中国系ハッカー「JadeProx」、新マルウェアでアジアや中南米の政府・医療機関を攻撃か

要点

• 中国に関連があるとみられる攻撃グループ「JadeProx」が、アジアや中南米の政府・医療・教育機関を標的にしていることが判明した。
• 攻撃には、検出を回避しながらバックドアなどを起動する未確認のWindows向けローダー「TriBack Loader」が使われていた。
• AIアシスタント「Claude」の偽公式サイトを構築し、マルウェア入りのインストーラーをダウンロードさせるフィッシングキャンペーンも確認された。
• 攻撃サーバーの分析から、ベトナムの公立病院やマレーシア外務省への侵入、香港の教育機関への脆弱性スキャンなどの痕跡が見つかった。

リード文

シンガポールのAlibaba Cloudサーバーの露出から、中国系攻撃グループ「JadeProx」の活動が明らかになった。セキュリティ企業Group-IBは2026年7月23日に調査レポートを公開し、このグループが「TriBack Loader」と呼ばれる未確認のWindows向けローダー（マルウェアを読み込むプログラム）を使用し、アジアや中南米のインフラを攻撃していたと報告した。

露出したサーバーから判明した攻撃の痕跡

Group-IBは2026年4月中旬、Alibaba Cloudのシンガポールリージョンで保護されていないサーバーを発見した。レポート公開時にはオフラインだったが、サーバー内のコマンド履歴やフィッシング用データ、Webシェル（サーバーを遠隔操作するプログラム）のパスから攻撃の詳細が判明した。

分析によると、グループはベトナムの公立病院の医療画像システムやマレーシア外務省へ侵入したほか、ホンジュラスの国民議会宛てのスピアフィッシング（特定の組織を狙う標的型メール攻撃）や、香港の教育機関を狙う脆弱性調査も行っていた。病院のケースでは、公開されていたJava管理画面にWebシェルを設置して画像サーバーへアクセスしていたという。

新たなローダー「TriBack Loader」の仕組み

活動の中核を担う「TriBack Loader」は、正規プログラム実行時に同じフォルダにある悪意あるDLL（プログラム部品）を読み込ませる「DLLサイドローディング」という手法を活用する。

正規の実行ファイル、悪意あるDLL、暗号化データがセットで使われ、DLLがデータを復号する。この際、セキュリティソフトの監視を避けるため、標準的なスレッド作成関数ではなく「InitOnceExecuteOnce」や「TimerQueue」のコールバック、非公開の「EtwpCreateEtwThread」といったAPIを呼び出してシェルコードを実行する。同様の手順が繰り返されているため、自動生成ツールの存在が指摘されている。

「Claude」偽サイトを利用したフィッシング手法

このローダーは、オープンソースの活動用フレームワーク「AdaptixC2」や、AIアシスタント「Claude」の公式ページを模したバリアントで使われていた。

後者は、偽ドメイン「claude-pro[.]com」（2026年3月28日登録）から悪意あるMSIインストーラーを配布。ユーザーが実行してUAC（ユーザーアカウント制御）を許可すると、DLLサイドローディングによりWindows起動時に「Beagle」と呼ばれるバックドアが自動実行される仕組みだった。

Sophosの調査では、過去のマルウェアで同じ暗号鍵（XORキー）が使われていたが、ツール共有が一般的な中国系エコシステムにおいて、これだけで同一グループと特定するのは困難だという。

広範な脆弱性スキャンと悪用の試み

さらに、脆弱性スキャナー「Nuclei」を使用し、香港の教育機関に関連する14,653個のURLから「クリティカル」な脆弱性を探すスキャンを行い、13個の独自の脆弱性を検出していた。また、以下の4つの脆弱性（CVE：脆弱性の世界共通識別番号）の悪用を試みたことが判明している。

• CVE-2018-11511: ASUSTOR NASの脆弱性
• CVE-2021-24139: WordPressプラグイン「10Web Photo Gallery」の脆弱性
• CVE-2021-31755: Tenda AC11ルーターの脆弱性
• CVE-2021-32305: WebSVNの脆弱性

これらはいずれも危険度が最高の「9.8」に分類される脆弱性で、Tendaの脆弱性は2021年から米CISAの悪用確認済みリストに登録されている。

まとめと脅威の広がり

Sophosの評価では、偽のClaudeサイトは不正広告（マルバタイジング）キャンペーンの一部である可能性が高いとされている。これが事実であれば、被害は特定組織にとどまらず、Claudeを検索してダウンロードしようとした一般ユーザーにも広く及んでいる可能性がある。対策として、DLLサイドローディングによる不審なファイル読み込みなどの監視が重要だとされている。