東南アジアの政府や外交官を狙う新種マルウェア「GoSerpent」が判明、カスペルスキーが報告

要点

• 東南アジアの政府機関や外交官を標的に、長期的な情報窃取を行う新種のバックドアマルウェア「GoSerpent」が発見された。
• ロシアのセキュリティ企業カスペルスキーが2026年2月にこの攻撃活動を検出しており、実際の攻撃は2025年後半から始まっていた。
• 攻撃者はGoSerpentを用いて認証情報を盗み出し、ネットワークの共有ドライブなどを経由して機密データを収集していた。
• 2026年5月には、蓄積されたデータを外部へ送り出すための新たなツール群を投入した再侵入が確認されている。
• カスペルスキーは、この攻撃活動がアジア太平洋地域の政府を標的とする既知のハッカー集団「TetrisPhantom」と関連している可能性を指摘している。

リード文

ロシアのセキュリティ企業カスペルスキーは、東南アジアの政府機関や外交官を標的とした新たなサイバースパイ活動を検出したと発表した。この攻撃には、長期間にわたるネットワークへの潜入と機密情報の収集を目的とした、これまで未確認だったバックドアマルウェア「GoSerpent」が使用されている。カスペルスキーの調査によると、この攻撃活動は2025年後半から発生しており、2026年に入ってからもツールを巧妙に変化させながら継続しているという。

GoSerpentの特徴とC2通信の仕組み

カスペルスキーが2026年2月に検知したGoSerpentは、Go言語で開発されたバックドア（遠隔操作用のプログラム）型のマルウェアである。このマルウェアは、攻撃者の司令サーバー（C2サーバー）と接続して様々な遠隔コマンドを実行する。

起動時には暗号化およびBase64エンコード（データを特定の文字列に変換する処理）が施された引数からサーバー情報と通信用パスワードを読み込み、パスワードのSHA256ハッシュ（固定長の暗号データ）を用いて通信を暗号化する。

主な機能には、ポートの監視開始・終了、シェル（コマンド実行画面）の起動、ファイルの送受信、SOCKS5プロキシ（中継用の通信プロトコル）の起動などがあり、自身のIPアドレスを隠して他のネットワークへ侵入できる。カスペルスキーは、SOCKS5プロキシにより攻撃者が侵害した端末経由で他のネットワークへアクセス可能になると説明している。

段階的に展開される認証情報・ファイル窃取ツール群

攻撃者はGoSerpentの侵入後、複数のツールを展開して情報窃取を進めていた。

初期段階では、GoSerpentの軽量版である遠隔操作ツール「McMx RAT」に加え、長期的なファイル収集と一時保存を担うDLL（Windowsの共有ライブラリファイル）である「ThumbcacheService」を使用。さらに、WindowsのセキュリティプロセスLSASSから認証情報を抜き出す「Mimikatz」や、アカウントデータベースSAMからパスワードハッシュを抽出する「QuarksDumpLocalHash」も投入していた。これらにより、共有ドライブを介したデータ持ち出しに必要なシステム認証情報を収集していたという。

2026年5月の再侵入とデータ窃取の最終フェーズ

カスペルスキーの監視によると、攻撃グループは2026年5月、収集した機密データを外部へ送信する目的で、新ツールを用いて再侵入した。

この時に使用されたのは、高度な検知回避機能を備えたプロキシツール「Stowaway」や、暗号化された実体データである「TmcPayload」をメモリ上に読み込ませるC++製のローダーモジュール「TmcLoader」である。このTmcPayloadの実行によって機密データが外部へと送信された。

カスペルスキーのセキュリティ研究者ヌーシン・シャバブ（Noushin Shabab）氏は、「ファイル収集から送信に至る一連の流れは、極めて計画的なスパイ計画であることを示している」と分析している。

攻撃元と想定される「TetrisPhantom」との関連性

現時点で、このスパイ活動を実行しているハッカー集団を確定的に特定するアトリビューション（攻撃元の特定作業）には至っていない。しかしカスペルスキーは、今回のキャンペーンが、同社が2023年10月に初めて報告した高度な脅威アクター「TetrisPhantom（テトリスファントム）」と技術的・戦術的な共通点を持っていると指摘する。

TetrisPhantomは、アジア太平洋地域の政府機関を標的とし、過去にはハードウェア暗号化で保護されたセキュアUSBドライブを悪用して機密情報を盗み出していた高度なハッカー集団である。

なお、Go言語ベースの同様の遠隔操作ツールは2021年頃から東南アジアで目撃されており、今回発見されたGoSerpentはその系譜を引く最新のバリアントとみられている。