェアはMixed Reality.exeとして自身をコピーし、システム起動時に自動的に開始するように設定されたMixedSvcという名前のWindowsサービスを作成することで永続性を確立します。このサービスは、その名前と説明によって正規のWindows Mixed Realityコンポーネントであるかのように偽装されています。永続性が正常に確立され、サービスが開始されると、インストーラーは現在のプロセスを終了します。この動作は、このサンプルがダウンローダーおよびインストーラーとして機能し、イメージベースのペイロード隠蔽とWindowsサービスの永続性を利用して、感染したシステムへの長期的なアクセスを維持していることを示しています。

2^nd ペイロード分析（Mixed Reality.exe）：

このマルウェアは、正規のWindowsコンポーネントを装うことで永続性を確立します。ダウンローダーは自身をC:\Program Files\Windows Media Player\Mixed Reality.exeにコピーし、リモートからダウンロードしたイメージファイルからセカンダリペイロードであるnvdaHelperRemote.dllを抽出します。システム再起動後に自動的に実行されるように、表示名がMixedSvcのWindowsサービスを作成します。 Windows Mixed Realityサービス信頼できそうな場所や命名規則を利用して、ユーザーの疑念を回避する

再度デバッグを行ったところ、注入されたペイロードを発見しました。

注入されたペイロードを分析した結果、以下のことが判明しました。

解析対象の関数は、まず単純な XOR 演算 (^ 0x18 と ^ 0x02) を使用して複数の文字列を逆引きして難読化します。これらの文字列は、LoadLibraryA() と GetProcAddress() を介して重要な Windows API を動的に解決するために使用されます。解決された API は、プロセスインジェクション時に一般的に利用されるネイティブのメモリ管理およびプロセス操作関数に対応しています。

マルウェアは、ディスクから埋め込みリソースまたはペイロードを開いて読み込み、メモリを割り当て、約166KBの復号化されたシェルコード/PEデータを新しく作成されたバッファにコピーします。元のバッファが解放される前に、抽出されたデータに対してカスタム復号化ルーチン（sub_180001000）が適用されます。ペイロードの準備後、マルウェアはCreateToolhelp32Snapshot()を使用して実行中のプロセスを列挙し、特にsvchost.exeを検索します。

マルウェアは、ターゲットとなるsvchost.exeプロセスを特定すると、完全なアクセス権限を持つハンドルを取得し、リモートプロセス内に実行可能メモリを割り当てます。復号化されたペイロードは、動的に解決されるメモリ書き込みAPIを使用して、割り当てられた領域に書き込まれます。その後、ターゲットプロセス内にリモートスレッドを作成することで、実行は注入されたコードに移されます。注入が成功すると、マルウェアは自身のプロセスを終了し、悪意のあるペイロードはsvchost.exeのコンテキストで実行される状態になります。

注入されたペイロードを分析した結果、マルウェアはまずWindows Media Playerディレクトリ内にnvdaHelperRemote.dllが存在するのを待機することが判明しました。これは、マルウェアの別の段階との同期を示しています。DLLが利用可能になると、マルウェアはC:\Windows\background.jpgを開いてデータを読み取ります。このファイルは正規の画像ファイルではなく、埋め込まれた悪意のあるペイロードのコンテナとして機能します。

ペイロードの準備が完了すると、マルウェアはWTSEnumerateSessionsW()を使用してターミナルサービス（WTS）セッションを継続的に列挙します。検出されたアクティブなユーザーセッションごとに、定義済みのマーカーファイルが存在するかどうかを確認します。これらのファイルが存在しない場合、マルウェアはsub_1400011E0()を呼び出し、おそらく復号化されたペイロードのいずれかを対応するユーザーセッションに起動または注入します。2つの異なるペイロードが展開されることから、バックドア、リモートアクセスモジュール、認証情報窃盗ツール、監視コンポーネントなど、異なる機能コンポーネントが存在することが示唆されます。

