OceanLotus：対外スパイ活動から国内監視へのシフト

2024年から2026年にかけてのOceanLotus活動の追跡調査から、作戦上の焦点が移行しつつあることが明らかになりました。この期間、ベトナムと利害を共にするOceanLotusは対外作戦をより選択的に行う一方で、国内スパイ活動にこれまで以上の比重を置くようになっています。今回、SPECTRALVIPERバックドアを使用した2件の異なるキャンペーンを確認しました。1件はベトナムの株式投資家を狙ったサプライチェーン攻撃、もう1件はベトナムのインフラ・交通建設企業を標的とした長期的なスパイ活動です。

このシフトが一時的な調整なのか、長期的な戦略転換なのかは現時点では不明です。しかし、活動歴15年を誇るこのAPTグループは、依然として積極的な戦術と巧みなツール開発能力を示し続けています。

本ブログ記事のポイント：

• 2024年中頃から2026年2月にかけて、OceanLotusはベトナムのインフラ・交通建設企業のネットワークに侵入し、独自インプラントであるSPECTRALVIPERを展開
• 2025年10月から2026年3月にかけて、OceanLotusはベトナムの株式投資家に広く利用されているソフトウェアプラットフォーム「FireAnt Metakit」を悪用したサプライチェーン攻撃を実行
• このような攻撃は広範な影響を持ち得るにもかかわらず、最終的にSPECTRALVIPERを受け取った個人はごく少数にとどまっており、標的が選別されていたことを示唆
• OPSECミスにより、SPECTRALVIPERのアーキテクチャ内部を把握することが可能に

OceanLotusの概要

OceanLotus（APT32とも呼ばれる）は、ベトナム政府の利益と連動していると見られるサイバースパイグループです。当社のテレメトリによれば、このグループに帰属する活動は2012年頃、あるいはそれ以前に遡ります。OceanLotusは主に中国および東南アジア（特にベトナム）を標的とし、大規模なデジタルプロファイリングキャンペーンから、ベトナムの人権活動家を狙った高度に標的を絞った攻撃まで、さまざまな作戦に関与しています。

OceanLotusはWindowsおよびLinuxバックドアの開発・拡充を継続的に行っていることで知られており、独自のネットワークプロトコルを実装したり、特定の作戦目標に合わせたデータ収集機能を組み込んだりしています。代表的なツールとしては、C&C通信にDNSトンネリングを使用するDenis（別名SOUNDBITE）、ICMPプロトコルをC&C通信に活用するPHOREAL、独自のプロキシ回避機構を持つWINDSHIELD、そしてオーケストレーション機能を備えた最新のバックドアであるSPECTRALVIPERなどが挙げられます。

OceanLotus：露呈と活動方針の転換

2017年から2020年にかけて、OceanLotusはそのサイバースパイ活動を詳述した複数のレポートが公開されたことで、大きな注目を集めました。2017年から2018年にかけて東南アジアを標的とした大規模な水飲み場攻撃、2019年にはBMWやHyundaiといった企業への侵入、同年ドイツ在住のベトナム人反体制派への標的型攻撃などが報告されています。また、2019年から2020年にかけての人権擁護活動家に対する作戦、さらに2020年には武漢市政府を標的としたスパイ活動との関連も指摘されています。

しかし2020年、Facebookが OceanLotusのフロント企業と見られる企業を公式に特定したことで、グループの活動に大きな打撃が加わりました。この露呈を受けて、グループに関する公開レポートは急減し、その後数年間は活動への注目度が著しく低下しました。

OceanLotusが再び公の場に姿を現したのは2023年のことで、Elastic Security Labsがベトナムの企業を標的とした攻撃においてSPECTRALVIPERと命名した未文書化のバックドアを使用した事例を報告しました。今回の調査ではこれを踏まえ、2024年中頃から2026年初頭にかけて観測されたグループのより最近の活動を分析しています。この期間に、いずれもSPECTRALVIPERを主要バックドアとして使用しながらも、標的とする被害者像が大きく異なる2件の独立したキャンペーンを確認しました。

