新種のGo言語製ローダー「HollowFrame」とRust製バックドア「Matryoshka」が判明、法律事務所を狙った高度な標的型攻撃が明らかに

要点

• 米セキュリティ企業が、Go言語製ローダー「HollowFrame」とRust製バックドア「Matryoshka」の存在を公表した。

• 攻撃は法律事務所を標的とし、文書を装ったWindowsショートカットファイルを開かせるスピアフィッシングから始まる。

• 「HollowFrame」は、マウスの動きや稼働時間を検知して解析環境（サンドボックス）を回避する機能を備える。

• 「Matryoshka」の亜種には、指令サーバーとして正規サービスであるGitHubのプライベートリポジトリを悪用するものがある。

• 侵入プロセスが多段階に細分化されており、各段階の挙動が分散しているため検知や攻撃者の特定が困難になっている。

• 米サイバーセキュリティ企業Blackpoint Cyberは2026年7月31日、Go言語で開発された新種のローダー「HollowFrame」と、Rust言語で開発されたバックドア「Matryoshka」を用いた高度な標的型攻撃について調査結果を公開した。この攻撃は法律事務所を標的として実行され、永続的な侵入経路の確立や追加ツールの配備に悪用されていたという。分析を進めたNevan Beal氏とSam Decker氏は、攻撃者が検知を巧みに回避するため、複数の段階に分かれた複雑な侵入プロセスを採用していると説明している。

攻撃の始まりと多段階の侵入

攻撃は、法律事務所の2つの端末を狙ったスピアフィッシング（特定の標的を狙ったなりすましメール）から開始された。送信されたメッセージには暗号化された圧縮アーカイブへのリンクが含まれており、中には「Case Documents（事件資料）」という名のWindowsショートカット（LNK）ファイルが格納されていた。

受信者がこのファイルを実行するとPowerShellコマンドが作動し、リモートサーバー（2.26.252[.]84）から次段階のプログラムをダウンロードする。その後、特権昇格やWindows Defenderの保護機能を無効化する処理が行され、さらなる不正プログラムの配置が進められる。

検知を回避する「HollowFrame」の機能

この攻撃で中核となる「HollowFrame」は、Go言語で開発されたモジュール式のローダー（不正プログラムをメモリ上に読み込ませるプログラム）であり、侵入状態を維持する役割を担う。

HollowFrameの起動には、正規のプログラムを利用して不正なファイルを読み込ませる「DLLサイドローディング」という手法が用いられる。具体的には、正規のPython実行ファイル（"python.exe"）が、不正なDLL（"python311.dll"）を誤ってロードするように仕向けられている。

さらに、セキュリティ製品による自動解析を行う「サンドボックス（隔離された仮想環境）」を回避するための機能が備わっている。プログラムは起動時に、システムの稼働時間、実装メモリ容量、ユーザープロファイル内のファイル数、そしてマウスカーソルの動きを監視し、自動解析環境であると判断した場合は動作を停止する。このチェックを通過すると、タスクスケジューラに自身を登録して永続的なアクセス経路を確立する。

GitHubを指令サーバーにする「Matryoshka」

HollowFrameは内部に暗号化された領域を持ち、これを展開して第2のDLLサイドローディングを実行し、Rust言語で書かれたバックドア（遠隔操作用の裏口）である「Matryoshka」を配置する。

Matryoshkaには通信方式の異なる2つの亜種が確認されている。
1つ目の亜種（"version.dll"）は、外部の指令（C2）サーバー（45.158.196[.]184:8888）とHTTPを介して通信を行い、コマンド実行のためのシェルを立ち上げて追加のツールを配信する。

もう1つの亜種（"wtsapi32.dll"）は、ソフトウェア開発プラットフォームであるGitHubをC2サーバーの代替として悪用する。この亜種は、GitHub上のプライベートリポジトリ（"adioziaete/memio"）と通信し、指示の受信や実行結果の送信を行う。

リポジトリ内には感染端末ごとに個別のフォルダが作成され、その中に配置されたJSONファイル群を介して指示や実行結果をやり取りする仕組みだ。これにより攻撃者は指令サーバーを自前で維持する必要がなくなり、GitHubの公式APIを介することで通信も検知されにくくなる。当該GitHubアカウントは2023年作成で、2026年6月にも更新が確認されているが、攻撃者の素性は不明である。

挙動の分散による検出の難しさ

Blackpoint Cyberの調査員であるネヴァン・ビール氏とサム・デッカー氏は、「HollowFrameとMatryoshkaの組み合わせは、攻撃者に遠隔コマンドの実行、Active Directory（組織内のネットワーク資源やアカウントを一元管理するシステム）の偵察、ファイル転送、および追加ツールの展開に必要な持続的足場を提供する」と警告している。

また、本攻撃の大きな特徴として、一連の感染プロセスの各段階において、実行される不審な挙動が最小限に抑えられている点が挙げられる。各段階で実行される悪意ある挙動が分散しているため、個々のファイルを単体で調査しても感染の全体像が見えないようになっており、セキュリティ製品による検出や、攻撃グループの特定（アトリビューション）を極めて困難にしている。