また、運用状況を把握するために、マルウェアは定期的にステータス値をC:\debug.txtという名前の隠しファイルに書き込みます。ファイルの内容はclient=という形式に従います。ここで、クライアント識別子はセッション、被害者、またはペイロードのインスタンスを表しているように見える。その後、偶発的な発見を避けるために、ファイルには隠し属性またはシステム属性が割り当てられる。

今回、マルウェアがbackground.jpgを読み取り、復号化して抽出することが判明しました。 ペイロードA（約1.13MB）

ペイロードB（約1.15MB）

ペイロードAの解析

ローダーの主な目的は、主要な実行ルーチンとして機能し、高度な .NETマルウェアローダーこのサンプルは、複数の解析対策チェックを実行し、Windows AMSIスキャンを無効化し、埋め込まれた.NETアセンブリを復号化し、CLRランタイムをロードし、復号化されたペイロードをメモリから直接実行します。

アンチアナリシスとAMSIバイパス

起動時に、このマルウェアはロックファイルを作成し、GetModuleHandleA()とGetSystemInfo()を広範囲​​にループ処理することで、実行を遅延させ、自動化されたサンドボックスを妨害します。次に、amsi.dllがロードされているかどうかを確認し、VirtualProtect()を使用してメモリ内のAmsiOpenSession()関数をパッチします。AMSI内の命令を上書きすることで、このマルウェアは後続の.NETコードのマルウェア対策スキャンを効果的に無効にし、悪意のあるアセンブリがWindows Defenderによる検査を受けずに実行できるようにします。

ペイロード復号化

このマルウェアは、埋め込みリソース (qword_1400C4020) から暗号化されたペイロードを取得し、Windows Cryptography API: Next Generation (CNG) を使用して復号化します。具体的には、 AES アルゴリズムプロバイダ（BCryptOpenAlgorithmProvider）は、ハードコードされた16バイトの鍵から対称鍵を作成し、BCryptDecrypt()を使用してペイロードを復号します。復号されたバッファには、後でメモリ上で実行されるマネージド.NETアセンブリが含まれています。

CLRの初期化とインメモリ実行

ペイロードを復号した後、マルウェアは CLRCreateInstance() を使用して .NET 共通言語ランタイム (CLR) を動的にロードします。そして、次のランタイムインターフェイスを取得します。 .NET フレームワーク v4.0.30319ランタイムがロード可能であることを確認し、CLR を起動して、デフォルトのアプリケーション ドメインを取得します。復号化されたアセンブリは SAFEARRAY にコピーされ、AppDomain::Load_3() を介してメモリに直接ロードされるため、ペイロードをディスクに書き込む必要がありません。次に、マルウェアは Assembly::get_EntryPoint() を使用してアセンブリのエントリ ポイントを取得し、MethodInfo::Invoke_3() を介して実行します。この手法により、悪意のある .NET ペイロードを完全にファイルレスで実行できます。

粘り強さと環境への備え

このサンプルでは、​​RegOpenKeyExA()、RegCreateKeyExA()、およびRegSetValueExA()を使用してレジストリ操作も実行し、構成または永続性に関連するレジストリ値の作成を示します。さらに、DPI認識API（SetProcessDpiAwarenessContext、SetProcessDpiAwareness、およびSetProcessDPIAware）を呼び出し、さまざまなWindowsディスプレイ環境で正しい動作を保証します。

ペイロードAの抽出された.netペイロードの分析

アンチ分析技術

これは一般的な解析対策手法です。マルウェアは、クラッシュしたり終了したりする代わりに、仮想マシンやサンドボックス内で実行されていると認識すると、永久にスリープ状態になります。

C2接続

マルウェアは SSL/TLSストリーム (System.Net.Security.SslStream) は既存の TCP ソケット上で使用され、C2 サーバーとの以降のすべての通信が暗号化されることを示します。リモート エンドポイントは、 223.26.63.40:2671実行時にアクティブなコマンド＆コントロール（C2）サーバーです。 「ikkkkddd.com」 メモリ内に存在することから、C2インフラストラクチャに関連付けられた構成済みのドメイン名またはホスト名であることが示唆されます。