1件目のキャンペーンは、インフラ・交通建設企業のネットワークへの侵入です。この侵害は2024年中頃に始まり、2026年1月まで継続しました。

2件目のキャンペーンは、2025年末に始まり2026年3月まで続いたサプライチェーン攻撃です。この作戦でOceanLotusは、ベトナムの株式投資プラットフォームFireAnt Metakitのアップデートサーバーを侵害し、正規のソフトウェアアップデートを悪意のあるペイロードに置き換えることで最終的にSPECTRALVIPERを展開しました。このキャンペーンは株式投資家を標的としていたと見られ、ベトナムが近年推進している証券市場改革に関連している可能性があります。これは国内の監視活動や捜査目的との関連を示唆しています。

また2025年7月には、悪意のあるホイールパッケージをPython Package Index（PyPI）にアップロードするというサプライチェーン攻撃がOceanLotusに帰属されました。ただし、当社のテレメトリでは被害を受けた被害者は確認されておらず、その帰属を独自に検証するには十分な可視性を確保できていません。

総じて、入手可能な証拠はOceanLotusの作戦パターンが転換しつつある可能性を指し示しています。2020年に実体フロント企業が露呈して以降、グループは対外スパイ活動をより選択的に行う一方で、国内標的への注力度を高めているようです。

キャンペーンの背景

OceanLotusの最近の活動が、ベトナム国内で起きているさまざまな動向と一致しているように見える点は注目に値します。

近年、ベトナム当局は「燃え盛る炉」（Blazing Furnace）と名付けられた大規模な汚職撲滅運動を展開しています。習近平が中国で推進した大規模な腐敗摘発と同様に、ベトナム共産党が主導するこの取り組みは、党が自らの浄化に乗り出す意志と能力を国民に示し、正統性を維持するためのものです。2016年以降、この政策は党幹部や政治家への贈賄で訴追された実業家が関与する大物裁判を相次いで引き起こしています。さらに、2023年以降、2人のベトナム大統領が汚職スキャンダルへの関与が公になった結果、辞任を余儀なくされています。2025年だけで、党は汚職・経済犯罪・職権乱用に関わる案件において9,600人の党員を処分したと報告されています。

こうした背景を踏まえると、ベトナムの治安機関が汚職（および広義の金融犯罪）の取り締まりにますます大きなリソースを投入していると考えるのは自然なことです。OceanLotusがこれらの取り組みに何らかの形で関与しており、それが過去2年ほどの間に国内情報収集・監視活動へ明らかに重心を移している理由の一つである可能性があると考えています。実際、今回のキャンペーンで確認した2件の標的は、最近ベトナムの公共の場を揺るがした司法スキャンダルと軌を一にしています。

たとえば2025年10月末、ベトナムの金融規制当局は、国内大手企業約70社が過去10年にわたって社債販売を虚偽申告していたことを明らかにし、同国の主要株価指数が5.5%下落する事態を招きました。この発表は、OceanLotusがFireAntの株式取引アプリを侵害しているとちょうど同じ時期に、ベトナムの法執行機関が株式市場を対象とした広範な捜査を展開していた可能性を示唆しています。

これらの要素から、OceanLotusによるサプライチェーン攻撃は、ベトナム国内における現在進行中の汚職・金融犯罪捜査活動の一環として実施されたと考えられます。

株式投資家への標的型攻撃

サプライチェーンの実態

FireAntのサプライチェーン攻撃は2025年10月頃に始まり、2026年3月まで継続したと推定されます。この期間中、サプライチェーンに晒されたとみられる株式投資家を数名確認しましたが、最終的にSPECTRALVIPERバックドアを受け取ったのはその中のごく一部にとどまっていました。当社チームはFireAntへの事案通知を複数回試みましたが、返答は得られていません。

FireAntはベトナムに拠点を置くフィンテック企業で、個人・機関投資家向けに株式市場データ、分析、投資支援ツールを提供するプラットフォームを運営しています。ベトナムでも有数のデジタル投資プラットフォームとして知られており、リアルタイムの市場データ、テクニカル分析機能、AIを活用したインサイト、そして投資家同士が情報や意見を共有できるコミュニティ機能を提供しています。このエコシステムの中でFireAnt MetaKitは、データ配信に特化したソフトウェアコンポーネントです。AmiBroker、MetaStock、MetaTraderといったテクニカル分析プラットフォームへ、リアルタイムおよび過去の金融市場データを直接提供するために設計されています。

