中国関連ハッカー、REDCapサーバを悪用して米国医療研究機関を監視

UNC6508による高度かつ長期にわたるサイバースパイキャンペーンが明らかになりました。UNC6508は中華人民共和国（PRC）と関連するとされる脅威アクターであり、北米の学術・医療・軍事研究機関を組織的に標的としています。

このキャンペーンは少なくとも2023年9月から活動を続けており、1年以上にわたって検知を免れていました。その間、脅威アクターは密かに認証情報を収集し、機密通信を窃取しながら、人工知能、無人車両システム、サイバー攻撃プログラム、国防作戦、医療研究といった分野の研究機関ネットワークに持続的なアクセスを維持し続けていました。

標的となった組織には、世界的に著名な医療機関、トップクラスの学術医療センター、北米の軍事医療機関、専門家団体、医療規制機関などが含まれます。これらの組織を合わせると数千人の職員が在籍しており、研究予算の総額は数十億ドルに上ります。

GTIGはMandiant ConsultingおよびFLAREチームと連携し、悪意あるインフラを無力化するとともに、検知後すぐに被害を受けた組織へ通知しました。

中国関連ハッカーによるREDCapサーバの悪用

このキャンペーンの侵入口は、REDCap（Research Electronic Data Capture）サーバの意図的な標的化でした。REDCapは北米の医療・科学研究コミュニティで広く利用されているウェブベースのプラットフォームで、オンラインデータベースや調査の構築・管理に使用されています。

UNC6508は外部に公開されたREDCapサーバを悪用し、管理者が現行バージョンと並行して稼働させたままにしていた脆弱な旧バージョンのソフトウェアを探索しました。これはREDCapの設計上許可されている機能ですが、脅威アクターはダウングレード攻撃（MITRE ATT&CK: T1689）によってこれを武器として利用しました。

足がかりを確立すると、UNC6508は内部偵察と認証情報の探索を実施し、help.phpという名前のウェブシェルを展開して、REDCapアプリケーション内での持続的なアクセスとファイルアップロード機能を確保しました。

初期侵害から3か月後、UNC6508はINFINITEREDと呼ばれるカスタムマルウェアを展開しました。これは正規のREDCapシステムファイルをトロイの木馬化するモジュール型インプラントであり、ドロッパー/アップグレードインターセプター、認証情報ハーベスター、C2機能を持つバックドアの3つのコンポーネントで構成されています。

ドロッパーはREDCap自体のアップグレードメカニズムに割り込み、新しいバージョンがインストールされるたびにINFINITEREDを再注入することで、ソフトウェアのアップデート後も持続的なリモートアクセスを維持します。

認証情報ハーベスターは認証システムファイルに注入され、ログイン時にPOSTリクエストで送信されるユーザー名とパスワードを密かに収集します。

窃取された認証情報は環境のデフォルト暗号化ルーティンを使って暗号化され、正規のREDCapセッションデータベーステーブルに保存されます。その際、通常のセッションデータに紛れ込ませるため、xc32038474aという文字列がプレフィックスとして付加されます。

バックドアコンポーネントはページが読み込まれるたびに起動し、REDCAP-TOKENという特定のHTTP Cookieパラメータを監視します。正しいCookieが存在する場合、マルウェアはペイロードを復号します。

このコンポーネントは任意のシェルコマンド、生のSQLクエリ、ファイル転送など様々なコマンドを実行でき、脅威アクターに侵害されたサーバへの深く秘密裏な制御権を提供します。

新たなメール窃取手法

初期侵害から1年以上が経過した後、UNC6508は収集したREDCapの認証情報を利用してドメイン管理者アカウントへの横断移動を行いました。次に脅威アクターは、これまでPRC関連アクターでは観測されていなかった手法として、正規のエンタープライズコンテンツコンプライアンスルール機能を悪用し、「Patroit」（手動リスト管理を示唆する意図的なスペルミス）という名前のルールを作成しました。

このルールは正規表現を使って戦略的なキーワードやメールアドレスを照合し、一致した通信を脅威アクター管理下のGmailアドレス（BebitaBarefoot774[@]gmail[.]com）にBCCで密かに転送していました。

収集対象のカテゴリは地政戦略政策、軍事戦略、先端技術、医療研究など広範にわたり、特にチクングニアウイルスへの関心が際立っていました。

このウイルス性疾患は2025年7月から中国の広東省で大規模なアウトブレイクを引き起こしました。GTIGは、この収集の優先事項がPRCの戦略的情報ニーズと直接一致していると評価しています。発見後、窃取に使用されたGmailアカウントは無効化されました。

UNC6508は精緻な作戦保全（OpSec）を実践しており、地理的な検知を回避するために、侵害されたASUSルーター、住宅用プロキシ、VPSインフラを組み合わせた米国ベースの難読化（OBF）ネットワークを通じてすべての攻撃トラフィックをルーティングしていました。

脅威アクターが管理するGmailアカウントは一括アカウント作成サービスを通じて取得されたもので、メール窃取専用に使用されていました。

GTIGはインフラの重複、一貫したINFINITEREDの展開パターン、および歴史的な中国国家支援スパイ活動の利益と一致する標的選定に基づき、この活動をUNC6508に高い確信をもって帰属させています。

侵害インジケーター（IOC）

ネットワーク指標

ファイル指標（SHA256ハッシュ）

ホスト指標

注意：IPアドレスおよびドメインは、誤った名前解決やハイパーリンク化を防ぐため、意図的にデファング処理（例：[.]）が施されています。MISP、VirusTotal、SIEMなどの管理された脅威インテリジェンスプラットフォーム内でのみ元の形式に戻してください。