Contents
- イントロダクション
- 主なターゲット
- 影響を受ける業界
- 地理的焦点
- 感染連鎖
- 初期の調査結果
- おとり文書の調査
- テクニカル分析
- ステージ1 – LNKファイルを介した初期感染
- ステージ2 – PowerShellダウンローダーの分析
- ステージ3 – .NETドロッパー – Document.exeの分析
- ステージ4 – おとり配送とシートエージェントRAT分析
- インフラストラクチャとアトリビューション
- 結論
- SEQRITE 保護性能
- 侵害の兆候（IOC）
- MITRE ATT&CK マッピング
- 著者
イントロダクション
その Seqrite APTリサーチチームは、世界中の組織や個人を標的とした脅威キャンペーンを継続的に監視しています。最近の脅威ハンティング活動において、インド政府の求職者を標的とした高度なキャンペーンを特定しました。攻撃者は、インド政府が内閣官房の上級現場職員の募集広告を悪用し、潜在的な被害者を誘い込んでいました。
このマルウェアは、感染プロセスで使用される複数のファイル（悪意のあるLNKショートカット、PowerShellスクリプト、実行ファイルなど）を含むZIPファイルを通じて配信されます。攻撃者は、感染プロセスの一環として、正規のControlR RMMツールとGoogleサービスも悪用します。
このブログでは、SheetAgent RATと名付けた最終ペイロードの完全な技術分析を詳しく解説します。これには、GoogleドライブとGoogleスプレッドシートとの通信に使用されるトークンとキーも含まれます。また、複数のパネルをホストするキャンペーンのインフラストラクチャについても調査します。最後に、観測された手法をMITRE ATT&CKフレームワークにマッピングし、その結果に基づいて、キャンペーンの背後にいる可能性のある脅威アクターを評価します。
主なターゲット
影響を受ける業界
- 政府/公共部門
- 教育と学術
- テクノロジーとソフトウェア
地理的焦点
- India
感染連鎖
初期の調査結果
その Seqrite チームはインドを標的とした脅威を追跡しており、最近、インド政府と人材採用部門を特に標的としたマルウェアキャンペーンを特定しました。脅威ハンティング活動中に、Approved Documents 2026.pdf.zip という名前の ZIP アーカイブを発見しました。一見すると、文書検証ファイルのように見えました。しかし、アーカイブの内容を調べると、3 種類の異なるファイルが見つかりました。
アーカイブには、Document.exe、Document-24062026-Y6352634.lnk、およびJT-agenda.ps1というファイルが含まれていました。
最初の感染は、正規の文書に見せかけるためにMicrosoft Edgeブラウザのアイコンで偽装されたLNKファイルから始まります。また、LNKファイルはPowerShellスクリプト（JT-agenda.ps1）を起動し、その後実行ファイル（Document.exe）を実行することも判明しました。この実行ファイルについては、次のセクションで分析します。
このセクションでは、今回の攻撃キャンペーンで使用されたおとり文書について検証します。この文書は、感染の第2段階で攻撃者のコマンド＆コントロール（C2）サーバーからダウンロードされ、マルウェアがバックグラウンドで実行される間、被害者の注意をそらすことを目的としています。
おとり文書の調査
このキャンペーンで使用されている偽装文書は、攻撃者のIPアドレス（38[.]242[.]157[.]89）に解決される疑わしいドメインにホストされています。この文書は、政府の求人情報やキャリア関連の通知を掲載するインドの有名新聞「Employment News」のスキャンコピーのように見えます。ヘッダーには公式ウェブサイト（www.employmentnews.gov.in）が表示され、発行日は2026年6月13日～19日となっています。
この広告は、インド政府内閣官房の上級フィールドオフィサー（技術職）の募集に関するおとり広告です。応募資格、学歴、年齢制限、募集人数、GATEスコア要件、応募方法、応募締切日などの詳細情報が記載されています。
次のセクションでは、キャンペーンで使用されたファイルの技術的な側面を分析し、分析中に特定されたTTP（戦術、技術、手順）に基づいて脅威アクターを特定します。
テクニカル分析
技術分析は4つの段階に分けて行います。まず、悪意のあるLNKファイルを分析し、次にPowerShellスクリプトを分析します。その後、.NETローダー（Document.exe）を調べ、最後にドロップされたファイルであるDocument.lnkとSheetAgent（agent.exe）を分析します。