TLS セッションが確立されると (ClientSocket.KKNV7m8G(4L))、マルウェアは通信を初期化し、システム情報を送信し (Sender.SendInfo())、C2 サーバーとの接続を維持するために定期的なキープアライブ タイマー (KeepAlivePacket) を開始する関数を呼び出します。

被害者登録および初期システム指紋採取

マルウェアは、コマンド＆コントロール（C2）サーバーとの暗号化されたTLS接続を正常に確立した後、侵害されたシステムをプロファイリングするための広範な偵察フェーズを実行します。IdSender.SendInfo()ルーチンは、被害者のハードウェア識別子（HWID）、ユーザー名、オペレーティングシステムのバージョンとアーキテクチャ、実行可能ファイルのパス、マルウェアのバージョン、特権レベル、アクティブウィンドウのタイトル、インストールされているウイルス対策製品、実行可能ファイルのタイムスタンプ、キャンペーングループ、オペレーターのメモ、システムのアイドル時間など、ホストに関する幅広い情報を収集します。

静的解析を阻止するため、MessagePackのすべてのフィールド名は、収集されたデータが格納される前に、実行時に文字列難読化解除によって解決されます。収集された情報はMessagePackオブジェクトに整理され、感染したホストを一意に識別し、攻撃の次の段階に役立つ貴重な環境情報をオペレーターに提供する構造化された登録パケットが作成されます。

登録データを送信する前に、マルウェアはメッセージパックオブジェクトをバイナリストリームにシリアル化し、ZIPベースの圧縮ルーチンを使用して圧縮します。この圧縮されたペイロードは、事前に確立されたTLS暗号化通信チャネルを介して送信され、ネットワークオーバーヘッドを削減すると同時に、送信データに難読化レイヤーを追加します。動的解析中にキャプチャされた登録パケットにより、マルウェアがHWID、ユーザー名、オペレーティングシステムの詳細、実行可能ファイルのパス、管理者権限、インストールされているセキュリティ製品、実行タイムスタンプなどの重要な被害者情報をリモートC2サーバーに正常に送信したことが確認されました。この登録メカニズムにより、攻撃者は新たに侵害されたシステムをインベントリし、セキュリティ体制を評価し、コマンド実行、認証情報の窃盗、追加のペイロード展開などの適切な後続アクションを決定できます。

ペイロードBの分析：

デスクトップキャプチャおよびデータ漏洩機能

組み込みのデスクトップキャプチャライブラリ（dsc_*）は、被害者の画面をキャプチャする機能を示しており、統合されたTurboJPEGライブラリ（tjInitCompress、tjCompress2、tjFree、およびtjDestroy）は、キャプチャした画像を高速にJPEGエンコードすることを可能にします。さらに、zlib圧縮関数（compress2およびuncompress）が含まれていることから、マルウェアはスクリーンショットやその他の収集データを送信する前に圧縮し、帯域幅の使用量を削減してC2通信の効率を向上させると考えられます。

インポートされたライブラリと初期化シーケンスに基づくと、ペイロードBはおそらく以下の機能を提供する。

• 画面キャプチャ 組み込みデスクトップキャプチャライブラリ（dsc_* エクスポート）を使用します。
• 画像圧縮 TurboJPEG 効率的なスクリーンショットエンコードのために。
• 一般的なデータ圧縮/解凍 ZLIB （圧縮2／解凍）

C2通信コントローラおよびセッション管理

関数 sub_140001730 は、以下のプライマリコントローラスレッドとして機能します。 ペイロードB監視タスクを直接実行するのではなく、マルウェアの通信ライフサイクルをオーケストレーションする。接続オブジェクトを割り当て、ハードコードされたコマンド＆コントロール（C2）ドメインを繰り返し解決することから始まる。 kkxqbh.top 有効なIPアドレスが取得されるまで待機し、一時的なネットワーク障害からマルウェアが自動的に復旧できるようにします。ドメインが正常に解決されると、マルウェアは返されたIPアドレスを使用可能な形式に変換し、リモートサーバーとの接続を試みます。接続が成功すると、C2トラフィックの処理を担当する専用の通信スレッド（sub_140001710）を作成し、コントローラースレッドは接続状態を定期的に監視します。

