中国系マルウェア「Daxin」が台湾で再発見、ログイン前にシステムを乗っ取る新種のバックドア「Stupig」も同時検出

要点

• 中国との関連が指摘される高度なマルウェア「Daxin」が、約4年ぶりに台湾の製造業企業で再検出された。

• 同一のサーバーから、Windowsのログイン画面で動作する新種のバックドア「Stupig」が同時に発見された。

• 「Stupig」は、ユーザーがログインする前に、ログを残すことなく最高権限（SYSTEM権限）でコマンドを実行できる。

• 両ツールのコンパイル時期は2013年であり、攻撃者が13年間にわたって検出を免れ、潜伏し続けていた可能性が浮上している。

• 米ブロードコム傘下のシマンテックとカーボンブラックの脅威調査チームは、中国政府系ハッカーとの関連が疑われる高度なマルウェア「Daxin」が台湾のハイテク製造企業で再び検出されたと発表した。さらに同一のコンピュータから、Windowsのログイン前に動作し、最高権限でのコマンド実行を可能にする新種のバックドア（侵入経路）「Stupig」も発見された。これらは長年にわたり標的のネットワーク内で隠密に活動を維持していたとみられる。

13年間に及ぶ潜伏の可能性

マルウェア「Daxin（ダーシン）」は、2022年3月に初めて公表されたカーネルモード（OSの基盤部分でメモリやハードウェアに直接アクセスできる最上位の権限モード）のルートキット（自身の存在を隠蔽し不正操作を行うプログラム）である。すでに2013年の時点で政府機関や重要インフラを標的としたスパイ活動に使用されていたことが確認されている。

今回の調査で、台湾にある多国籍ハイテクメーカーの子会社のシステムにおいて、Daxinが2026年になってもなお稼働し続けていることが確認された。この感染コンピュータからは、同時に「Stupig（ステューピッグ）」と呼ばれる、これまで報告されていなかった新しいバックドアも発見された。

注目すべきは、今回発見されたDaxinおよびStupigのファイルのコンパイル（ソースコードを実行形式に変換する処理）時のタイムスタンプが、いずれも2013年初頭のものであった点である。一方で、感染したコンピュータから動作データ（テレメトリ）がセキュリティ製品に送信され始めたのは2026年5月12日であった。このタイムスタンプの乖離と攻撃者の高度な隠蔽能力から、このサイバー攻撃は13年近くにわたって誰にも気づかれずに続いていた可能性がある。DaxinとStupigのコードに重複は見られないが、同時導入や開発の類似性から、同じ攻撃グループによるものと推測されている。

ログイン前にシステムを支配する「Stupig」

新たに検出された「Stupig」は、既存のどのマルウェアにも記録されていない独自の手法を用いる。このプログラムは、Windowsの「キーボードレイアウトプロバイダ」として自身を登録することでシステムに常駐する。これにより、システム起動時にログイン処理を司るプロセス「winlogon.exe」へ自動的にロードされる仕組みとなっている。

Stupigのファイル名は米国英語キーボード用の正規ライブラリ（複数のプログラムが共通して利用するファイル）である「kbdus.dll」に偽装されており、キーボード入力も通常通り機能するため、管理者が稼働モジュールを調査しても一見しただけでは見抜けない。

「winlogon.exe」内でStupigが動き始めると、ログイン画面に入力されるユーザー名を監視する。入力されたユーザー名が「stupig」で始まっている場合、それに続く文字列をコマンド（命令）として解釈し、最高レベルの「SYSTEM権限（OSと同等の操作ができる最高特権）」で直ちに実行する。コマンドが指定されていなかった場合は、ログイン画面上にSYSTEM権限のコマンドプロンプト（命令を入力する画面）を起動する。これにより、ユーザーのログイン前かつ監査ログを発生させずに、特権操作や認証情報の窃取を行うことができる。

監視をすり抜ける「Daxin」の通信手法と感染経路

もう一方の「Daxin」も、一般的なマルウェアとは異なる特徴的な通信制御を採用している。Daxinは外部の攻撃者サーバー（C2サーバー：感染したコンピュータに指示を送る指令サーバー）に自発的に接続せず、着信するTCPネットワークトラフィックを常に監視する。特定のパターンを検知すると正規の通信を乗っ取って暗号化通信を行うため、通常のネットワーク監視では検知が極めて困難である。また、ネットから物理的に隔離された環境でも、感染マシン同士を中継する「マルチホップ通信」により、隔離されたセグメントに到達できる。

侵害経路の詳細は不明だが、2009〜2011年に使用されていた、サポート終了済みの古いJava環境（JDK 1.5および1.6）で稼働するデジウィン社製のシングルサインオン（SSO、一度の認証で複数システムにログインできる仕組み）ポータルの脆弱性が利用されたと疑われている。

補足

今回の発見は、10年以上前に開発された古典的かつ極めて洗練されたツールが、現在もなお強力な脅威として隠密に潜伏し続けている現実を示している。