ステージ1 – LNKファイルを介した初期感染
Approved Documents 2026.pdf.zipを解凍したところ、被害者にはDocument-24062026-Y6352634.lnkというファイルしか表示されませんでした。他の2つのファイル、Document.exeとJT-agenda.ps1は隠しファイル属性が設定されていたため、Windowsエクスプローラーのデフォルト設定では表示されませんでした。
LNKファイルを分析したところ、説明文が「ControlRエージェントのインストール」に設定されていました。これは、ControlRエージェントがインストールされる感染の後期段階と一致します。前述のとおり、攻撃者はファイルを正規のものに見せるため、デフォルトのLNKアイコンをMicrosoft Edgeブラウザのアイコンに置き換えていました。
LNKファイルに埋め込まれたコマンドを確認したところ、powershell.exeを呼び出してJT-agenda.ps1を実行していることが分かりました。このスクリプトは非表示かつ非対話モードで起動されます。
ステージ2 – PowerShellダウンローダーの分析
LNKファイルはJT-agenda.ps1を起動します。これは感染の第2段階を表しています。スクリプトを調べたところ、以下のことが発動していることがわかりました。 powershell.exe -EncodedCommand パラメーターで指定された、Base64 エンコードされた長いコマンドを使用します。
埋め込まれたコマンドを解読した結果、スクリプトがdemo.controlr.appサーバーからControlRエージェントインストーラーをダウンロードし、被害者の一時ディレクトリに保存することが確認されました。ダウンロードが完了すると、インストーラーは事前に定義されたインストールパラメータセットで実行され、被害者のマシンが自動的に攻撃者のControlRインスタンスに登録されます。
このコマンドには、3つの重要な登録パラメータが含まれています。
テナントID (d5eab065-bbe2-4178-9574-1cbac7e40c64)
極秘情報 (o3EdUNCztAZN8JOdSsTmezkOYz6tqnJgAHryon2ysg5vVhVDGNPJlKwUJCu826JRbmEMt-EqLKN1QbFwvBLHZw)
キーID (319fe2d0-027e-4435-8b29-52af76a1972b)
ダウンロードした実行ファイルを分析した結果、Bitboundによってデジタル署名された正規のControlRインストーラーであることが確認されました。攻撃者はこの正規のリモート管理ソフトウェアを悪用し、被害者のシステムへの永続的なリモートアクセスを確立します。
我々の分析に基づくと、ControlRインストーラーを実行すると、被害者のシステムが攻撃者のControlRインスタンスに登録され、永続的なリモートアクセスが可能になるという影響が生じる可能性があります。登録されると、攻撃者はシステムをリモートで制御したり、コマンドを実行したり、ファイルを転送したり、被害者のアクティビティを監視したりできるようになります。
ControlRエージェントをインストールした後、PowerShellスクリプトは以前に抽出したDocument.exeファイルを実行します。このファイルは、次の段階で分析します。
ステージ3 – .NETドロッパー – Document.exeの分析
感染の第3段階は、 Document.exeこれはPowerShellスクリプトによって起動されます。
Detect It Easy（DIE）でDocument.exeを最初に分析したところ、32ビットの.NET実行ファイルであることがわかりました。さらに、dnSpyを使用してバイナリを分析し、その機能を理解しました。
Document.exeは実行後、%APPDATA%\Microsoft\WinSyncDefender\という名前のディレクトリを作成します。このフォルダ名は正規のWindowsコンポーネントに酷似しており、感染の後半段階に必要なファイルを保存するために使用されます。
その後、バイナリは自身に埋め込まれた2つのリソース、すなわち最終ペイロードとして機能するagent.exeと、おとり文書を表示するために使用されるDocument.lnkを抽出します。これらのリソースは実行可能ファイル内に埋め込まれており、実行時に新しく作成されたディレクトリに書き込まれます。
