中国背景が疑われるハッカー集団、インドの偽確定申告ソフトで遠隔操作マルウェア「DcRAT」を配備する攻撃を展開

要点

• 中国に関連すると疑われるサイバー攻撃集団が、インドの納税者や財務担当者を狙った標的型攻撃キャンペーンを展開していることが明らかになった。
• 攻撃者はインド所得税局を装った不審なメールを送信し、法的な罰則を警告して受信者に偽のWebサイトから確定申告用のツールをダウンロードするよう誘導する。
• ダウンロードされるファイルは、画像ファイルに隠された不正なコードを検出回避のために段階的に抽出し、最終的に遠隔操作用マルウェア「DcRAT」を標的のシステムにインストールする。
• セキュリティ企業の調査により、攻撃者が使用したサーバーの管理画面が中国語であることや、過去に観測された中国のサイバー犯罪グループ「Silver Fox」との関連性が示唆されている。

• インドの納税者や税務専門家、企業の財務チームを標的とし、遠隔操作用のトロイの木馬マルウェア（感染したコンピュータを外部から操作する不正プログラム）を感染させて機密データを盗み出そうとする、中国に関連するとみられるサイバー攻撃の動きが観測された。これはインドのサイバーセキュリティ企業であるSeqrite Labsが2026年7月6日（現地時間）に公開した調査報告書で明らかになったもので、同社はこの一連の攻撃キャンペーンを「Operation DragonReturn」と名付けている。この攻撃はインド国内の確定申告シーズンに合わせて実施されたもので、最初の攻撃は2026年5月18日に検出されたという。

• セキュリティ研究者のDixit Panchal氏とSoumen Burma氏の報告によると、この攻撃は不特定多数を狙ったものではなく、非常に精密に作成された偽の税務文書や実際の法律の引用、二言語（英語とヒンディー語）で記述されたコンテンツを用いている。さらに、検出を避けるためにペイロード（マルウェアの攻撃コード本体）を頻繁に入れ替えるなど、インドの納税システムに関わるユーザーに的を絞った組織的かつ執拗な作戦であることが特徴であるという。

• 攻撃はまず、インド所得税局を偽装したスピアフィッシングメール（特定の組織や個人を狙った標的型攻撃メール）の送信から始まる。メールには税法違反や罰則の警告が記載されたPDFファイルが添付されており、受信者に心理的な焦りを生じさせてファイル内に埋め込まれた不正なリンクをクリックさせようとする。

• リンクの宛先は「govtop[.]one/incometax」という偽のWebサイトになっており、アクセスしたユーザーに対して、同局が確定申告の電子手続き用に提供している実在のオフライン用ユーティリティソフトに見せかけたZIP形式の圧縮ファイルをダウンロードするよう促す。

• しかし、この圧縮ファイルには悪意あるコードが含まれている。ユーザーがファイルを実行すると、正規のプログラムが読み込まれる背後で、「nvdaHelperRemote.dll」と呼ばれる不正なDLL（他のプログラムから呼び出されて機能を提供するファイル）ファイルを同時にロードする「DLLサイドローディング」という手法が実行される。これにより、別の不正なプログラムがメモリ上に直接注入（インジェクション）される。

• 注入されたプログラムは、まず自身が管理者権限で実行されているかを検証し、権限が不足している場合は、WindowsのUAC（ユーザーアカウント制御。システム変更時にユーザーの確認を求める仕組み）のポップアップを表示して、ユーザー自身の手で高い権限を与えて実行するように仕向ける。さらに、セキュリティ研究者が解析のために用いる「サンドボックス」と呼ばれる安全な仮想検証環境で動作していないかを検出するための確認作業を行う。

• 環境のチェックを通過すると、プログラムは特定のサーバー（IPアドレス「204.194.48[.]250」）へアクセスし、「lllyd.jpg」という画像ファイルをダウンロードして「C:\Windows\background.jpg」として保存する。この画像ファイルは不正なペイロードを隠すためのコンテナ（容器）として機能しており、内部から504KBのDLLファイルが抽出されて「C:\Program Files\Windows Media Player\nvdaHelperRemote.dll」として書き出される。

• さらにマルウェアは自身を「Mixed Reality.exe」という名前でコピーし、「MixedSvc」というWindowsのシステムサービスを新規に作成して、コンピュータが起動するたびに自動で実行されるように設定して、システム内での永続性（再起動後も動作を維持する状態）を確立する。

• この「Mixed Reality.exe」は、最終的に2つの異なるペイロードを標的のシステムで実行する役割を担っている。1つ目のペイロードは、Windowsの標準セキュリティ機能であるAMSI（ウイルス対策ソフトと連携するスキャン機能）を無効化し、解析チェックを潜り抜けながら、遠隔操作用マルウェアである「DcRAT」を復号してメモリ上にロードする。もう1つのペイロードは、標的の画面のスクリーンショットを撮影し、外部のサーバー「kkxqbh[.]top」へ盗み出したデータを送信する機能を持っている。

• 今回の攻撃を主動しているグループの特定は完全にはなされていないものの、Seqrite Labsが攻撃インフラを分析した結果、中国の通信事業者であるChinaNetのIPアドレスが使用されていたほか、DcRATのC2サーバー（指令サーバー）である「223.26.63[.]40」において、中国語で構築されたWeb管理画面が公開状態になっていたことが確認された。さらに、過去に同様の税金をテーマにしたフィッシング攻撃で「ValleyRAT」というマルウェアを展開していた中国のサイバー犯罪グループ「Silver Fox（シルバーフォックス）」との間で、攻撃手法やサーバー設備に重複が見られることも判明した。これらの状況証拠から、このキャンペーンは中国政府などの意向に沿った脅威アクター（サイバー攻撃を行う個人や集団）が、情報の収集やログイン資格情報の窃取、組織的なデータの持ち出しを目的として、隠密なアクセス拠点を築くために実施したものと推測されている。

• なお、別のセキュリティ企業であるLevelBlueの報告によると、同時期に、偽のインストーラーや日本向けの不審なメールを利用して、同様のマルウェアであるValleyRATを拡散しようとする2つの異なる攻撃キャンペーンも検出されているという。