2025年10月2日、FireAnt MetaKitの正規アップデートURL http://metakit.fireant[.]vn/Software/setup.exe から最初の悪意のあるペイロードが配信されているのを検知しました。当該ドメインはFireAntのアップデートサーバーの正規IPアドレスに解決されており、サプライチェーン侵害のシナリオを強く示唆しています。このペイロードを分析した結果、初期バージョンのダウンローダーであることが判明しました。これはOceanLotusが最初の被害者に対して配信メカニズムをテストしていたキャンペーンの初期段階である可能性が高いことを示しています。表1に、この初期ダウンローダーとキャンペーン後半で確認された安定版との比較をまとめました。

表1. ダウンローダーのテストバージョンと安定版の比較

FireAntのアップデートサーバーから直接配信されるペイロードを観測したことに加え、FireAnt MetaKitソフトウェアが使用しているアップデートプロトコルにも脆弱性を発見しました。具体的には、図1に示すように、http://metakit.fireant.vn/Software/version.xml にあるアップデート設定ファイルには整合性の検証機構が存在しません。

また、version.xml ファイルおよびアップデートされたバイナリの取得に使用されるネットワークプロトコルにはSSL/TLS暗号化が施されておらず、FireAnt MetaKitは傍受攻撃に対して脆弱な状態にあります。ただし、今回のキャンペーンではOceanLotusがこの手法を活用しているケースは確認されていません。

実行チェーンの仕組み

署名検証の仕組みが存在しないため、Metakit.exe は悪意のあるダウンローダーを正規のアップデートとして実行してしまいました。起動後、ダウンローダーは基本的なホスト偵察を実施し、収集した情報をHTTP POSTリクエスト経由でステージングサーバーへ送信して次ステージのペイロードを要求します（図2）。

観測されたすべてのサンプルにおいて、ダウンロードAPI V1/Update/GetUpdate は一貫して使用されていました。一方、ステージングインフラは時期とともに変化しており、C&Cサーバーは当初 139.162.11[.]152 でホストされていたものが、後に 142.91.98[.]77 へ移行しています。

続くステージでは、ダウンローダーはローダーとして設定されたSPECTRALVIPERである DtlCrashCatch.dll と、そのペアとなる実行ファイル IntelAudioService.exe を含むサイドローディングチェーンを展開しました。後者は以下のコマンドで実行されます：

C:\Users\[redacted]\IntelAudio\Service\IntelAudioService.exe /appmodel /StateRepository /Service

分析の結果、IntelAudioService.exe は図3に示すとおり、正規の署名済み実行ファイル dtlupdate.exe のコピーであることが判明しました。

実行されると、DtlCrashCatch.dll は OneDrive.Sync.Service.exe プロセスに自身を注入し、バックドアモードでの実行を可能にします。バックドアはその後、ハードコードされたURL https://financemachinelearning[.]com/apparatus/wind/twig/statement.html へのビーコンリクエストを発行し、暗号化されたホスト情報をHTTP Cookieヘッダーに埋め込みます。従来このデータには euconsent-v2= というプレフィックスが使用されていましたが、今回のキャンペーンでは zd_cs_pm= というプレフィックスが使用されており（図4）、このバリエーションが初めて確認されました。

実行チェーンの全体像を図5にまとめました。

2026年3月9日以降、侵害されたチャネルを通じて悪意のあるアップデートが配信される事例は確認されておらず、このサプライチェーン攻撃はおそらく終息したものと考えられます。

大企業への標的型攻撃

ベトナムのインフラ・交通建設企業の企業ネットワークへの侵害は、早ければ2024年11月に始まり、2026年2月まで続いたと評価しています。初期アクセス経路は直接確認できませんでしたが、被害組織の公開サーバーの分析から、攻撃者がMicrosoft SQLサーバーのリモートコード実行（RCE）脆弱性を悪用して最初の足がかりを築いた可能性があると考えられます。

この期間中、ネットワーク全体に展開された複数のSPECTRALVIPERの変種を確認しました。これらは共通のC&Cサーバーと固有のC&Cサーバーの両方を使用しており、侵害されたホストの環境に合わせてわずかな変更が加えられていた可能性があります（図6）。

図6の Genuine.exe、Updater.exe、AutoCAD242.exe はいずれも正規の署名済み実行ファイル Toolbox.exe（図7）の変種であり、サイドローディング機構を機能させるにはいずれもコマンドラインパラメーター -uiDll が必要です。サプライチェーン攻撃と同様に、サイドローディングされるDLLはローダー設定のSPECTRALVIPERであり、その後SPECTRALVIPERバックドアをホストプロセスに注入します。

