FTPサーバーの接続バナーを悪用してマルウェア指令を取得、新種RAT「E4del」「PINHOLE」の感染手法が判明

要点

• FTPサーバー接続時に表示される初期メッセージ（FTPバナー）を悪用し、不正なコマンドを取得・中継させる新たな攻撃手法が確認された。

• 本攻撃キャンペーンを通じて、これまで未報告だった新種のリモートアクセス型トロイの木馬「E4del」および「PINHOLE」が配信されている。

• FTPバナーをコマンドの受け渡し場所として悪用する手口が実際の攻撃活動で観測されたのは今回が初とされる。

• 配信されるマルウェアは、Discordに偽装したElectronアプリや、正規WebサービスとCloudflare Workersを経由する多段構成などを採用している。

• サイバーセキュリティ企業のSOCRadarは2026年8月25日、FTPサーバーの接続時に返される初期応答テキスト（FTPバナー）を悪用してマルウェアの制御コマンドを取得させる、新たな攻撃キャンペーンに関する調査レポートを公開した。本攻撃では、これまで報告例のなかった「E4del」および「PINHOLE」と呼ばれる2種類のリモートアクセス型トロイの木馬（RAT：遠隔操作を可能にする不正プログラム）が配信されているという。攻撃者が外部のインフラや通信プロトコルをコマンドの中継地点として悪用する事例は知られているが、FTPバナーをこの目的で悪用する手法が実際の攻撃環境で観測されたのは今回が初めてとなる。

FTPバナーを「デッド・ドロップ・レゾルバー」として悪用する新手法

攻撃者は通常、セキュリティ監視をすり抜けつつ指令サーバー（C2サーバー）の所在を特定させるため、正規のWebサービスなどを中継地点として利用する「デッド・ドロップ・レゾルバー（DDR）」と呼ばれる手法を用いる。今回の攻撃で悪用されたFTPバナーとは、クライアントがFTPサーバーに接続した直後にサーバー側から送られてくるウェルカムメッセージなどの初期テキスト文字列を指す。

SOCRadarの報告によると、攻撃者はこの仕組みを悪用し、マルウェアのステージャー（初期展開プログラム）がプロトコルの初期応答メッセージから直接コマンドを読み取れるように細工していた。この手口は2026年7月初旬にセキュリティ研究グループのMalwareHunterTeamによって最初に指摘されていたが、実環境での具体的な攻撃チェーンとして詳細が明らかになったのは今回が初となる。

ただし、一般的なWebサービスを悪用する従来のWebベースDDRと比べると、未知の外部サーバーへのFTP接続は企業のセキュリティ監視システムによって異常通信として検知されやすいため、隠蔽性の観点では従来手法よりも劣ると専門家は指摘している。

バウチャー偽装から始まる多段式の感染プロセス

確認された攻撃チェーンの一例では、スペイン語で書かれた割引バウチャーの請求案内を装ったソーシャルエンジニアリングの手口が用いられていた。標的となったユーザーが騙されてWindowsショートカットファイル（LNKファイル）を実行すると、まずFTPバナーから次のステージを実行するためのコマンドが取得される。

続いて、そのコマンドによってWebDAVサーバーへの接続が行われ、Windowsのコンソールホスト（conhost）を介して「rundll32.exe」を実行し、外部からDLLエクスポートをダウンロードして実行する仕組みとなっていた。WebDAVを介して不正なモジュールを読み込ませるこのアプローチは、偽のCAPTCHA認証などを悪用してマルウェアを実行させる「ClearFake」キャンペーン（WordlistLoaderやAmatera Stealerを配信する手口）などでも採用されている手法だという。

Discordに偽装するNode.js製RAT「E4del」の特徴

SOCRadarが解析した事例の一つでは、「157.254.194[.]31:21」のFTPバナーから多段の配信チェーンを開始し、続いて「167.148.41[.]164:21」にある2つ目のFTPバナーを取得していた。そこからPowerShellを実行してZIPアーカイブをダウンロード・展開し、最終的なペイロードである「E4del」を実行する。

E4delは、正規のコミュニケーションツールであるDiscordに見せかけた、デジタル署名付きのElectronアプリケーション内に埋め込まれたNode.jsベースのRATである。このマルウェアは、検知回避や永続化の仕組みを備えているほか、感染端末の情報収集（システムフィンガープリント）、暗号化されたC2通信、対話型リバースシェルの起動、画面のスクリーンショット撮影、デスクトップのリアルタイム動画ストリーミング、ファイルのダウンロード、さらには追加ペイロードの実行といった幅広い遠隔操作機能を備えている。

さらにE4delは、通信検知を逃れるために送信間隔にランダムなゆらぎを持たせる「ジッター」機能を実装しており、直近にタスクを受信してからの経過時間に応じて以下の3つの状態を動的に切り替えるという。

1. Activeモード：コマンド受信から20秒以内の状態。200ミリ秒から2秒という短いランダムな間隔でサーバーへチェックインを行う。
2. Semi-Activeモード：20秒から40秒の間、新しいタスクを受信しなかった場合に移行する状態。通信間隔が2秒から5秒へと延長される。
3. Inactiveモード：40秒以上コマンドが届かない場合に移行する状態。C2サーバーへの問い合わせ頻度を5秒から9秒にまでさらに引き下げる。

高信頼サービスとCloudflare Workersを組み合わせる「PINHOLE」

FTPバナーを悪用して配信されるもう一つのマルウェア「PINHOLE」は、E4delよりもさらに高度な設計が施されていると評価されている。PINHOLEは、PinterestやSurveyMonkeyといった高い評価を持つ正規プラットフォームをデッド・ドロップ・レゾルバーとして併用してC2サーバーの情報を取得し、通信経路をCloudflare Workers経由でプロキシする仕組みを採用している。

解析によると、「209.99.185[.]38:21」のFTPバナーにはPowerShell内でMSXML2.XMLHTTP COMオブジェクトを呼び出すコマンドが含まれており、外部URL（hxxps[://]cloudflare.milicare[.]in/app/c）からセカンダリコマンドスクリプトを取得していた。取得されたスクリプトは一時フォルダ内に「%TEMP%\u.cmd」として保存・実行された後、解析や調査による痕跡（フォレンジックの痕跡）を最小限に抑えるため即座に削除される。

このスクリプトはドロッパーとして機能し、メインペイロードの展開と起動を行う。その第1ステージには、実在しない架空の企業「Weston Computing Systems Ltd」の更新ユーティリティを装ったラッパーバイナリが用いられていることが明らかになっている。