中央アジアの政府機関を狙う新たなサイバー攻撃が発覚、中国語話者グループが新型マルウェア「OctLurk」「SilkLurk」を使用か

要点

• ロシアのセキュリティ企業カスペルスキーが、中央アジアの政府機関や医療・教育分野を標的とした新たなサイバー攻撃キャンペーンを報告した。
• 攻撃グループは、難読化された2つの新型バックドア「OctLurk」「SilkLurk」と通信中継ツール「LurkProxy」を使用している。
• 侵入後には、ブラウザからのパスワード窃取やキーロガーの実行、中国系ハッカーが多用するマルウェア「PlugX」の展開などが行われた。
• 今回の攻撃インフラは、過去に観測された「SilentRaid」と呼ばれる別の攻撃キャンペーンと一部で重複していることが判明した。

リード文

ロシアのセキュリティ企業カスペルスキーは、2025年1月以降、中央アジアの政府機関などを狙う新たなサイバー攻撃キャンペーンが進行していることを明らかにした。攻撃を実行しているのは中国語を話す脅威アクター（サイバー攻撃を行う個人や集団）と推測されているが、既知のグループとの関連性は特定されていない。本キャンペーンでは、難読化（プログラムコードの解析を困難にする技術）が施された2種類の新型バックドアと、通信中継用の専用プロキシツールが駆使されている。

本文（事実の紹介）

広範囲にわたる標的と中央アジアでの被害

カスペルスキーの調査によると、この攻撃の標的はアフガニスタン、キルギス、タジキスタン、ウズベキスタン、カザフスタン、およびシリア・アラブ共和国に集中している。被害組織は政府機関や外務省にとどまらず、医療、学術研究、物流、法執行機関（警察など）、都市計画、公立教育機関など多岐にわたる。なお、攻撃者が最初にシステムへ侵入する初期アクセス手法については、現時点では解明されていない。

新型バックドア「OctLurk」と「LurkProxy」の動作メカニズム

攻撃者は侵入後、まず「OctLurk」と呼ばれる新型バックドア（外部からシステムを遠隔操作するための不正プログラム）をメモリに注入・展開する。OctLurkは実行されると、システム情報を暗号化してC2サーバー（攻撃者が侵入したコンピュータに指令を送る指令サーバー）へ送信する。このバックドアは、メモリ上に追加のプラグイン（拡張プログラム）を読み込む設計になっており、以下のスパイ活動や窃取行為を行っていた。

• システム情報の収集やログオンイベントの調査。
• ドメインコントローラー（認証情報を管理するサーバー）からのパスワードハッシュの窃取。
• 正規リモートデスクトップソフト「AnyDesk」に偽装したキーロガーの実行。
• Webブラウザからのパスワード復号・抽出。
• 「Pandora RC」を用いたリモートアクセス環境の確立。
• スキャンツール「Fscan」を用いた内部ポート（SSHやMySQLなど）の調査と、パスワードファイルを用いた接続試行。
• メールサーバーにログインし、メールの収集や改ざんを行う。

これに加え、攻撃者は通信中継用ツール「LurkProxy」も動作させる。LurkProxyは「SOCKS5」または「透過型」のプロキシ（ネットワーク通信を代理中継する仕組み）として動作し、被害ネットワーク内外の通信を中継する役割を担う。

「SilkLurk」によるさらなる展開と「PlugX」の投入

もう一つの新型バックドア「SilkLurk」は、「DLLサイドローディング」と呼ばれる、正規プログラムが起動する際に不正ファイルを読み込む仕組みを悪用する攻撃手法で実行される。
SilkLurkはC2サーバーと接続し、システム情報を送信したのち、サーバーからの命令に従って追加プラグインをロードする。
SilkLurkを実行した後、攻撃者は以下の操作を行っていた。

• PowerShellを起動して管理者権限で共有ネットワークリソースにアクセスし、機密文書を検索・収集する。
• 「WinRAR」や「7-Zip」を用いて窃取したデータをアーカイブ化する。
• DLLサイドローディングにより、中国系ハッキンググループがよく使用する既知のバックドア「PlugX」を展開する。

過去の攻撃キャンペーン「SilentRaid」との関連性

カスペルスキーの研究者サウラブ・シャルマ氏とヤロスラフ・キケル氏によると、今回の攻撃インフラは、以前に観測された「SilentRaid」（別名：MystRodX、TrustFall）と呼ばれるC++ベースのマルウェアを用いる攻撃キャンペーンと一部の通信インフラにおいて重複が見られるという。

この重複は、複数の異なるOSを対象とするキャンペーン間でインフラが共有されている可能性を示唆している。ただし、これらの活動が並行して行われていたのか、あるいは時期をずらして行われたものなのかについては明確になっていない。