インフラストラクチャのアーティファクトと脅威アクターの特定

攻撃者の特定は、脅威調査、特にAPT攻撃のハンティングやキャンペーン調査に携わるアナリストにとって、常に最も困難な課題の一つでした。入手可能な証拠、インフラストラクチャの重複、およびその他の技術的証拠に基づき、我々はこのキャンペーンを中程度から高い確度で攻撃者と特定しました。

調査の初期段階で、.JPG画像ファイルに偽装された第1段階のペイロードをホストおよび配信するために、3つの異なるIPアドレスが使用されていることを確認しました。特定されたIPアドレスは以下のとおりです。

インフラストラクチャのさらなる分析により、特定されたIPアドレスが2つの自律システムにまたがってホストされていることが明らかになった。具体的には、攻撃者が利用したインフラストラクチャは、AS152194（CTG Server Limited）とAS140869（Turing Group Limited）に関連付けられていた。これらのプロバイダー内のインフラストラクチャの使用は、悪意のあるリソースを複数のホスティング環境に分散させ、運用上の回復力を高め、攻撃者の特定を困難にするための意図的な取り組みを示唆している。

特定されたインフラストラクチャ、特にIPアドレス118.107.0.197と27.50.54.191をさらに詳しく調査したところ、共通のインフラストラクチャパターンが確認されました。両方のIPアドレスは同じ自律システム番号（ASN）に関連付けられており、攻撃者のインフラストラクチャに潜在的な運用上の重複があることを示しています。この共通のASN関係は、キャンペーンのホスティング戦略とアトリビューション評価を理解する上で役立つ可能性のある、追加のインフラストラクチャリンクを提供します。

上記のスクリーンショットに示すように、インフラストラクチャ内に複数の中国語文字列を特定したため、中国との関連性の可能性についてさらに調査を進めました。また、インフラストラクチャとTTP（戦術・技術・手順）が、中国寄りの脅威アクターであるSilver Foxの活動と重複していることも確認しました。これらの重複と裏付けとなる証拠に基づき、本キャンペーンは中国寄りの脅威クラスターと関連している可能性が高いと、中程度から高い確信度で判断します。

さらに、調査の結果、下記のドメインと関連があり、同じインフラストラクチャを持つ別のIPアドレスを発見しました。

インフラストラクチャ分析の結果、IPアドレス223.26.63.40はAS152194（CTG Server Limited）によってホストされており、中国語のWeb管理パネル（「豪凌1.6 – Web管理面板」）が公開されていることが判明しました。このインフラストラクチャをさらに詳しく調べたところ、1kkkkddd.com、simaqz.com、jiayingjing.comなど、複数の関連ドメインが特定され、より広範なインフラストラクチャクラスタの存在が示唆されました。

kkxqbh[.]topに関連するインフラストラクチャをさらに詳しく調べたところ、117.44.201.119を含むいくつかの解決済みIPアドレスが中国江西省南昌にあり、中国電信の江西省ネットワークが運営するAS4134（CHINANET BACKBONE）に属していることが明らかになりました。

ChinaNet（AS4134）内でホストされているインフラストラクチャの繰り返し使用は、以前に特定された中国語のアーティファクト、インフラストラクチャの重複、およびTTPの類似性と相まって、中国と連携した脅威の関連性に関する我々の評価をさらに強化するものです。地理的な位置とホストインフラストラクチャだけでは決定的な帰属とは言えませんが、これらの発見は追加的な裏付け証拠を提供し、中程度から高い確信度での評価に貢献します。

