ミャンマー政府やIT機関を狙うサイバー攻撃「Operation QUICSILVER」が発覚、Go製バックドアを展開

要点

• インドのセキュリティ企業Seqrite Labsが、ミャンマーの政府機関およびIT部門を狙ったサイバー攻撃「Operation QUICSILVER」を確認した。

• 攻撃者は偽の祝日案内や式典の招待状を囮（おとり）として使い、Windowsの正規コマンドを悪用して多段階で侵入を進めていた。

• 最終段階で展開されるGo言語製のバックドア「QUICAgent」は、UDP経由のQUIC通信を用いて遠隔操作を行っていた。

• 自動解析を妨害するサンドボックス回避機能や、Cloudflare Workersを経由した通信先アドレスの動的取得など、検知を逃れる工夫が施されていた。

• 同社はこの一連の攻撃活動について、中程度の確信度で中国に関連する脅威アクターによるものと分析している。

• インドのサイバーセキュリティ企業Seqrite Labsは、ミャンマーの政府機関や情報技術（IT）部門を標的とした新たなサイバースパイ活動「Operation QUICSILVER（クイックシルバー作戦）」を観測したと発表した。攻撃者は式典の案内などを装ったファイルを通じて侵入を図り、Go言語で開発されたバックドア「QUICAgent」を感染させていたという。同社はこの攻撃について、中程度の確信度で中国に関連する脅威アクターの関与を指摘している。

祝日カレンダーや式典招待状を悪用した巧妙な囮ファイル

Seqrite Labsによると、この攻撃活動は2026年4月に初めて確認された。当初はベルギーとミャンマーの偽の祝日カレンダーを囮とし、「HolidayNotice.pdf.exe」という二重拡張子のファイルが使われていた。

その後、2026年6月および7月に検出された検体では手法が変化し、仮想ハードディスク（VHD：ディスクドライブを模した仮想ファイル形式）ファイルを悪用する形態に移行したという。VHDファイル内部にはPDF文書に見せかけたWindowsショートカット（LNK）ファイルが配置されていた。

被害者がこのショートカットを開くと、ミャンマー運輸通信省傘下の情報技術サイバーセキュリティ局（ITCSD）からの公式な卒業式招待状を装った、ビルマ語の偽PDF（デコイ）が画面上に表示される仕組みとなっていた。

正規バイナリ「ftp.exe」の悪用とファイル結合によるペイロード復元

画面上に囮の案内状が表示されている裏で、ショートカットファイルはWindowsに標準搭載されている正規プログラム「ftp.exe」を密かに起動していた。

これは「LOLBAS（Living Off The Land Binaries and Scripts：OS標準の正規ツールを悪用して攻撃を行う手法）」と呼ばれる手口で、マイクロソフトの正規署名を持つftp.exeの「-s」オプションを悪用し、ローカルスクリプト内のコマンドを実行させていた。

Seqrite Labsの研究者であるPriya Patel氏とKartik Jivani氏によると、実行されたスクリプトは非表示ディレクトリ「_rels」内に配置された「header.doc」と「body.doc」という2つの文書ファイルを検索する。その後、Windowsの標準コマンド「copy /b」を用いてこれらをバイナリ結合し、次段階の悪意あるプログラム（ペイロード）を復元・再構成していたという。

バックドア「QUICAgent」の機能とサンドボックス回避策

復元されるプログラムは、プログラミング言語Go（Golang）で作成された「QUICAgent」と呼ばれるインプラント（潜伏型マルウェア）である。

QUICAgentは、セキュリティ製品による自動解析を妨害する「サンドボックス回避技術」を備えている。具体的には、100〜600ミリ秒のランダムな待機時間を設けた上で、SHA-256ハッシュの計算処理を1,000回繰り返し実行し、自動解析環境の制限時間を意図的に消費させて検知をすり抜ける仕組みを取り入れていた。

バックドアとしての機能はシンプルであり、遠隔からのコマンド実行、ファイルの転送、ディレクトリの閲覧、ビーコン（定期通信）間隔の変更という計5種類のコマンドをサポートしている。

また、システムへの常駐（永続化）を図るため、現在ログインしているユーザーのWindowsスタートアップフォルダ内にショートカット（LNK）ファイルを作成し、次回ログイン時にも自動実行されるよう設定していた。

Cloudflare WorkersとQUICプロトコルを利用したC2通信

QUICAgentは、指令サーバー（C2サーバー）との通信経路にも検知を避ける工夫を施していた。

まず、2つのCloudflare Workersドメインに対してHTTP GETリクエストを送信し、バックエンドのC2サーバーのアドレス（104.64.211[.]22）を動的に取得する。その後、取得したアドレスにポート443を付加し、UDPポート443上で動作する次世代通信プロトコル「QUIC」を用いてC2サーバーとの通信を確立していた。

感染した端末には一意の識別子「X-Agent-ID」が割り当てられ、端末の基本情報を含むビーコン信号が5秒ごとにサーバーへ送信される仕様となっていた。

中国系グループ「Mustang Panda」によるカーネルドライバ悪用の動きも

今回の報告と同時期に、中国に関連する別の脅威グループ「Mustang Panda」が既知のバックドア「COOLCLIENT」の更新版を使用している事例も明らかになっている。

COOLCLIENTは2022年に初めて確認されたマルウェアで、キーロガーやクリップボード情報の窃取、認証情報の収集、ファイル管理、システム偵察、プラグインによる機能拡張など幅広い機能を備えている。最新の攻撃では、PlugXを用いたDLLサイドローディング経由で展開され、署名済みのカーネルモードドライバ「Msagent.sys」を導入する機能が追加されていた。

ロシアのセキュリティ企業Kasperskyによると、このドライバはCOOLCLIENTのプロセスを隠蔽し、関連ファイルやレジストリエントリを保護することで、セキュリティ製品による検査や改変を防ぐ役割を果たしているという。この更新版は、ミャンマーをはじめ、モンゴル、パキスタン、ロシアへの侵入活動で確認されている。