分析の結果、このマルウェアは2つの異なる方法を用いて永続性を確立し、被害者がシステムにログインするたびに最終的なペイロードが実行されるようにしていることがわかりました。
主な永続化メカニズムは、正規のWindowsサービスに似たWindows スケジュールタスク「WindowsDefenderSyncService」に依存しています。このマルウェアは、ユーザーがログインするたびに、そしてその後3分ごとにagent.exeを起動するように構成されたタスクを動的に作成します。タスクを登録するために、マルウェアは一時的なXML構成ファイルを生成し、schtasks.exeを使用してそれをインポートします。
スケジュールされたタスクを作成できない場合、マルウェアはWindowsのスタートアップフォルダを利用した別の永続化メカニズムにフォールバックします。隠しファイルであるagent.exeを指すWindowsDefenderSync.lnkという名前のショートカットを作成し、それを%APPDATA%\Microsoft\Windows\Start Menu\Programs\Startup\に配置します。その結果、ユーザーがログインするたびにマルウェアが自動的に実行されます。
このマルウェアは、WScript.Shellを使用してLNKファイルを作成する一時的なVBScriptを生成します。ショートカットには「Windows Netlogon System Synchronization Service」という説明が付けられ、正規のショートカットに見せかけます。ショートカットが作成されると、WScript.Shellを介してVBScriptが実行され、その後削除されます。
次に、.NET実行ファイルによってドロップされる2つのファイル、agent.exeとDocument.lnkを分析し、それらの機能を理解します。
ステージ4 – デコイの配送とシートエージェントの分析
agent.exeとDocument.lnkという2つのファイルは、感染連鎖の最終段階を表しており、それぞれ異なる役割を担っています。まずはDocument.lnkファイルの内容を分析してみましょう。
Document.lnk ファイルは、被害者に偽の文書を表示する役割を担っています。このファイルは powershell.exe を起動し、コマンド アンド コントロール サーバー (38[.]242[.]157[.]89) から偽の PDF ファイルをダウンロードして、ユーザーの一時ディレクトリに document.pdf という名前で保存します。その後、被害者の画面に PDF ファイルを即座に表示します。偽文書の分析で説明したように、この PDF ファイルは、インド政府の求職者を標的にするために、内閣官房の正規の採用通知を装うように設計されていました。
.NETローダーによってドロップされる2番目のファイルはagent.exeで、ここではSheetAgentという名前を付けています。ローダーはこれを被害者のシステムに展開した後、WindowsDefenderSyncService.exeとして名前を変更して実行します。この実行ファイルは、攻撃者のバックアップコマンド＆コントロールチャネルとして機能する、カスタムの.NETベースのリモートアクセス型トロイの木馬（RAT）です。
SheetAgentが最初に行う手順は、Google Sheetsへの認証です。このマルウェアには、プロジェクトID、サービスアカウントのメールアドレス、秘密鍵ID、完全なRSA秘密鍵など、Googleサービスアカウントの認証情報がバイナリに直接埋め込まれています。これらの認証情報を使用して、Google SheetsとGoogle Driveの両方のAPIにアクセスする権限を持つSheetsServiceオブジェクトを作成します。認証が完了すると、攻撃者が制御するGoogle Sheetsドキュメントに接続します。このドキュメントは、マルウェアのバックアップコマンド＆コントロール（C2）サーバーとして機能します。
分析の結果、このマルウェアはバイナリファイルに直接埋め込まれた固定のGoogleスプレッドシートレイアウトに依存していることが判明しました。各列には特定の機能が割り当てられており、それがマルウェアのコマンド＆コントロール（C2）チャネルとして機能します。
| コラム | 詳細説明 |
| A | 被害者のコンピュータ名を保存します |
| B | 現在のタイムスタンプを書き込む |
| C | 攻撃者によって発行されたコマンドが含まれています |
| D | 実行されたコマンドの出力を保存します。 |
| E | 被害者の公開IPアドレスを保存します |