キャンペーンタイムライン

オペレーション DragonReturn は 2026 年 5 月 18 日に初めて確認され、攻撃者は 2026 年 5 月と 6 月にかけて 5 つの異なる亜種間で 7〜10 日ごとにペイロードをローテーションすることで、迅速な作戦対応能力を示しました。悪意のある PDF を含むスピアフィッシング メールは 2026 年 6 月 10 日に実際に配布されていることが確認され、悪意のある ZIP ペイロードは翌日にパッケージ化され展開されました。このキャンペーンは 2026 年 6 月 12 日に最も深刻な段階に達し、最新のペイロード亜種はすべてのアンチウイルス エンジンで 0/66 の検出率を達成し、シグネチャベースの検出は完全に無効になりました。2026 年 6 月 17 日現在、オペレーション DragonReturn は完全に活動しており、すべての提出がインドから確認されていることから、これは減速の兆候のない、継続的かつ積極的に維持されている中国とネクサスのサイバースパイ活動であることが示されています。

まとめ：

「オペレーション・ドラゴンリターン」は、2026～27年度の所得税申告シーズンを悪用することを意図して設計された、高度かつ積極的に維持されている中国とのつながりによるサイバー諜報活動であり、インド全土の企業、税務専門家、公認会計士、個人納税者を含むインド政府の税務インフラを標的としている。攻撃者は、インド政府を装ったおとり文書による精密なソーシャルエンジニアリング、govtop[.]one でホストされている専用の悪意のあるインフラストラクチャ、background.jpg 内のステガノグラフィ ペイロードの隠蔽、ファイルレス .NET 実行、AMSI バイパス、Mixed Reality Service を装った Windows サービスの永続化、223[.]26.63.40:2671 と kkxqbh[.]top を介した暗号化された TLS ベースの C2 通信を利用したマルチステージ DcRAT 展開チェーンを通じて、高度な運用能力を示しました。また、ペイロードを積極的にローテーションして VirusTotal の検出率を 0/66 に維持しており、これは日和見的な攻撃ではなく、情報収集、認証情報の窃盗、体系的なデータ流出のために、インド政府の高価値金融インフラストラクチャへの長期的な秘密アクセスを確立することを主な目的とした、意図的でリソースが投入され、継続されたスパイ活動であることを確認しています。

