ロシア企業を標的とする3つの攻撃グループが判明、バックドアやランサムウェアを駆使

要点

• カスペルスキーの調査により、ロシア国内の企業を標的とする「NightEagle」「Hacking Cat」「Toy Ghouls」の3つの脅威グループの活動が判明した。

• 脅威アクター「NightEagle」は、侵害されたVPN認証情報やバックドア「GhostContainer」を用いてExchangeサーバーやActive Directoryへ侵入している。

• 親ウクライナ派の「Hacking Cat」はWeb改ざんから戦術を転換し、Go製RAT「Gorilla RAT」や複数言語で書かれたランサムウェア「Monkey」を展開している。

• 攻撃グループは脆弱性の悪用やオープンソースツールの流用により、検知の回避と標的ネットワーク内での持続的なアクセスの維持を図っている。

• セキュリティ企業のカスペルスキー（Kaspersky）は2026年9月16日、ロシア国内の企業を標的とする3つの脅威活動グループに関する分析レポートを公開した。同社によると、「NightEagle」「Hacking Cat」「Toy Ghouls」として追跡されているこれらのグループは、バックドアやランサムウェア、ワイパー（データを復旧不能にする破壊用マルウェア）などを用い、標的組織への侵入や破壊活動を行っているという。

企業VPNとExchangeサーバーを狙う「NightEagle」の新手口

「NightEagle」（別名「APT-Q-95」）は、少なくとも2023年から活動が確認されている脅威アクターだ。カスペルスキーの報告によると、同グループは持続的なアクセス維持やネットワーク内の横展開において新たな手法を用いている。

大半の事案において、攻撃者は事前に流出した正規の認証情報を使用し、企業のVPN（仮想専用線）経由で侵入していた。接続元のIPアドレスは、Cloudflare WARPトンネルに関連付けられたロシア国内のものや、欧州の仮想インフラプロバイダに関連するものが確認されている。

侵入後、攻撃者は「GhostContainer」と呼ばれるモジュール型のバックドア（外部から不正操作を行うための侵入口）を展開する。このマルウェアは、侵害したMicrosoft Exchange Serverの完全な制御権を攻撃者に与え、任意のコード実行やファイル操作、追加モジュールの読み込みを可能にする。検知を回避するため、通常のサーバーコンポーネントに偽装して正規の動作に紛れ込む特徴を持ち、トラフィックのリダイレクトやトンネルとしても機能するという。GhostContainerは過去にアジア地域の政府機関やハイテク企業への攻撃でも確認されている。

カスペルスキーによると、GhostContainerには「Neo-reGeorg」トンネル、脆弱性「CVE-2020-0688」のエクスプロイト、および「ysoserial」の「GhostWebShell」クラスなど、GitHub上で公開されている複数のオープンソースプロジェクトのコンポーネントが組み込まれている。サーバーへの正確な配信経路は判明していないものの、ASP.NETの設定から暗号化キーを抽出し、VIEWSTATEパラメータを上書きしてペイロードを注入することで、メモリ上でバックドアを実行させたと推測されている。

内部ネットワークの横展開とActive Directoryの掌握

内部ネットワーク内での横展開において、NightEagleは「Microsoft dev tunnels」やオープンソースツール「rdp2tcp」をダウンロードし、RDP（リモートデスクトッププロトコル）経由でトラフィックをリダイレクトしていた。

さらに攻撃者は、Active Directory（Windows環境のアカウントや端末を一元管理する仕組み）の各種脆弱性を悪用して権限昇格と横展開を進めている。具体的には、脆弱性「CVE-2019-0708」（通称「BlueKeep」）を悪用してローカルアカウントを作成し、管理者グループやリモートデスクトップユーザーグループに追加していた。

加えて、「DCSync攻撃」（ドメインコントローラー間の同期機能を悪用して認証情報を詐取する手法）によってドメインコントローラーへのなりすましも試みられている。攻撃者の最終的な狙いは、標的インフラ内での持続的な足場を築き、ドメインアカウントのパスワードハッシュを取得し、長期間有効なKerberosチケットを用いて正規アクセスを装うことで、ドメインコントローラーおよび被害組織のActive Directoryインフラ全体を完全に乗っ取ることにあると説明されている。

破壊的攻撃へと戦術をシフトした親ウクライナ派「Hacking Cat」

もうひとつのグループ「Hacking Cat」は、2024年2月以降、Webサイトの改ざんやデータ漏洩を行ってきた親ウクライナ派のハクティビスト（政治的動機を持つ攻撃者集団）だ。同グループはここ数か月で戦術を転換し、データの暗号化や破壊を伴う攻撃に軸足を移しているという。

Hacking Catは「Cyber Anarchy Squad」や「Ukrainian Cyber Alliance」といった他のハクティビスト集団とも活発に協力しており、ツールの帰属特定を難しくさせているとカスペルスキーは指摘している。

同グループの攻撃では、Exchangeサーバーの脆弱性（「CVE-2021-26855」や「CVE-2026-42897」など）が悪用され、「Gorilla RAT」と呼ばれるGo言語ベースのRAT（リモートアクセス型トロイの木馬）が配信されている。Gorilla RATはトラフィックをトンネリングし、攻撃者が内部ネットワークへアクセスすることを可能にする。起動後はリモートサーバーと接続して被害端末を登録し、任意コマンドの実行、プロセス列挙、システム情報の収集、ファイルの送受信、TCPトンネルの開閉などの指示を受け付ける。

さらに、同グループは「Monkey」と呼ばれるランサムウェアの複数バリアントも展開している。MonkeyはRust、.NET、C++、Golangといった多様な言語で記述されており、Windows、Linux、VMware ESXiシステムを標的としている。このランサムウェアの最初期のアーティファクトは、2025年晩夏に遡ることが確認されている。