インド学術機関を狙うサイバー攻撃グループ「SideCopy」、多層的な検知回避とReverseRATを駆使

要点

• パキスタン発祥とされるサイバー攻撃グループ「SideCopy」が、インドの学術機関を標的としたスピアフィッシング攻撃を展開していることが判明した。

• 攻撃にはWindows標準ツールの悪用やメモリ上でのペイロード展開が用いられ、高度な検知回避と自己消去の手法が組み込まれている。

• 最終ペイロードとして遠隔操作型トロイの木馬「ReverseRAT」が感染させられ、認証情報やクリップボード情報の窃取、任意コマンド実行などが実行される。

• 調査結果を報告したセキュリティ企業Trellixは、従来の政府・防衛機関から学術分野へと情報収集の優先度が拡大していると指摘している。

• サイバーセキュリティ企業Trellixは、パキスタンを発祥とする持続的標的型攻撃（APT）グループ「SideCopy」が、インドの学術機関を狙った新たなスピアフィッシング攻撃を展開しているとする調査レポートを公開した。同グループは従来、インドの政府機関や防衛関係者を中心に攻撃を行ってきたが、今回の事案により標的を学術分野へ拡大している実態が明らかになった。攻撃チェーンではWindows標準機能の悪用やメモリ上での展開を駆使し、セキュリティ製品の検知を回避しながら遠隔操作マルウェア「ReverseRAT」を送り込む手口が確認されている。

攻撃グループ「SideCopy」の動向と標的の変化

SideCopy（別名：TAG-140）は、少なくとも2019年から活動が観測されている脅威グループだ。APTグループ「Transparent Tribe」との重複が指摘されており、歴史的には主にインドの防衛部隊や政府関係者を標的とした諜報活動を行ってきた。また、2026年6月にはセキュリティ企業Seqrite Labsにより、アフガニスタン財務省を狙ったスピアフィッシング攻撃でオープンソースの「Xeno RAT」を使用していた事例も報告されている。

Trellixの研究者であるボッガヴァラプ・R・S・S・スリニヴァス・グプタ氏とラヴィシャンカル・N・C氏によると、SideCopyはスピアフィッシング（特定の組織や個人を狙い撃ちにする標的型メール攻撃）を主たる侵入経路としており、今回の学術機関への展開は同グループにおける戦略的優先事項の広がりを示しているという。

偽装ショートカットとおとり文書を用いた侵入手法

Trellixが確認した最新の攻撃チェーンは、不正なZIPアーカイブを添付したスピアフィッシングメールから開始される。

ZIPアーカイブ内には、PDFのアイコンで偽装され「commskll.docx.lnk」と名付けられたWindowsショートカットファイル（LNKファイル）が含まれている。二重拡張子とおとりアイコンを組み合わせることで、受信者に正規のWord文書であると誤認させる細工が施されていた。

受信者がこのショートカットを実行すると、外部サーバー（docsportal[.]in）から難読化されたHTMLアプリケーション（HTAファイル）がダウンロードされ、Windows標準ユーティリティである「mshta.exe」を通じて実行される。このHTAファイルはDLLペイロードをメモリ上に直接展開（リフレクティブローディング）した後、解析による追跡を防ぐため、自身のファイルを即座に削除するアンチフォレンジック（証拠隠滅）処理を行う。

メモリ上での多段階展開と検知回避

展開されたDLLはドロッパー（後続の不正プログラムを配置・実行するマルウェア）として機能し、以下の3つのコンポーネントを内包している。

• appT.bat: WindowsレジストリのRunキーに登録され、ユーザーの操作なしに「mshta.exe」経由で「startT.hta」を実行するバッチスクリプト
• startT.hta: 難読化された最終ペイロードを保持する第2段階のエクスプロイト
• commskl.docx: 被害者の不審感を和らげるために画面へ表示されるおとりのWord文書（デコイ）

「startT.hta」内のコードは多段階の復号処理を行い、2つのパートから構成されるXAMLペイロードをメモリ上で直接再構築して別のDLL（ioluegnt.dll）を読み込む。マルウェアはBase64形式のデータを.NETのデシリアライゼーション（データ復元処理）を通じて揮発性メモリ空間へと展開するため、ディスクへのファイル書き込みを伴わず、ファイルベースのセキュリティ製品による検知をすり抜ける仕組みとなっている。

遠隔操作マルウェア「ReverseRAT」の機能と通信

最終的に実行されるDLLの実体は、SideCopyが2021年初頭から継続して悪用している遠隔操作型トロイの木馬（RAT：遠隔からの不正操作を可能にするマルウェア）「ReverseRAT」である。ReverseRATは、感染端末における永続的なアクセス権の維持、遠隔操作、機密データの窃取を担う。

具体的には、以下のような機能が備わっている。

• システムメタデータおよびインストール済みソフトウェア一覧の取得
• 画面のスクリーンショット撮影
• 保存されているパスワードやクリップボードにコピーされた文字列の収集
• ファイルの作成・修正・削除・アップロードなどのファイル操作
• レジストリを悪用した永続化の設定
• 任意のコマンド実行や対話型シェルセッションの起動

C2（指令サーバー）との通信トラフィックは、ハードコードされた暗号鍵（NMXIKS09?:709,!~lnsYUS）を用いて暗号化される。収集された情報はポート5863経由でサーバー「dns.educationportals[.]biz」（IPアドレス：45.61.157[.]22）へと送信されていた。

Trellixによる脅威分析

Trellixは、SideCopyの活動について「情報収集に対する規律正しく高度に戦略的なアプローチが浮き彫りになっている」と評価している。

従来の政府・防衛機関から学術機関へと標的を移行させた動きは、情報収集の対象領域を拡大している実態を示している。さらに、mshta.exeの組織的な悪用や複雑な多層難読化手法を継続的に改良していることから、同地域における重大な脅威であり続けていると警戒を促している。