| F | エージェントの現在の状態（ONLINEやERRORなど）を保存します。 |
| H | アラートに使用されます |
| J | URL監視リストを読み取ります |
マルウェアは、感染したすべてのシステムを追跡するために Google スプレッドシート ドキュメントを使用します。初めて実行されると、 列A 被害者のコンピュータ名に対して、この行を使用します。システムが既にリストされている場合は、マルウェアは同じ行を引き続き使用します。そうでない場合は、スプレッドシートの次の利用可能な行を使用して被害者を登録します。この行は感染全体を通して使用され、マルウェアは攻撃者がGoogleスプレッドシートに書き込んだコマンドを継続的に読み取り、被害者のマシンで実行し、実行結果を同じ行に書き戻します。
分析の結果、agent.exeには一連の解析対策技術も含まれていることが判明しました。
このマルウェアは、IsRunningInVirtualMachine() 関数を介して複数のチェックを組み合わせて実行します。マルウェアは合計14種類の仮想化検出手法を実行します。
WMIを使用してシステムメーカーとBIOS情報を確認し、仮想化関連のディスクドライブとグラフィックアダプタを検索し、VMwareとVirtualBoxのプロセスを検索し、レジストリキーを調べて仮想化関連のアーティファクトを検出し、仮想マシンに関連付けられたMACアドレスのプレフィックスを検証し、VM固有のドライバとインストールディレクトリをチェックします。
このマルウェアは、分析環境で一般的に使用されるユーザー名を探し出し、Any.RunやTriageなどのサンドボックスに関連するアーティファクトを検索し、仮想化固有のデバイスやサービスを検出します。
これらのチェックのいずれかが分析環境を検出すると、マルウェアは実行を継続する代わりに、クリーンアップルーチンに切り替わります。
クリーンアップルーチンは、%TEMP% ディレクトリに cleanup.bat という名前の一時バッチファイルを作成します。しばらくすると、スクリプトはマルウェアの実行ファイルを強制的に削除し、その設定ファイル (service.json) を削除し、バッチファイル自体を削除してから終了します。
インフラストラクチャとアトリビューション
調査の中で、攻撃キャンペーン全体で使用されたインフラストラクチャについても調査しました。その結果、攻撃者はマルウェアの配信、偽装文書のホスティング、感染システムとの通信に、自身のサーバーと正規のクラウドサービスを組み合わせて利用していたことが判明しました。
調査中、SheetAgent RAT（agent.exe）に埋め込まれたハードコードされたGoogleサービスアカウントの認証情報を使用して、マルウェアが使用するGoogle Workspaceリソースへの認証を行いました。これにより、サービスアカウントを通じてアクセスできるGoogleドライブのコンテンツを調査することができました。
サービスアカウント（service@sheet12-500308.iam.gserviceaccount.com）は、Google Cloud プロジェクト sheet12-500308 に属しており、Google スプレッドシートと Google ドライブの両方にアクセスする権限を持っています。アカウントを調査したところ、ルートディレクトリに R-MSI-00-15-5d-9b-ea-f9 と Data という 2 つのフォルダが見つかりました。しかし、調査時点ではどちらのフォルダも空で、フォルダ内に他のファイルやアーティファクトは確認できませんでした。
調査の結果、今回のキャンペーンで使用されたGoogle Workspaceインフラストラクチャに関連付けられているGmailアカウントotp.applyanyjob@gmail.comも特定しました。このアカウントはデータフォルダの所有者として登録されていました。
また、IPアドレス38[.]242[.]157[.]89は、おとり文書のホスティング以外にも使用されていたことが判明しました。同じサーバーが、異なるポートで複数のWebベースの管理パネルもホスティングしていました。
ポート9000と7000でWebベースの管理パネルが稼働していることが判明しました。ポート9000ではSecureMonitorというパネルが、ポート7000ではPrivateRatというダッシュボードが稼働していました。どちらのインターフェースもユーザー名とパスワードによる認証が必要でした。また、PrivateRatのログインページには開発者名がHeartMeltと表示されていることも確認しました。.
