NVIDIAの正規ツールに偽装する新種のRust製遠隔操作木馬「LabubaRAT」が発見される、高い再利用性と多様な通信経路が特徴

要点

• NVIDIAのコンテナランタイムツールキットに偽装してWindowsホストを制御する、新種のRust製遠隔操作木馬（RAT）「LabubaRAT」が発見された。

• 接続先サーバー情報を起動時のコマンドライン引数から受け取る設計になっており、同一のコンパイル済みバイナリを様々な標的やインフラで再利用できる。

• 侵入したPCの内部情報を細かく調査し、主要なブラウザやセキュリティ対策ソフトの有無を確認した上で、最適な遠隔操作の準備を整える。

• HTTPSやDNSトンネリングなど複数の通信手段に対応しており、一部の通信経路が遮断されても攻撃者との接続を維持できる強力な回避能力を持つ。

• セキュリティ企業Blackpoint Cyberは2026年7月14日、Windowsシステムを標的とする未検出の遠隔操作木馬（RAT：遠隔操作を行うソフトウェア）「LabubaRAT」の分析を公表した。本マルウェアはプログラミング言語のRust（安全で高速なシステム開発向け言語）で開発され、NVIDIAの正規ソフトウェアに偽装して潜伏する。グラフィックボード大手のツールを騙る手口は非常に狡猾で、MaaS（マルウェアの利用権を有償で提供するビジネスモデル）の兆候もみられ警戒を集めている。

正規ツールを模した偽装と高度な再利用性

LabubaRATの攻撃は、「nvidia-sysruntime.exe」という実行ファイルから始まる。これは、NVIDIAのコンテナランタイムツールキット（コンテナと呼ばれる仮想環境でGPUを利用するための支援ツール）に偽装した名称であり、システム内で正規のプロセスとして紛れ込むことを狙っている。

本マルウェアの大きな特徴は、接続先となるコマンド＆コントロール（C2：攻撃者がマルウェアに命令を送る指令サーバー）の情報をプログラム内に直接書き込んでいない点にある。起動時にコマンドライン引数として接続先サーバー（「pipicka[.]xyz」など）や通信間隔などのパラメータを受け取る仕様だ。

これにより、同じコンパイル済みバイナリを使い回し、異なるインフラや標的組織、キャンペーンごとに再利用できる。パラメータは、Base64でエンコードした単一の引数として渡すことも可能で、研究者は「起動時にこれらの値が供給されるため、ハードコードされたサーバーに頼る必要がない」と説明している。

標的環境の綿密な調査プロセス

起動したLabubaRATは、まず受け取った設定情報をローカルのSQLite（軽量なデータベースシステム）データベースに保存する。その後、ホスト内にどのようなWebブラウザやセキュリティ対策製品がインストールされているかを細かく探索する。

探索対象には、Google Chrome、Mozilla Firefox、Microsoft Edge、Braveといったブラウザのほか、Microsoft Defender、CrowdStrike、SentinelOne、Carbon Black、Sophos、Malwarebytes、Bitdefender、ESET、Kaspersky、McAfee、Symantec、Trend Microといった多岐にわたるセキュリティツールが含まれている。

さらに、ホスト名やCPUモデル、メモリ（RAM）容量、WindowsのUAC（ユーザーアカウント制御：管理者権限が必要なシステム変更時に警告を出すセキュリティ機能）の状態といったシステム情報も収集する。これらの環境調査を行うのは、導入されているセキュリティ製品に応じてその後のRATの挙動を最適化するためだ。

豊富な機能と冗長化された通信経路

LabubaRATは、攻撃者が標的のホストを思い通りに制御するための豊富なコマンド群を備えている。コマンドやPowerShell、JavaScriptの実行機能に加え、スクリーンショットの撮影、ファイルのアップロードとダウンロード、アーカイブ操作、そしてSOCKS5プロキシ（通信を別のホストを経由させて中継する仕組み）のサポートなどが網羅されている。

これにより、別のローダー（追加の不正プログラムを読み込むツール）や個別ツールを使わず、このマルウェア単体で操作やファイル移動、トラフィック迂回を実行してアクセスを維持できる。

通信経路も頑健で、HTTPSやWebView2（アプリ内にWebコンテンツを表示する技術）のほか、DNSトンネリング（DNSプロトコルを利用してファイアウォールを回避しつつ通信する手法）といった複数の接続手段を使い分ける。あるルートが検知・遮断されても、別のルートで接続を維持できる設計だ。

「LabubaPanel」と構造化されたフレームワーク

このマルウェアの名称は、C2インフラに関連付けられたタイトル「LabubaPanel」や、Labubu（ポップマートの人気キャラクター）をモチーフにしたファビコン（Webサイトのアイコン画像）に由来している。

Blackpoint Cyberの研究者であるサム・デッカー氏とネバン・ビール氏は、「LabubaPanelという名称は明確な識別手がかりだが、より重要なのはその背後にあるフレームワーク構造だ」と指摘する。本マルウェアは、複数のデプロイメントにわたって設定や運用が行えるように設計された、極めて実用的なRust製のRATプラットフォームと言える。