ロシアの医療機関に2年間潜伏、VMware Toolsを隠れ蓑にしたサイバー攻撃の手口が判明

要点

• ロシアの大手医療組織にベラルーシ寄りのハッカー集団が約2年間にわたり潜伏していたことが判明した。

• 正規ツール「VMware Tools」の領域やDLLを悪用し、長期間にわたりセキュリティ監視を回避していた。

• 従来のデータ破壊工作を行わず、関連機関への侵入拠点や情報収集を目的に潜伏を続けたとみられる。

• Telegram悪用バックドア「Vasilek」の最新版が投入され、画面操作の偽装や高度な隠蔽技術が使われていた。

• ロシアのサイバーセキュリティ企業Solarは2026年10月、ベラルーシ寄りのハクティビスト集団がロシア国内の医療組織に約2年間潜伏していたとする調査結果を発表した。侵害は2025年12月に発見されたが、侵入の痕跡は2024年初頭まで遡るという。攻撃者はVMwareの正規機能を偽装したバックドアを展開し、組織的な破壊を避けて長期潜伏を続けていたとされる。

攻撃集団の背景と手口の変化

この攻撃を主導したとされるのは、「Partisan Zmiy」や「Cyber Partisans」と呼ばれる脅威アクターだ。政治的動機を持つハクティビスト（政治的・社会的主張のためにサイバー攻撃を行う集団）として2020年から活動が確認され、ロシアやベラルーシの産業企業や政府機関を標的としてきた。同集団は、メッセージアプリ「Telegram」をC2（指令サーバー）通信に使うバックドア「Vasilek」や、正規VPNソフトと遠隔操作ツール「DNSCat2」を同時に送り込むフィッシングを展開してきた実績がある。

従来の攻撃ではデータ消去用ワイパー「Pryanik」による破壊やログ消去ツール「Evlx」による痕跡隠蔽が特徴だったが、今回の医療機関に対する攻撃では破壊活動を一切行わずに潜伏を維持した。Solarは、標的組織が多数の傘下医療機関と信頼関係を結んでいたことから、さらなるスパイ活動や二次攻撃の足がかりとしてアクセス権を温存したと分析している。なお、具体的な組織名や初期侵入経路は公表されていない。

VMware Toolsを悪用した持続化の手口

侵入を維持するために悪用されたのが、仮想化ソフトウェアの管理コンポーネントである「VMware Tools」だった。攻撃者はシステム内に「vmauad」というローダー兼スケジューラーサービスを構築し、正規のVMware機能であるかのように偽装していた。

信頼されつつも監視が行き届きにくいVMware Toolsのディレクトリ領域が悪用され、不正な実行ファイルが配置されたほか、正規のDLL（プログラムの共通部品）が悪意ある「vmtools.dll」へ置き換えられていた。このサービスは不正バイナリ「authd.exe」を起動する役割を持ち、毎週土曜日の午後10時から11時に「GOST」を用いた通信トンネルを確立していた。さらにサービス開始から8時間後に一度だけ、最新のバックドア「Vasilek（バージョン1.5.8）」を呼び出す仕組みとなっていた。

バックドア「Vasilek」の機能と徹底した隠蔽工作

端末に展開された「Vasilek」は、システム情報収集、コマンド実行、プロセス制御、ファイル転送、画面キャプチャ、キー入力記録などを行える高機能なバックドアだ。「runas」による権限昇格やスリープ阻止、自己アップデートや自己削除機能も備える。バージョン1.5.8では、カーソルを動かして人間の操作を偽装する「move_cursor」コマンドも追加されていた。

Solarによると、同集団は新機能の拡充よりも運用の隠蔽性に注力しているという。夜間に限定した実行スケジュール、プロキシ設定の継承、使用されていない正規ソフトへの偽装、タイムストンピング（ファイルの作成・更新日時の偽装）など、多層的な隠蔽工作が施されていた。なお、ロシア国内でTelegramが遮断されている影響で、C2との通信には一部で不安定な挙動も見られたという。

関連して報告された新種マルウェア「HypeAgent」

あわせてSolarは、業務関連文書を装ったJavaScript添付ファイルによるフィッシング攻撃についても公表した。この攻撃で配布される「HypeAgent」は、感染端末を完全に掌握するWindows向けトロイの木馬だ。ファイル窃取やコンソール起動、Webカメラの操作、キー入力記録、遠隔操作、マウス制御に加え、暗号資産マイナーを導入する機能まで備えているという。