また、ポート8000で動作する別のWebベースの管理パネルも特定しました。他のインターフェースと同様に、アクセスを許可する前に認証が必要でした。
我々の調査に基づくと、この攻撃キャンペーンはAPT36に関連している可能性が高いと中程度の確信度で判断します。このキャンペーンはインド政府の求職者を標的とし、ControlRやGoogle Sheetsといった正規のサービスを悪用してアクセス権を取得・維持しています。また、過去のAPT36キャンペーンで確認された手法と酷似した、多段階の感染経路、コマンド＆コントロールチャネル、および永続化メカニズムを使用しています。
同様の活動について調査している際に、Zscaler ThreatLabz のレポートで次のような記述を見つけました。 キャンペーン それらは、コマンド＆コントロールにGoogleスプレッドシートを使用すること、.NETベースのマルウェア、同様の永続化メカニズムなど、多くの共通の手法を共有していた。
結論
操作 ShadowRecruit これは、公式の採用広告を通じてインド政府の求職者を標的とした、複数段階にわたるマルウェア攻撃キャンペーンです。このキャンペーンでは、正規ソフトウェアであるControlRを悪用してリモートアクセスを行い、バックアップのコマンド＆コントロールチャネルとしてGoogleスプレッドシートを介して通信するカスタム.NETベースのマルウェアを使用しています。
マルウェアのインフラストラクチャに加え、SecureMonitor、PrivateRat、および別の管理インターフェースを含む、同じサーバー上でホストされている複数のWebベースの管理パネルを発見しました。PrivateRatパネルには、開発者名HeartMeltも表示されていました。. 我々の調査結果に基づくと、このキャンペーンは以下と関連していると中程度の確信度で評価する。 APT36.
SEQRITE 保護性能
Lnk.Trojan.Loader50884.GC
Script.Trojan.Dropper.50886.GC
Lnk.Trojan.Pantera.50898.SL
Lnk.Trojan.Pantera.50901.GC
トロイの木馬エージェントS39585887
侵害の兆候（IOC）
ファイル名ファイルハッシュ（SHA-256）
| 承認文書 2026.pdf.zip | 2b33b5185e93e1655eb27dbaa025d7ee088627db3d640fe4709be705646b189c |
| Document.exe | ee9dd2a180aea75af5c0eda16b83681c0a5fed451bfad6d5b3af85c3b62fa210 |
| Document-24062026-Y6352634.lnk | 434243e615b93a1b948c26ad55902bd78f9fa18e42375c15790634375c1ad3f4 |
| JT-agenda.ps1 | 70fe7576f20f5dd6a3d872753c922f1394d91487f5eabb417b240b83c22e31b2 |
| ControlR.Agent.Installer.exe | cf3f1bceb83fa3acefbabae4bdc275347cfe03dd7fc770052a33baef204a89f7 |
| MicrosoftSyncService.exe | b928e523b51187b932e48a65d36ce3d0c39ee9d409d493b90f98cf3d1e0e73b0 |
| ドキュメント.link | c4859db541b2bd0d266bbc44fafb5a767c862a57a3633a949dfaeebdf88ed529 |
| ファイル.pdf | fd2ac3a761f66dc6954014532795f9108f65739f23e4b294d4563673b7996881 |
URLは
| hxxp://38[.]242[.]157[.]89/file.pdf |
| 38[.]242[.]157[.]89:9000/login |
| 38[.]242[.]157[.]89:7000/login |
| 38[.]242[.]157[.]89:8000/login |
MITRE ATT&CK マッピング
戦略テクニックID技名
| 初期アクセス | T1566.001 | フィッシング：スピアフィッシングアタッチメント |
| 実行 | T1204.002 | ユーザーの実行 |
| 実行 | T1059.001 | コマンドおよびスクリプト インタプリタ |
| 実行 | T1106 | ネイティブAPI |
| 固執 | T1547.001 | ブートまたはログオン時の自動実行 |
| 固執 | T1053.005 | スケジュールされたタスク |
| 権限昇格 | T1548.004 | 虐待度上昇制御メカニズム |
| 防衛回避 | T1036.005 | 仮装 |
| 防衛回避 | T1140 | データの難読化解除/デコード |
| 防衛回避 | T1027.011 | 難読化されたファイルまたは情報 |
| 防衛回避 | T1564.001 | アーティファクトを非表示 |
| 防衛回避 | T1070.004 | インジケーターの削除 |
| 防衛回避 | T1497.001 | 仮想化/サンドボックス回避 |
| プーケットの魅力 | T1082 | システム情報の発見 |
| プーケットの魅力 | T1614.001 | システムロケーション検出 |
| exfiltration | T1041 | C2チャネルを介した浸透 |
著者
プリヤ・パテル
カルティック・ジヴァニ
シュルティルパ・バナージー