Seqrite 適用範囲：

• マルウェア。
• トロイの木馬。
• トロイの木馬。
• トロイの木馬。
• トロイの木馬ダウンローダー。
• トロイの木馬インジェクターCiR

IOC：

2f2f8f92af86fb962c30c4c1c9d673f9d94886373d0fcf78f8d105c051ffc643

1787d1119cd3b40e0e5f19d62821958b7d5c2bbe0518bf1e3fb2e44fdeb4fa58

19ca5fe04ca45a18c5bad9658ff73a8f39fe20ced78f690595f1b4c5a90af324

2f72f4b71e33c80f122dbe5360a8d687577260567d4b59cf8c07ee2182e8ceba

4a040770fd81d0db9e04cb8dbd2e07e61969072962bb4e736b7c7001444cc2fa

696f6a1a0fbf7b4ff977cc36382f6d2bc6d7813ed84b0195d925d1f46c24568c

6c774188a54ae07ae896abdf1ea6695cc29f529388888665e05322af3e9178e1

6c9ae8a979ad18da2927ae4fdbd73d3c870ead4ea3d437656a3bdcc81b85a050

8ed95259300ca268279867d2999d9c4f6585c6c45308635fc39af87da27546b5

9e73cd733707e5f7c9091147b029a6974b985d6c90a9cc2cb47bc0ae8a0f9245

c6fc06db6a1318152c09200352b40c8fa794f1089988835c1df92174347be8ec

e6346e3087db2bfba4551fcf89d94ae49aa92dc22f0ec2b718187a96e3a3b83c

fc17d5b4d64cb61a5aa8fb6bbe1e94885f129b2bf8ee91bca1ccca2b537f6616

40593369e14c9ab7b5e2fd186a580dbcd790ebb902f3aedc12c92cd617302960

ec5d4103b3d97885e9575ad045b2ef5467bf9fccf71828e418e6488d78983146

133e4d3f1dcd99a35fec92ad13bafa3790b6d585f8ec46527fe0ae01da98ad22

5a00485968679dc0ed6d80b659f48287603864c223e952918d2c2aaddfa2d280

6751ad8d0aeb6ac67cd54ea42657ce1f16addc3e3111f9e60b11931ebf58e77d

7e142c8fa614cc39d0453aa648b12209821c6bcbb77ee02094f70161b40d50ae

879cfe23a96e822f3873fd90a37d548d7975ba0552ce28527d3d1e292000c59b

eccff5c026a01cbe91db45cd0289f8822985aa5183f096d8add69762696d100d

fdd9752f4bb03762828e2e2bb6ec26c5f05a664dc28e02457685ddb3650d3e95

a8614dfad5fd2a79302a7c4829a0fed6f3a0a46b11beb28f89531cdfa83d32b3

03d2b73ecde0575a1e5ea24d6e4f12987cc081c0bc22dadf8c4219e8e38ca6e0

589aa1f7252cae74538343cd35443c0a8f58ed280f2016918b6e539a0c09529a

590a75978ab33a97280be1e2ae62a2e416ada45a11bc3f1cb77c99f3eb542b4e

5e97f7c17bf0466355be0438c7cc3e2e4d125e31368f2fbcb8e1d79cb97f137a

8673ce317876e6c3fe868c98524a3b2ae86a79b737536b865f044a52d16a7193

b0fcd7d9396e70b89e8292f6b80f933607b6fc9a9d3d4dd4ca69b408a2625932

b4fb231356254426e340ab1dba50fa37a69859fc4e8a2dbdfc3e1db082006847

c6651d6ce31c3a00357e579981d48c0da942b5bbe1582bf3d612a07dc3bc0ff6

db946f3f2b409370d14a6e69cf029f2818985f19320fa09b63bd3268dc830b02

34d1231a3bf1e13a9b90daecb5c74d52aea94ca54427b203d77e1adc61a5c4f9

2c0de3d5432d5a14cb03936a460ceb633b53a51881c4fa4f3dfa87fedef2148e

C2：

• govtop[.]one/所得税
• 204.194.48.250
• 118.107.0.197
• 27.50.54.191
• 223.26.63.40:2671
• Ikkkkddd[.]com
• Kkxqbh[.]top

 

マイター攻撃&CK:

戦略	技名	テクニックID
初期アクセス	スピアフィッシング添付ファイル	T1566.001
	スピアフィッシングリンク	T1566.002
実行	ユーザーの実行：悪意のあるファイル	T1204.002
	コマンドおよびスクリプトインタープリター：Windowsコマンドシェル	T1059.003
	ネイティブAPI	T1106
固執	システムプロセスの作成または変更：Windowsサービス	T1543.003
	レジストリ実行キー / スタートアップ フォルダー	T1547.001
権限昇格	不正昇格制御メカニズム：UACバイパス/Runas	T1548.002
防衛回避	難読化されたファイルまたは情報	T1027
	ファイルまたは情報の難読化/デコード	T1140
	プロセス射出	T1055
	リフレクティブコードローディング／インメモリ実行	T1620
	防御機能の無効化：AMSIバイパス	T1562.001
	仮装	T1036
	仮想化/サンドボックス回避	T1497
プーケットの魅力	システム情報の発見	T1082
	プロセスディスカバリー	T1057
	セキュリティソフトウェアの検出	T1518.001
	システム所有者/ユーザーの発見	T1033
	アプリケーションウィンドウの検出	T1010
収集	スクリーンキャプチャ	T1113
	ローカルシステムからのデータ	T1005
コマンドおよび制御	暗号化されたチャネル	T1573
	アプリケーション層プロトコル：Webプロトコル	T1071.001
	非アプリケーション層プロトコル	T1095
	ダイナミック解像度	T1568
exfiltration	C2チャネルを介した浸透	T1041