高度な脅威アクターが、プライベートネットワーキング製品スイート「ViPNet」のアップデート機能を悪用し、政府機関を含むロシアの組織を標的にしていることが分かりました。
「HelloNet」と名付けられたこのキャンペーンは少なくとも5月から活動しており、追加のマルウェアに対するプロキシおよびローダーとして機能する悪意あるペイロードを展開しています。
Kasperskyの研究者によると、HelloNetは政府機関、エネルギー、運輸、教育、物流の各分野に影響を及ぼしています。
ViPNetアップデートの悪用
ViPNetは、InfoTeCSが開発したロシア製の情報セキュリティ製品群で、VPN、エンドポイントおよびネットワークアクセス保護、ファイアウォール、証明書管理、集中管理、セキュアなメッセージング・ファイル転送機能を提供しています。
このツールはロシアで広く利用されており、政府機関などの規制対象環境での使用について当局の認証を受けています。
ロシア国内、特に重要度の高い組織における市場浸透度の高さから、これまでもハッカーの標的とされてきました。2025年4月には、脅威アクターがViPNetのアップデートを装って攻撃を行ったとKasperskyが報告しています。
今回のキャンペーンでは、攻撃者がViPNet Updateシステムのローカルディレクトリ内に悪意あるファイル(wtsapi32.dll、「HelloInjector」と命名)を配置し、正規の実行ファイルitcsrvup64.exeを介してシステム起動時にサイドロードされるようにしていました。
このDLLは第一段階のローダーであり、svchost.exeプロセスにインジェクションを行うことで、次段階のペイロードにWindows上での権限昇格と再起動をまたいだ永続化を可能にします。
Kasperskyは、攻撃者がこのファイル改ざんを行うための初期アクセスをどのように獲得したのかについて詳細を説明しておらず、ViPNetのアップデートインフラ自体が侵害されたとも主張していません。
マルウェアツールセット
HelloInjectorは、埋め込まれたペイロード(Kasperskyが「HelloProxy」と命名)をメモリ上で実行し、コマンド&コントロール(C2)サーバーと通信して追加モジュールを受信します。
このモジュールの一つが「HelloExecutor」で、コマンドの実行とホスト上でのネットワーク偵察を行うバックドアです。
もう一つは「HelloCleaner」で、悪意ある活動を隠蔽するためにViPNetのログデータを削除するツールです。
「HelloBackdoor」と呼ばれる別のインプラントはRustベースで、ファイルのアップロード・ダウンロードおよびコマンド実行に対応しています。
Kasperskyは今回のキャンペーンについて、身元不明の中国語話者による高度標的型攻撃(APT)グループの犯行である可能性が高いと暫定的に見ています。
ただし研究者らは、この証拠は薄弱であると強調しています。根拠は主に、使用されていない文字列に中国のウェブサイトsina.comへの言及が含まれていたことと、マルウェアのダウンロードミラーが中国科学技術大学(University of Science and Technology of China)によってホストされていたことに限られます。
そのため、この帰属推定の確度は低いとされており、偽旗作戦(フォールスフラッグ)である可能性も排除されていません。
同社は、ViPNetソフトウェアを稼働しているシステムについて、特にポート5003番、5060番(HelloProxy)、443番(HelloBackdoor)を通過するトラフィックを含め、徹底的な監視を行うことを推奨しています。
攻撃者より先に、すべてのレイヤーをテストせよ
セキュリティチームが記録できている攻撃成功例はわずか54%、アラートが上がるのはたった14%にすぎません。残りは環境内を気づかれないまま通過しています。
Picusのホワイトペーパーでは、侵害・攻撃シミュレーションによってSIEMやEDRのルールをテストし、検知をすり抜ける脅威を防ぐ方法を紹介しています。