表2に、今回のインシデントで観測されたC&Cドメインの一覧を示します。

表2. インシデントで観測されたSPECTRALVIPERのC&Cドメイン

SPECTRALVIPER：アーキテクチャの内部構造

SPECTRALVIPERの分析結果は、Elastic Security Labsが報告した調査結果と概ね一致しています。既公開の内容を繰り返すことは避け、今回はマルウェアの内部クラス構造に関する追加の知見を提供することで、先行研究を発展させます。

調査の過程で、RTTI情報を含む2つのサンプルを確認し、部分的なクラス階層を再構築することができました。この視点により、SPECTRALVIPERの機能と根底にあるアーキテクチャ設計の両方について、より深い可視性が得られました。

大まかに言えば、SPECTRALVIPERはHTTPS経由でC&Cサーバーと通信するアクティブなバックドアとして動作します。ハードコードされたアドレスへのビーコン送信によって通信を開始し、あらかじめ定義されたUser-Agentヘッダーを使用しつつ、暗号化されたホストプロファイリングデータをHTTP Cookieヘッダーに埋め込み、euconsent-v2= または zd_cs_pm= というプレフィックスを付加します。

C&Cのドメイン名は各キャンペーンにおいて被害組織のネットワークトラフィックに紛れ込むよう注意深く設計されているようです。たとえば、株式投資家を標的とした作戦では financemachinelearning[.]com が使用され、インフラ・交通建設会社のネットワークへの攻撃では gatewayrvcenter[.]com が観測されています。

SPECTRALVIPERはオーケストレーションモデルによる横移動もサポートしており、1つのインスタンスがオーケストレーターとしてC&Cインフラとの通信を担い、他の侵害済みホストへ名前付きパイプチャネル経由でコマンドを配布します。コードベース内では、インスタンス間通信は XGU::Pivot::StartLink や XGU::Pivot::Internal::WaitNew_RemotePipe といったメソッドで実装されています。

これらのメソッド名の分析から、XGUはSPECTRALVIPERを支える内部フレームワークであることが示唆されます。Pivot サブクラスはXGUを継承し、オーケストレーション機能を担っています。もう一つの主要サブクラスである Feature は、図8に示すようにマルウェアのリモートコントロール機能をカプセル化しています。

バックドアとしての機能に加え、SPECTRALVIPERは高機能なローダーとしても動作し、自身のほかにC&Cから受信した追加バイナリやシェルコードを標的プロセスに注入することができます。分析した両キャンペーンにおいて、SPECTRALVIPERは当初ローダーの役割で動作するよう設定されており、独立したローダーを使用するのではなく、バックドアコンポーネントを別プロセスに注入していました。これらのプロセス操作および注入機能は、図9に示すように ProcessReflector クラスおよび ProcessManager クラスで実装されています。

まとめ

本ブログ記事では、ベトナムと利害を共にするAPTグループであるOceanLotusに関する最新情報をお伝えしました。当社のテレメトリによれば、2024年から2026年にかけて観測された活動は、グループが国内スパイ活動への注力度を高めつつあることを示唆しています。この期間における2件のインシデントとして、FireAnt MetaKitを悪用してベトナムの株式投資家を狙ったサプライチェーン攻撃と、ベトナムのインフラ・交通建設会社への侵害について説明しました。いずれのケースでも、OceanLotusは被害者のシステムに独自のバックドアであるSPECTRALVIPERを展開していました。特筆すべき点として、OPSECの不備によりSPECTRALVIPERのサンプル内にRTTI名がそのまま残っており、それによってバックドアの内部アーキテクチャの一部を再構築することが可能になりました。

WeLiveSecurityに掲載された調査に関するお問い合わせは、[email protected] までご連絡ください。

ESETリサーチでは、民間向けAPTインテリジェンスレポートおよびデータフィードを提供しています。このサービスに関するお問い合わせは、ESET Threat Intelligence のページをご覧ください。

IoC（侵害指標）

侵害指標（IoC）およびサンプルの包括的なリストは、当社GitHubリポジトリで公開しています。

ファイル

ネットワーク

MITRE ATT&CKテクニック

本表はMITRE ATT&CKフレームワーク バージョン19を使用して作成しました。