中国系サイバー犯罪集団「Silver Fox」、gRPCストリーミングを用いた新たなRAT「MODBEACON」を導入

要点

• 中国に関連するサイバー犯罪グループ「Silver Fox」が、Rust言語で書かれた新しいリモートアクセス木馬（RAT）「MODBEACON」を使用していることが判明した。

• セキュリティ企業QiAnXinの分析により、MODBEACONはオープンソースの検閲回避プロキシの転送層を悪用し、gRPCトンネルストリーミングによる暗号化通信を行っていることが明らかになった。

• このマルウェアは、偽のソフトウェアインストーラーを配布するSEOポイズニングキャンペーンを通じて、テクノロジー、教育、国有企業などを標的に展開されている。

• MODBEACONはプラグイン型の設計を採用しており、メモリ上へのプラグイン読み込みや情報窃取、侵入後のネットワーク横展開などの機能をオンデマンドで拡張できる。

• 中国に関連するサイバー犯罪グループ「Silver Fox（シルバー・フォックス）」が、Rust言語で開発された新しいリモートアクセス木馬（RAT：感染したコンピュータを外部から遠隔操作するためのマルウェア）「MODBEACON（モッドビーコン）」を使用していることが明らかになった。中国のサイバーセキュリティ企業QiAnXin（奇安信）が2026年7月10日に分析結果を公表した。本キャンペーンは国内のテクノロジー、教育、国有企業を標的とし、高度な暗号化通信や検出回避のための各種技術が盛り込まれている。

• QiAnXinの報告によると、Silver Foxは一見、SEOポイズニング（検索結果の上位に悪意あるサイトを表示させてユーザーを誘導する手法）による偽インストーラー拡散を行う、洗練度の低い犯罪グループに見える。しかし実際には強固な組織構造を有し、アジア全域で活動する複数のディストリビューター（配布元）を侵害している。これらのディストリビューターは、「Gh0st RAT」や「WinOS」などの亜種を配布しているという。

• 2026年6月中旬に観測されたキャンペーンでは、ディストリビューターの1つが、これまで未確認だったモジュール式RATであるMODBEACONを配信した。このディストリビューターは、詐欺ビジネスの感染拡大を図る「トラフィックブローカー」と、高度な木馬の拡散や顧客へのアクセス権貸し出しを行う「サイバー犯罪の武器商人」のハイブリッドとして機能していると評価されている。

• MODBEACONの最大の特徴は、その設計と通信チャネルの秘匿性である。QiAnXinは「本マルウェアはプロフェッショナルなC2（コマンド＆コントロール：感染端末に指令を送り制御するサーバー）フレームワークである」と説明する。ローダー（マルウェアを読み込むプログラム）とビーコン（指令サーバーと通信するプログラム）が分離され、設定情報の注入が可能だ。ビーコンはプラグインベースの設計を採用しており、実行時にメモリ上で機能を拡張できる。

• さらに、MODBEACONは通信に「gRPC（Googleが開発した高速な通信を行うための仕組み）トンネルストリーミング」を採用している。オープンソースの検閲回避プロキシ「Xray」や「V2Ray」のトランスポート層（データを転送するための仕組み）をC2通信チャネルとして再利用することで、高度な暗号化と検知回避を実現している。C2インフラは、AmazonやCloudflareのCDN（コンテンツ配信ネットワーク：インターネット上でデータを効率的に配信するためのネットワーク）上にホストされている。

• 攻撃の起点となるのは、過去のキャンペーンと同様のソーシャルエンジニアリング手法である。攻撃者は国内の一般的なソフトウェアの偽インストーラーを宣伝する偽ドメインを用意し、アクセスしたユーザーに悪意あるZIPアーカイブをダウンロードさせる。ユーザーがこれを実行することで、マルウェアがメモリ上に展開され、持続的なアクセスが確立される。

• MODBEACONが持つ主な機能として、以下の点が挙げられている。

• ホストのフィンガープリント（接続された端末のOSやハードウェア情報を収集して識別する処理）の取得

• メモリ内へのプラグインのロード

• 生存確認のためのハートビートメッセージの送信

• 実行したコマンド結果の報告

• スケジュールされたタスクを用いた永続性の確保（端末起動時などに自動実行させる設定）

• QiAnXinは、これらの機能について「その後のオンデマンドでの情報窃取、横方向の移動（ラテラルムーブメント）、プロキシ転送、または他のペイロードの展開のために拡張可能である」と指摘している。

• Silver Foxの兵器庫は近年徐々に拡大しており、これまでに「Atlas RAT」「ABCDoor」「RomulusLoader」「SilentRunLoader」といった多様なマルウェアファミリーを展開していることが確認されている。この活発な開発姿勢は、同グループがその手口を積極的に洗練させ続けていることを示している。