新しいマルウェアフレームワークがスクリーン制御とUACバイパスを実現

画面制御、ブラウザアーティファクトアクセス、およびユーザーアカウント制御（UAC）バイパスが可能な高度なマルウェアフレームワーク。攻撃者がオープンソースツールを実世界の侵害に適応させている様子が増加していることを示しています。

攻撃チェーンは、通常のエンタープライズトラフィックに溶け込むように設計された慎重に段階化された操作を明らかにしました。

調査者は、疑わしいインフラストラクチャアクティビティ、ホストレベルのアーティファクト、およびコマンド&コントロール（C2）通信パターンを観察しました。これらを関連付けると、孤立した異常ではなく、完全な侵害の試みが明らかになります。

帰属は結論が出ていませんが、研究者はRshellベースのツール、TencentのようなAPI偽装、インフラストラクチャの重複の使用により、活動が中国関連と疑われると評価しています。

TencShellはRshellから派生したカスタマイズされたインプラントで、オープンソースのGoベースのC2フレームワークです。Rshellは攻撃的なセキュリティテスト用に意図されていますが、攻撃者はそれを修正し、ステルスなエクスプロイト後ツールキットに再パッケージしました。

2026年4月、Cato CTRLは、以前は文書化されていなかったTencShellという名前のインプラントを含む試みられた攻撃を検出およびブロックしました。これはインド拠点での第三者接続を通じて、グローバルな製造組織をターゲットにしていました。

「TencShell」という名前はその二重性を反映し、リモートシェル機能とC2通信を組み合わせ、Tencentスタイルのウェブサービスを模倣するように設計され、悪意のあるトラフィックが正当に見えるようにします。

感染チェーンは、第1段階のドロッパーから始まりました。これは、完全な意図を明かさずに攻撃を開始した軽量実行ファイルです。

スクリーン制御とUACバイパス

このドロッパーは攻撃者が制御するインフラストラクチャに接続し、.woffウェブフォントファイルに偽装された次の段階のペイロードを取得しました。

このようなファイルは、ウェブサイトで一般的に使用されるため、悪意のある配信には効果的な偽装です。この場合、.woffリソースは実際にはDonutシェルコード（ペイロードをメモリ内で直接実行するために使用されるツール）を含んでいました。

取得されると、シェルコードは同じプロセス内で反射的に実行されました。マルウェアはメモリを割り当て、ペイロードを注入し、ディスクに触れずに実行することで、フォレンジック可視性を減らしました。

Donutランタイムは、最終的なペイロードであるTencShellをメモリ内に完全にロードしました。このテクニックにより、攻撃者は従来のファイルベースの検出メカニズムを回避することができました。

実行後、TencShellは構造化されたウェブのようなAPIリクエストを使用して、攻撃者が制御するサーバとの通信を確立しようとしました。

これらのリクエストは正当なバックエンドトラフィックを模倣し、検出をより困難にしました。セキュリティテレメトリは、TencentのようなURIパターンの繰り返しの使用を示し、通信設計が意図的であり、より広いキャンペーンの一部であるという考えを強化しました。

C2パネルは、感染したクライアントを管理し、コマンドを発行するために使用されるオペレータ側のインターフェイスを提供します。

成功した場合、マルウェアは侵害されたシステムに対する広範な制御を提供したであろう。機能には、リモートコマンド実行、ファイルアクセス、プロセス操作、システムプロファイリングが含まれていました。

より高度な機能は、スクリーンキャプチャと相互作用を可能にし、攻撃者がマウスクリックとキーボード入力をシミュレートできるようにしました。

インプラントはまた、ブラウザデータアクセスをサポートしており、ChromeおよびEdgeアーティファクトの潜在的な抽出またはクリーンアップを含み、機密セッションデータを暴露する可能性があります。

TencShellはさらに、SOCKS5を使用したプロキシングおよびトンネリング機能を含み、攻撃者が内部ネットワーク内でピボットし、インターネットに直接公開されていないシステムにアクセスできるようにしました。

また、追加のペイロードのメモリ内実行をサポートし、オペレーターがディスク上に痕跡を残さずにさらなるツールをデプロイできるようにしました。組み込みのUACバイパスメカニズムは、昇格された特権を得る可能性を高めました。

永続性は「OneDriveHealthTask」という名前のWindowsレジストリRunキーエントリを通じて達成され、カジュアルな検査中に正当に見えるように設計された値です。これにより、マルウェアが再起動を生き延び、検出されない場合は長期的なアクセスを維持できることが保証されました。

Cato CTRLは、攻撃者が安定した足がかりを確立する前に侵害を成功裏にブロックしました。検出は、疑わしいURL、ペイロードステージング動作、および偽装されたウェブリソースの使用を含む複数の指標に基づいていました。

このインシデントは、攻撃者がオープンソースフレームワークを強力な侵害ツールに目的変更する増加傾向を浮き彫りにしています。

マルウェアを最初から構築するのではなく、彼らは既存のプロジェクトに適応させ、ステルス機能を追加し、ターゲットを絞ったキャンペーンにデプロイします。

組織、特に第三者アクセスに依存する組織にとって、これは信頼できる接続が攻撃経路になるリスク、および微妙なマルチステージ攻撃動作を監視することの重要性を強調しています。

侵害の指標

注： IPアドレスとドメインは、意図的に脱牙化されています（例：[.]）。偶発的な解決またはハイパーリンクを防ぐためです。MISP、VirusTotal、またはSIEMなどの制御された脅威インテリジェンスプラットフォーム内でのみ再牙化してください。